Organizar hallazgos de OSINT: notas, grafos, timelines

La recoleccion produce desorden: un archivo por herramienta, subdominios, URL, correos, capturas. Organizar lo convierte en algo sobre lo que razonas y que puedes entregar. Tres estructuras hacen casi todo el trabajo: un archivo de notas con un hecho por linea y su fuente, un grafo de entidades que liga hosts, personas e IP, y una timeline que ordena eventos. La chat de NotHoly lee las tres y escribe el resumen, y mas util aun, te dice que falta.

#Un hecho por linea, con fuente

Manten un solo archivo de notas en texto plano o Markdown. Cada linea es una afirmacion y de donde salio.

api-dev.example.com  200  nginx  source: httpx 2026-11-10
[email protected]  in breach "AcmeLeak"  source: hibp 2026-11-10
origin 203.0.113.7  behind CDN  source: dns-history 2026-11-09

El texto plano hace diff, acepta grep y sobrevive a que una herramienta cambie su formato de salida. Un hallazgo sin linea de fuente es un rumor, asi que no lo promuevas al informe mientras no puedas nombrar de donde salio.

#Arma un grafo de entidades

Un grafo responde que conecta con que. Los nodos son hosts, IP, personas, correos y orgs, y las aristas son relaciones como resuelve-a, posee y trabaja-en. Maltego es la herramienta clasica de grafo, y recon-ng guarda entidades en una base de workspace que consultas y exportas. Hasta una lista de dos columnas, origen y destino, cargada en cualquier visor de grafo, muestra clusters que una lista plana esconde, como el unico IP que ata cinco hosts al parecer sin relacion.

#Pon eventos en una timeline

Algunos hallazgos son eventos: un certificado emitido, un dominio registrado, un commit empujado, una brecha fechada. Ordenalos. Una timeline muestra que el host de staging aparecio la misma semana que el config filtrado, o que el repo publico de un empleado es anterior al servicio que nombra. Mantenla como una lista fechada simple, porque el orden es el insight, no el formato.

#Deja que la chat resuma y halle huecos

Aqui la IA se gana el lugar. Pega tus notas, tu lista de aristas y tu timeline, y pide un resumen y una lista de huecos.

Aqui estan mis notas de OSINT, una lista de aristas de entidades
y una timeline. Escribe un resumen de una pagina por activo.
Luego lista los huecos: entidades con una sola fuente, hosts sin
dueno, y los tres chequeos que mas reducen mi incertidumbre.

El resumen es facil; la lista de huecos es el punto. El modelo marca las afirmaciones de fuente unica, los nodos sueltos y los proximos chequeos obvios, que es la revision que un analista cansado se salta. Razona sobre lo que pegaste y no inventa hechos nuevos, asi que verifica cualquier "probable" que ofrezca antes de anotarlo.

#Alcance y privacidad

La estructura no afloja las reglas. Manten el dato personal como correos, registros de brecha y nombres en un archivo separado y cifrado, y dejalo fuera de la imagen de grafo que pones en un informe. Etiqueta cada entidad con si esta en alcance, para que un nodo fuera de alcance que hallaste pivotando nunca se cuele en los hallazgos.

#Preguntas frecuentes

#Necesito Maltego o una herramienta pesada?

No. Un archivo de notas en Markdown, una lista de aristas de dos columnas y una timeline fechada cubren la mayoria de los trabajos. Recurre a una herramienta de grafo cuando la cuenta de entidades pase de lo que sostienes en la cabeza.

#La IA puede guardar mis notas de caso entre sesiones?

Tratala como sin estado para esto. Manten la fuente de verdad en tus archivos, pega lo que necesitas y guarda la salida de vuelta en las notas. Tus archivos, no la chat, son el registro.

Con todo estructurado, el ultimo paso es la entrega. Convertilo en un informe en convertir OSINT en un informe limpio. Vuelve a OSINT basico de imagen y geolocalizacion.