מה זה OSINT? מודיעין ממקורות פתוחים למתחילים

OSINT הוא קיצור של open-source intelligence, מודיעין ממקורות פתוחים. זו שיטה: אוספים מידע ממקורות שיש אליהם גישה חוקית, בדרך כלל כי הם ציבוריים, ואז מנתחים אותו כדי לענות על שאלה אחת מוגדרת. זו לא תוכנה אחת, וזה גם לא אותו דבר כמו להקליד שם של אדם בתיבת חיפוש.

תוצאת OSINT שימושית אומרת מה נמצא, מאיפה זה הגיע, מתי זה נראה, מה הצלחת לאמת ומה עדיין לא ודאי. כלים עוזרים באיסוף. רוב העבודה היא הערכת המקורות.

#מה נחשב מקור פתוח?

בעבודת אבטחה, מקורות ציבוריים כוללים הודעות אבטחה של יצרנים, רשומות DNS, לוגים של certificate transparency, מאגרי קוד ציבוריים של חברה, דפי ווב בארכיון ותיעוד שפורסם. העובדה שמשהו ציבורי לא אומרת שמותר להשתמש בו בכל דרך. חוקים, תנאי שימוש, זכויות פרטיות וכל הרשאה בכתב שיש לך עדיין חלים.

השימוש הנפוץ ביותר אצל מתחילים הוא הגנתי. למשל, לרשום את הדומיינים שבבעלות החברה שלך, לבדוק אם הודעת אבטחה שפורסמה מכסה גרסת מוצר שרצה אצלך, או לתעד איך הטכנולוגיה של אתר ציבורי השתנתה לאורך כמה חודשים.

#OSINT וריקון

ריקון הוא השלב שבו בודק לומד על יעד לפני שהוא בודק אותו. OSINT מספק לעיתים קרובות את החלק הפסיבי של השלב הזה. יש ביניהם חפיפה, אבל אלה רעיונות נפרדים. ריקון יכול לכלול צעדים אקטיביים, כמו שליחת תעבורה לשרת. OSINT יכול לשרת גם מחקר שאין לו שום קשר לאבטחה.

למתחילים, הגבול שצריך ללמוד הוא בין איסוף פסיבי לאקטיבי. קריאה של לוג certificate transparency היא פסיבית: שואלים על רשומות שמישהו כבר פרסם. סריקת הפורטים של שרת היא אקטיבית: שולחים תעבורה חדשה למערכת והיא מגיבה. רק עבודה אקטיבית נוגעת ביעד, ולכן היא דורשת הרשאה בכתב עבור כל מערכת שאינה בבעלותך.

#תהליך עבודה למתחילים

1. לכתוב את השאלה ואת הסקופ לפני החיפוש. למשל: "אילו תת־דומיינים ציבוריים שייכים לדומיין שבניהולי?"
2. לאסוף ממקורות שיכולים לענות על השאלה, כמו רשומות DNS או לוגים של certificate transparency. לתעד את ה-URL, את זמן הבדיקה, את השאילתה ואת התוצאה הגולמית.
3. לאמת כל תוצאה. לבדוק שהשם עדכני ובאמת שייך לארגון. תעודות ישנות, דומיינים חונים ושמות לא קשורים יוצרים false positives.
4. לנתח: לקבץ את התוצאות לפי סוג ורמת ודאות. שם בלוג הוא רמז. הוא לא מראה ששירות פעיל או פגיע. זו טענה נפרדת, והיא צריכה ראיות משלה.
5. לדווח על התשובה עם מקורות ולסמן כל הנחה. להשמיט מידע אישי ופרטי תשתית שהקורא לא צריך.

#התרגיל הראשון

להשתמש בדומיין שבבעלותך או בדומיין ששמור לתיעוד. RFC 2606 שומר את example.com למטרה הזו, כך שחיפוש מולו לא נוגע בתשתית אמיתית של אף אחד. להריץ חיפוש DNS:

nslookup example.com

הרצנו את זה על מחשב Windows 11. הפלט נראה כך:

Não é resposta autoritativa:
Servidor:  dns.google
Address:  8.8.8.8

Nome:    example.com
Addresses:  2606:4700:10::ac42:93f3
	  2606:4700:10::6814:179a
	  172.66.147.243
	  104.20.23.154

התוויות בפורטוגזית כי זו השפה של התקנת ה-Windows הזו, וסדר הכתובות יכול להשתנות בין הרצות. גם הכתובות עצמן עשויות להשתנות, וזו הנקודה בתרגיל. חיפוש אחד הוא צילום מצב מ-resolver אחד ברגע אחד, ולכן צריך לרשום מתי הוא הורץ ואיזה resolver ענה.

בשלב הבא מחפשים מקור שני, בלתי תלוי. לוגים של certificate transparency הם רשומות ציבוריות של תעודות שהונפקו, שאפשר רק להוסיף אליהן, ומתוארות ב-RFC 6962. מחפשים באחד מהם דרך אינדקס ציבורי ורושמים את זמן התצפית. אחר כך ממלאים את הדוח הזה בן חמש השורות:

Research question:
Scope / permission:
Source 1 (URL + accessed date):
Source 2 (URL + accessed date):
Finding / confidence / uncertainty:

ההרגל הזה מפריד בין שלושה דברים: הטענה, הראיה והפרשנות שלך. דוחות OSINT חלשים מטשטשים את שלושתם.

#אילו כלים ללמוד קודם

להתחיל עם דפדפן, כלי לחיפוש DNS וקובץ הערות שמתעד חותמות זמן. השלושה האלה מכסים את רוב השאלות של מתחילים.

במעבר למיפוי נכסים כדאי להסתכל על OWASP Amass. הפרויקט מתאר את עצמו ככלי שמבצע מיפוי רשת של משטחי תקיפה וגילוי נכסים חיצוניים בעזרת איסוף מידע ממקורות פתוחים וטכניקות ריקון אקטיביות. צריך לקרוא את האפשרויות שלו לפני ההרצה ולכוון אותו רק אל דומיינים שבבעלותך או שיש לך הרשאה בכתב לבדוק.

פלט של כלי הוא רמז, לא הוכחה. סיכום AI של הפלט הזה הוא רמז שני.

#איפה AI נכנס לתמונה

מודל שפה יכול לנרמל טבלת רשומות, לנסח שלד לדוח, להציע שאלות אימות או להסביר מונח כמו רשומת DNS מסוג wildcard. הוא גם יכול לטעות. אסור לתת למודל להמציא ציון מקור לרשומה שלא בחן. כל טענה צריך לבדוק מול המקור שהיא מציינת.

כששולחים נתונים ל-API של מודל, צריך לשלוח רק את מה שמותר לך לעבד, ולהשאיר את כתובות ה-URL של המקורות מחוברות לכל טענה. זה כולל את ה-API של NotHoly. לתרגל במעבדה שבבעלותך.

#טעויות נפוצות

לחפש לפני שכותבים את השאלה, כך שהחיפוש נסחף לכל מה שנראה מעניין. לשמור קישור בלי תאריך, אף שדפים משתנים. להתייחס לצילום מסך כהוכחה, כשמה שצריך לשמור הוא הדף המקורי. להתאים שם לאדם בלי ראיה בלתי תלויה, כי לאנשים רבים יש אותו שם. לפרסם מידע אישי שהשאלה מעולם לא דרשה.

כל טענה, הראיה שלה והפרשנות שלך צריכות להישאר בשורות נפרדות. בהתחלה ההרגל הזה חשוב יותר מכל כלי מסוים.