Che cos'è l'OSINT? Open-source intelligence per principianti

OSINT sta per open-source intelligence. È un metodo. Raccogli informazioni da fonti a cui puoi accedere legalmente, di solito perché sono pubbliche, e poi le analizzi per rispondere a una domanda specifica. Non è un singolo programma e non equivale a digitare il nome di una persona in una casella di ricerca.

Un risultato OSINT utile dice cosa hai trovato, da dove viene, quando l'hai visto, cosa hai potuto verificare e cosa resta incerto. Gli strumenti aiutano nella raccolta. La maggior parte del lavoro è giudicare le fonti.

#Che cosa conta come fonte aperta?

Nel lavoro di sicurezza, le fonti pubbliche comprendono i bollettini di sicurezza dei vendor, i record DNS, i log di certificate transparency, i repository di codice pubblici di un'azienda, le pagine web archiviate e la documentazione pubblicata. Il fatto che una cosa sia pubblica non significa che tu possa usarla come vuoi. Leggi, termini di servizio, diritti alla privacy e qualsiasi permesso scritto in tuo possesso continuano a valere.

L'uso più comune all'inizio è difensivo. Puoi elencare i domini di proprietà della tua azienda, confermare se un bollettino pubblicato riguarda una versione di prodotto che usi, o registrare come è cambiata in alcuni mesi la tecnologia di un sito pubblico.

#OSINT e recon

La recon è la fase in cui chi valuta un bersaglio raccoglie informazioni prima di testarlo. L'OSINT spesso ne fornisce la parte passiva. I due concetti si sovrappongono, ma restano distinti. La recon può includere passaggi attivi, come inviare traffico a un server. L'OSINT può servire anche a ricerche che non hanno niente a che fare con la sicurezza.

All'inizio, il confine da imparare è quello tra raccolta passiva e attiva. Leggere un log di certificate transparency è passivo: interroghi record che qualcuno ha già pubblicato. Fare lo scan delle porte di un server è attivo: invii nuovo traffico a un sistema e quello risponde. Solo il lavoro attivo tocca il bersaglio, quindi richiede un permesso scritto per qualsiasi sistema che non ti appartenga.

#Un flusso di lavoro per iniziare

1. Scrivi la domanda e il perimetro prima di cercare. Per esempio: "Quali sottodomini pubblici appartengono a un dominio che gestisco?"
2. Raccogli da fonti che possono rispondere a quella domanda, come i record DNS o i log di certificate transparency. Registra l'URL, l'ora in cui hai guardato, la query e il risultato grezzo.
3. Convalida ogni risultato. Controlla che il nome sia attuale e appartenga davvero all'organizzazione. Vecchi certificati, domini parcheggiati e nomi estranei creano falsi positivi.
4. Analizza raggruppando i risultati per tipo e grado di confidenza. Un nome in un log è una pista. Non dimostra che un servizio sia online o vulnerabile. Quella è un'altra affermazione, e richiede prove proprie.
5. Riporta la risposta con le fonti ed etichetta ogni ipotesi. Lascia fuori dati personali e dettagli dell'infrastruttura che non servono a chi legge.

#Il tuo primo esercizio

Usa un dominio di tua proprietà o un dominio riservato alla documentazione. RFC 2606 riserva example.com a questo scopo, quindi interrogarlo non tocca l'infrastruttura reale di nessuno. Esegui una ricerca DNS:

nslookup example.com

L'abbiamo eseguita su una macchina Windows 11. L'output era simile a questo:

Não é resposta autoritativa:
Servidor:  dns.google
Address:  8.8.8.8

Nome:    example.com
Addresses:  2606:4700:10::ac42:93f3
	  2606:4700:10::6814:179a
	  172.66.147.243
	  104.20.23.154

Le etichette sono in portoghese perché quell'installazione di Windows usa quella lingua, e l'ordine degli indirizzi può cambiare da un'esecuzione all'altra. Anche gli indirizzi possono cambiare, ed è il senso dell'esercizio. Una ricerca è un'istantanea di un resolver in un momento preciso, quindi annota quando l'hai eseguita e quale resolver ha risposto.

Poi trova una seconda fonte indipendente. I log di certificate transparency sono registri pubblici di sola aggiunta dei certificati emessi, descritti in RFC 6962. Cerca in uno di essi tramite un indice pubblico e annota l'ora dell'osservazione. Poi compila questo report di cinque righe:

Research question:
Scope / permission:
Source 1 (URL + accessed date):
Source 2 (URL + accessed date):
Finding / confidence / uncertainty:

Questa abitudine separa tre cose: l'affermazione, la prova e la tua interpretazione. I report OSINT deboli le confondono tutte e tre.

#Quali strumenti imparare per primi

Inizia con un browser, uno strumento di ricerca DNS e un file di appunti che registra gli orari. Questi tre coprono la maggior parte delle domande iniziali.

Quando passi alla mappatura degli asset, guarda OWASP Amass. Il progetto si descrive come uno strumento che esegue la mappatura di rete delle superfici d'attacco e la scoperta di asset esterni usando tecniche di raccolta di informazioni open source e di recon attiva. Leggi le opzioni prima di eseguirlo e puntalo solo su domini di tua proprietà o che hai il permesso scritto di testare.

L'output di uno strumento è una pista, non una prova. Un riassunto di quell'output fatto da un'IA è una seconda pista.

#Dove si inserisce l'IA

Un modello linguistico può normalizzare una tabella di record, abbozzare la struttura del tuo report, suggerire domande di verifica o spiegare un termine come un record DNS wildcard. Può anche sbagliare. Non lasciare mai che un modello inventi una citazione per un record che non ha esaminato. Controlla ogni affermazione sulla fonte che indica.

Se invii dati all'API di un modello, invia solo quelli che puoi trattare e tieni gli URL delle fonti collegati a ogni affermazione. Questo vale anche per l'API di NotHoly. Esercitati in un laboratorio di tua proprietà.

#Errori comuni

Cercare prima di scrivere la domanda, così la ricerca scivola verso qualunque cosa sembri interessante. Salvare un link senza data, anche se le pagine cambiano. Considerare uno screenshot una prova, quando quella da conservare è la pagina originale. Associare un nome a una persona senza prove indipendenti, dato che molte persone hanno lo stesso nome. Pubblicare dati personali che la domanda non richiedeva.

Tieni ogni affermazione, la sua prova e la tua interpretazione su righe separate. All'inizio questa abitudine conta più di qualsiasi strumento.