O que é OSINT? Inteligência de fontes abertas para iniciantes

OSINT significa open-source intelligence, ou inteligência de fontes abertas. É um método. Você reúne informações de fontes que pode acessar de forma legal, geralmente porque são públicas, e depois analisa essas informações para responder a uma pergunta específica. Não é um programa único, e não é o mesmo que digitar o nome de uma pessoa em um campo de busca.

Um resultado útil de OSINT diz o que você encontrou, de onde veio, quando você viu, o que conseguiu verificar e o que continua incerto. As ferramentas ajudam na coleta. A maior parte do trabalho é avaliar as fontes.

#O que conta como fonte aberta?

Na área de segurança, fontes públicas incluem avisos de segurança de fornecedores, registros DNS, logs de transparência de certificados, repositórios de código públicos de uma empresa, páginas arquivadas e documentação publicada. Ser público não significa que você pode usar algo de qualquer jeito. Leis, termos de uso, direitos de privacidade e qualquer permissão por escrito que você tenha continuam valendo.

O uso mais comum para iniciantes é defensivo. Você pode listar os domínios que sua empresa possui, confirmar se um aviso publicado cobre a versão de um produto que você usa, ou registrar como a tecnologia de um site público mudou ao longo de vários meses.

#OSINT e reconhecimento

Reconhecimento é a fase em que um avaliador aprende sobre um alvo antes de testá-lo. OSINT costuma fornecer a parte passiva dessa fase. As duas coisas se sobrepõem, mas são ideias separadas. O reconhecimento pode incluir passos ativos, como enviar tráfego a um servidor. OSINT também pode servir a pesquisas que não têm nada a ver com segurança.

Para iniciantes, a linha que vale aprender é a que separa coleta passiva de coleta ativa. Ler um log de transparência de certificados é passivo: você consulta registros que alguém já publicou. Varrer as portas de um servidor é ativo: você envia tráfego novo a um sistema e ele responde. Só o trabalho ativo toca o alvo, então ele exige permissão por escrito para qualquer sistema que não seja seu.

#Um fluxo básico para iniciantes

1. Escreva a pergunta e o escopo antes de pesquisar. Por exemplo: "Quais subdomínios públicos pertencem a um domínio que eu opero?"
2. Colete em fontes que possam responder a essa pergunta, como registros DNS ou logs de transparência de certificados. Registre a URL, a hora em que consultou, a consulta e o resultado bruto.
3. Valide cada resultado. Confirme se o nome está atual e se realmente pertence à organização. Certificados antigos, domínios estacionados e nomes não relacionados geram falsos positivos.
4. Analise agrupando os resultados por tipo e grau de confiança. Um nome em um log é uma pista. Ele não mostra que um serviço está no ar ou vulnerável. Isso é outra afirmação, e precisa de evidência própria.
5. Relate a resposta com as fontes e marque cada suposição. Deixe de fora dados pessoais e detalhes de infraestrutura de que o leitor não precisa.

#Seu primeiro exercício

Use um domínio seu ou um domínio reservado para documentação. A RFC 2606 reserva example.com para esse fim, então uma consulta a ele não toca a infraestrutura de ninguém. Execute uma consulta DNS:

nslookup example.com

Executamos isso em uma máquina com Windows 11. A saída ficou assim:

Não é resposta autoritativa:
Servidor:  dns.google
Address:  8.8.8.8

Nome:    example.com
Addresses:  2606:4700:10::ac42:93f3
	  2606:4700:10::6814:179a
	  172.66.147.243
	  104.20.23.154

Os rótulos aparecem em português porque essa instalação do Windows usa esse idioma. Os endereços e a ordem deles também podem mudar, e esse é o ponto do exercício. Uma consulta é um retrato de um resolvedor em um momento, então anote quando fez a consulta e qual resolvedor respondeu.

Em seguida, procure uma segunda fonte independente. Logs de transparência de certificados são registros públicos e somente de acréscimo de certificados emitidos, descritos na RFC 6962. Consulte um deles por meio de um índice público e anote a hora da observação. Depois preencha este relatório de cinco linhas:

Research question:
Scope / permission:
Source 1 (URL + accessed date):
Source 2 (URL + accessed date):
Finding / confidence / uncertainty:

Esse hábito separa três coisas: a afirmação, a evidência e a sua interpretação. Relatórios de OSINT fracos misturam as três.

#Ferramentas para aprender primeiro

Comece com um navegador, uma ferramenta de consulta DNS e um arquivo de notas com registro de horários. Esses três itens cobrem a maioria das perguntas de iniciantes.

Quando passar para o mapeamento de ativos, conheça o OWASP Amass. O projeto se descreve como mapeamento de rede de superfícies de ataque e descoberta de ativos externos, usando coleta de informações de fontes abertas e técnicas de reconhecimento ativo. Leia as opções antes de executar e aponte a ferramenta apenas para domínios que você possui ou para os quais tem permissão por escrito.

A saída de uma ferramenta é uma pista, não uma prova. Um resumo dessa saída feito por IA é uma segunda pista.

#Onde entra a IA

Um modelo de linguagem pode normalizar uma tabela de registros, rascunhar a estrutura do relatório, sugerir perguntas de verificação ou explicar um termo como registro DNS curinga. Ele também pode errar. Nunca deixe um modelo inventar uma citação para um registro que ele não examinou. Confira cada afirmação na fonte que ela cita.

Se você enviar dados a uma API de modelo, envie apenas o que tem permissão para processar, e mantenha as URLs de origem ligadas a cada afirmação. Isso vale também para a API da NotHoly. Pratique em um laboratório seu.

#Erros comuns

Pesquisar antes de escrever a pergunta, deixando a busca desviar para o que parece interessante. Salvar um link sem data, mesmo sabendo que páginas mudam. Tratar uma captura de tela como prova, quando o que você precisa guardar é a página original. Associar um nome a uma pessoa sem evidência independente, já que muita gente tem o mesmo nome. Publicar dados pessoais de que a pergunta nunca precisou.

Mantenha cada afirmação, sua evidência e sua interpretação em linhas separadas. No começo, esse hábito importa mais do que qualquer ferramenta específica.