OSINT

OSINT (Open Source Intelligence) to zbieranie i analiza informacji z ogólnodostępnych źródeł w celu rozpoznania osoby, firmy albo infrastruktury. Niebezpiecznik opisuje OSINT jako techniki pozyskiwania informacji o ludziach i firmach ze źródeł ogólnodostępnych, choć nie zawsze publicznie dostępnych w internecie ^[1]. Tych samych technik używają dziennikarze, analitycy i obrońcy, ale też przestępcy. W modelu MITRE ATT&CK zbieranie informacji o ofierze należy do taktyki rozpoznania (Reconnaissance), w której przeciwnik próbuje zdobyć wiedzę potrzebną do zaplanowania dalszych działań ^[2].

Jak działa

OSINT jest procesem, a nie jednym narzędziem. Analityk łączy dziesiątki źródeł, z których każde osobno wydaje się nieszkodliwe, i składa z nich profil celu. Niebezpiecznik podaje przykład, że nawet zakup nieruchomości zawarty poza internetem może ułatwić sprofilowanie osoby ^[1]. Przebieg typowego rozpoznania przedstawia schemat poniżej.

RYS. 1Cykl rozpoznania OSINT

W ATT&CK rozpoznanie obejmuje kilkanaście technik, od aktywnego skanowania po przeszukiwanie otwartych stron i baz technicznych ^[2]. OSINT dotyczy tych, które korzystają z informacji dostępnych bez włamania, w odróżnieniu od aktywnego skanowania portów czy skanowania podatności.

Źródła informacji

Niebezpiecznik wymienia wśród źródeł OSINT między innymi publiczne rejestry i bazy danych, media społecznościowe, zbiory offline, dane z wycieków oraz odwrotne wyszukiwanie obrazów ^[1]. MITRE porządkuje podobne źródła w osobne techniki.

Jednym z bogatszych źródeł technicznych są rejestry Certificate Transparency. RFC 6962 z 2013 roku opisuje protokół publicznego rejestrowania wydawanych certyfikatów TLS, tak by każdy mógł audytować działalność urzędów certyfikacji ^[7]. Skutkiem ubocznym jest to, że nazwy hostów z każdego wydanego certyfikatu SSL/TLS stają się jawne, łącznie z subdomenami środowisk testowych.

W WordPressie

Strona WordPress jest dla OSINT źródłem numer jeden o swoim właścicielu, bo sama publikuje wiele danych. Technika T1594 wprost obejmuje przeszukiwanie stron ofiary w poszukiwaniu nazwisk pracowników, ich ról, danych kontaktowych i szczegółów działalności ^[5].

• Konta użytkowników. Trasa GET /wp/v2/users REST API zwraca w kontekście „view” między innymi identyfikator, nazwę wyświetlaną, adres strony, opis, link i slug użytkownika ^[8]. slug to alfanumeryczny identyfikator użytkownika ^[8], który bywa równy loginowi. To klasyczna enumeracja użytkowników i przykład niezabezpieczonego endpointu REST API (REST API abuse), gdy trasa jest dostępna bez ograniczeń.
• Wersje oprogramowania. Znaczniki w kodzie strony, pliki readme.txt wtyczek i nagłówki serwera to ujawnianie wersji, które pozwala dobrać znany exploit do konkretnej podatności we wtyczce.
• Zespół i kontakty. Strony „O nas”, stopki z adresami e-mail i archiwa autorów dostarczają danych do T1589 ^[3].

Zagrożenia i skutki

MITRE opisuje, że dane o tożsamości zbiera się, by wykorzystać je przy wyborze celu, a przykładami są grupy, które gromadziły szczegółowe informacje o pracownikach, by uwiarygodnić przynęty socjotechniczne ^[3]. OSINT jest więc zwykle pierwszym etapem Cyber Kill Chain, poprzedzającym:

• spear phishing i BEC opartych na prawdziwych nazwiskach, rolach i relacjach w firmie,
• socjotechnikę i pretexting przez telefon,
• password spraying na listę loginów zebraną ze strony,
• doxing, czyli publikację danych osoby prywatnej w celu nękania.

MITRE zaznacza, że rozpoznanie tego typu jest trudne do wykrycia, bo często odbywa się poza polem widzenia organizacji i ma wysoki odsetek fałszywych alarmów ^[4].

Jak się bronić

MITRE przyznaje, że przeszukiwania stron ofiary nie da się łatwo powstrzymać środkami zapobiegawczymi, bo odbywa się ono poza zasięgiem zabezpieczeń organizacji ^[5]. Obrona polega więc na ograniczaniu ilości i wrażliwości publikowanych informacji ^[5], czyli na zmniejszaniu własnego śladu cyfrowego.

• Przegląd własnej strony oczami atakującego. Warto samemu wykonać OSINT na swojej firmie i usunąć zbędne dane: loginy w archiwach autorów, prywatne adresy e-mail, informacje o wersjach.
• Repozytoria kodu. MITRE zaleca, by programiści nie publikowali w publicznych repozytoriach danych logowania ani kluczy API, i by skanować repozytoria przed zatwierdzeniem zmian ^[4]; zob. zaszyte w kodzie hasło.
• Monitorowanie certyfikatów. Rejestry Certificate Transparency pozwalają właścicielowi domeny zauważyć podejrzanie wystawione certyfikaty ^[7].
• Świadomość pracowników. Skoro dane z OSINT służą do przygotowania przynęt ^[3], pomaga szkolenie z rozpoznawania wiadomości, które wykorzystują prawdziwe szczegóły o firmie.

Ta sama wiedza służy obrońcom: rozpoznanie własnej powierzchni ataku metodami OSINT to element zarządzania powierzchnią ataku i typowy pierwszy etap testu penetracyjnego.

Historia i przykłady

Niebezpiecznik w czerwcu 2019 roku opisał OSINT pod hasłem „biały wywiad”, wymieniając jako źródła między innymi rejestry państwowe, media społecznościowe, dane z wycieków i odwrotne wyszukiwanie zdjęć ^[1]. W katalogu ATT&CK wśród grup zbierających dane o tożsamości pracowników wymieniono między innymi LAPSUS$ i Scattered Spider; ta druga wykorzystywała dane z wcześniejszych wycieków do ustalenia nazwisk pracowników na potrzeby ataków socjotechnicznych ^[3].