OSINT

本文约需 2 分钟阅读

OSINT (Open Source Intelligence) 是指从公开可获取的信息源中系统地收集和分析信息，从而得出有用情报的方法。社交媒体的帖子、 WHOIS 数据库、 DNS 记录、企业的公开信息、政府的公开数据等，所有可合法访问的信息都属于其范围。在网络安全领域，无论是攻击者的侦察活动，还是防御方的威胁情报，它都发挥着重要作用。

历史背景 - 从军事情报到民间安全

OSINT 的起源在于第二次世界大战期间的美国。 1941 年，美国设立了 Foreign Broadcast Monitoring Service，系统地分析敌国的广播和报纸。冷战时期， CIA 和 NSA 将 OSINT 发展为情报活动的支柱之一。随着互联网的普及，从 2000 年代以后， OSINT 的方法也扩展到了民间安全企业、记者和研究人员。在 2014 年的乌克兰冲突中，公民调查团体 Bellingcat 通过分析社交媒体的照片和卫星图像确认了军事行动，向世界展示了 OSINT 的威力。

信息源的分类

在攻击者侦察阶段的滥用

网络攻击的第一步是侦察 (Reconnaissance)。攻击者使用 OSINT 收集目标的信息。他们在 LinkedIn 上调查员工的职位和技能，以选定鱼叉式网络钓鱼的目标。他们从 GitHub 的公开仓库中寻找不小心提交的 API 密钥和认证信息。他们用 Shodan 确定暴露的服务器和设备的漏洞。他们从企业的招聘信息中推测所使用的技术栈，针对已知漏洞下手。社会工程学的成功率在很大程度上取决于事先通过 OSINT 收集的信息质量。

OSINT 的侦察流程

在防御方的运用

OSINT 对于防御方也是强大的工具。为了掌握本组织的攻击面 (Attack Surface)，要用与攻击者相同的手法调查本公司的公开信息。定期用 Have I Been Pwned 检查员工的邮箱地址是否包含在泄露数据中，如果包含则督促其更改密码。通过对暗网的监控，监视本公司的认证信息和机密数据是否被买卖。在数字身份保护的文章中，也讲解了个人层面的对策。

为什么组织察觉不到自己的暴露

对组织而言，OSINT 之所以难以防范，在于信息会从自己管控之外的地方泄露出去。无论怎样排查官方网站和自家服务器，也无法掌握组织视线之外的发布，例如员工或离职者写在职业档案里的工作内容、开发者用个人账号公开的代码。渗透测试的事前调查之所以采用 OSINT，正是出于这个原因：调查方通过公开信息能触及的内容，真实的攻击者也能按同样的步骤触及。只有以第三方的视角审视本组织，意料之外的暴露才会显现出来，删除和整改的对象也才能被具体确定。

个人层面的 OSINT 对策

掌握自己公开了多少信息是防御的第一步。重新审视社交媒体的隐私设置，限制不必要的个人信息的公开。养成删除照片的 EXIF 数据 (位置信息) 后再上传的习惯。也请参考隐私设置指南和社会工程学对策的文章。