OSINT: что это, методы, применение в ИБ

OSINT, Open Source Intelligence — разведка по открытым источникам, то есть методичный сбор и анализ информации, которая уже доступна публично, без взлома систем и без несанкционированного доступа к закрытым данным. Термин пришёл из военной и государственной разведки, где «открытым источником» называют любые сведения, для получения которых не требуется секретный допуск или специальные полномочия — от газетной публикации до официального реестра.

В контексте информационной безопасности OSINT — это работа с тем, что организация или человек уже сделали публичным сами: страницы сайта, профили в соцсетях, вакансии с описанием используемых технологий, зарегистрированные домены, публичные части государственных реестров, упоминания в СМИ и утечки, уже выложенные в открытый доступ третьими лицами.

Ключевое отличие от взлома — аналитик не преодолевает техническую защиту и не получает доступ, которого у него не было: он находит и сопоставляет то, что и так можно увидеть без пароля или эксплойта.

Из-за этого OSINT сам по себе не относится ни к атаке, ни к защите — это инструмент сбора информации, который приобретает конкретную цель только в руках того, кто его применяет. Один и тот же приём — например, поиск сотрудников компании по названию в социальной сети — может быть первым шагом фишинговой атаки или частью легального аудита, который сама компания заказала для себя.

OSINT опирается на пассивный сбор данных из широкого круга открытых источников — от поисковых систем до технической информации об инфраструктуре — и почти никогда не требует взаимодействия, которое цель могла бы заметить. Ниже — основные категории источников и методов, которые встречаются в подавляющем большинстве описанных сценариев.

↔ таблицу можно прокрутить вбок

Общая черта всех перечисленных методов — пассивность: аналитик наблюдает и обрабатывает уже существующие данные, не отправляя цели поддельных запросов и не пытаясь обойти технический контроль доступа. Именно эта пассивность в методологии пентеста (PTES/OSSTMM) отделяет OSINT от активного сканирования портов и сервисов, которое уже оставляет заметный след в логах цели и требует прямого технического взаимодействия с её инфраструктурой.

OSINT — инструмент двойного назначения: одни и те же методы атакующий использует для подготовки атаки, а защитник — для мониторинга собственной поверхности атаки и раннего обнаружения угроз. Различие не в технике сбора, а в том, кто и с какой целью её применяет.

На практике оборонительное применение OSINT часто называют внешним аудитом поверхности атаки: организация сама проводит разведку по себе теми же методами, что использовал бы злоумышленник, чтобы найти и закрыть избыточно открытые сведения раньше, чем это сделает кто-то другой. Такая проверка — стандартный подготовительный этап пентеста, где OSINT-разведка предшествует активной фазе тестирования.

Полностью исключить OSINT-разведку против компании невозможно — часть данных публична по закону или по необходимости вести бизнес, — но объём и ценность того, что может собрать атакующий, можно существенно сократить контролем публикуемой информации.

• Контроль публичной информации о компании. Регулярная ревизия того, какие технические детали видны снаружи — версии используемого ПО в вакансиях, структура сети в презентациях, внутренние адреса в случайно проиндексированных документах — и удаление избыточных сведений.
• Контроль публичной информации о сотрудниках. Обучение сотрудников не публиковать в открытом доступе детали, которые упрощают целевой фишинг: точную должность и зону ответственности, рабочий график, внутренние процессы, — особенно для ролей с доступом к финансам или критичным системам.
• Мониторинг упоминаний и утечек. Регулярная проверка баз утечек и открытых источников на предмет скомпрометированных учётных данных, связанных с доменом компании, позволяет сменить пароли раньше, чем ими воспользуется злоумышленник.
• Обучение персонала. Понимание того, что публикация в соцсетях, вакансия с избыточными техническими деталями или пресс-релиз с оргструктурой — это тоже часть поверхности атаки, снижает количество данных, которые компания отдаёт разведке бесплатно.
• Регулярный внешний аудит. Периодическая проверка методами OSINT того, что о компании уже можно найти в открытом доступе, — способ увидеть себя глазами атакующего до того, как это сделает он сам.