OSINT-исследования ( как работу с открытыми источниками) частенько продают руководству/заказчику как волшебную кнопку: "Мол, будут ранние предупреждения, видимость угроз, защита бренда и даже преимущество в стратегии. Купите правильные платформы, подключите нужные источники — и риск станет виден еще до того, как что-то такое случится."

Спору нет, информация — это то единственное, во что есть смысл вкладывать деньги. Но есть красивые ожидания, а есть кривая морда реальности. Панели мониторинга есть, оповещения приходят, отчеты приходят на почту, бурная деятельность бурлит, но ощущения у заказчика, что он стал лучше владеть ситуацией и ему стало легче принимать решения, - не появляется. 
Закономерный итог — разочарование и скепсис. Разрыв между ожиданием и реальностью удручает; работодатель недоволен, - осинтер уволен.

В данном случае, проблема не в том, что OSINT как методология не работает, — его неправильно понимают, неправильно используют и неправильно же интерпретируют. Непонимание рождает ошибки в подходах.

Argus — это фреймворк с открытым исходным кодом на Python, который помогает автоматизировать сбор информации из открытых источников: соцсетей, форумов, публичных реестров, утечек данных и т.д.

Он умеет:
1. искать по никнейму на десятках платформ;
2. анализировать домен (WHOIS, DNS, поддомены);
3. определять технологии, которые использует сайт (CMS, сервер);
4. проверять email на утечки (например, HIBP);
5. извлекать метаданные из файлов (EXIF, GPS);
6. искать упоминания в даркнете.

Все, кто так или иначе касался OSINT, слышал о Shodan — один из самых популярных инструментов. Удобный графический интерфейс, поиск портов, интернет вещей и все такое. Но нет предела совершенству и у нас есть и ShodanX.

Нет, это не новая версия Shodan, и не супер-пупер хацкерский форк. Это - инструмент, который работает как CLI-инструмент для автоматизации разведки, который использует данные Shodan, и не является самостоятельным ресурсом.
К чему все это надобно?

В принципе, давно известно, что транзакции в криптовалюте можно отследить. Но обычно мы не заморачиваемся разбором того, как это работает и какие инструменты для этого нужны. Мы просто ими пользуемся.

Сразу оговорюсь, что речь тут не о USDT, который отслеживается по дефолту. Речь о классике блокчейна: BTC, ETH, LTC...

Скажем так, паспортные данные и домашний адрес владельца при использовании методов OSINT в первом приближении вы вряд ли получите. Но понять как она двигалась, куда, в каких объемах и сколько средств на целевых кошельках, вы сможете. Дальнейшая систематизация и анализ полученной информации — исключительно ваша заслуга. Или факап? Как получится, короче говоря.Для более детального, подробного анализа нам может не хватить законных полномочий. Законы о защите персональных данных — штука такая... Топтаться же по поляне специализированных государственных учреждений — себе дороже.

Электронная почта остается основным вектором кибератак, при этом фишинговые кампании составляют большинство случаев первоначального доступа в корпоративных средах.

Для аналитика SOC освоение методов обнаружения фишинга — это не просто формальность, а ключевая компетенция. Эффективное использование данных электронной почты позволяет на ранних стадиях выявлять, расследовать и локализовывать фишинговые атаки, сокращая время пребывания в системе и минимизируя влияние на бизнес.

— Это руководство представляет собой подробное техническое описание того, как использовать данные электронной почты для обнаружения, интерпретации и реагирования на фишинговые угрозы, опираясь на реальные рабочие процессы SOC и передовые стратегии обнаружения.

Мотивом для написания этого текста послужили неоднократные эпизоды с навязчивой таргетированной рекламой, нашумевшие случаи мошенничества и, несмотря на то, что из каждого утюга криком кричат о цифровой гигиене, — массовое наплевательство в ее отношении.

Будет много буквачек, много базовых вещей, если ты ниндзяилонмаск, — не читай. Если интересно, но лень читать — главное в финале

Начнем с аксиомы: невзламываемых паролей не бывает. Любой пароль можно взломать. Вопрос времени и ресурсов. Простые пароли вскрываются моментально, а сложные — дольше, с плясками и бубном.

Говорят, что с выходом квантовых вычислений в широкий доступ, взлом самого сложного пароля будет занимать доли секунды. Ну, а пока квантовые хакеры Шредингера не взломали мой пароль от переписки с тещей, посмотрим, стоит ли перейти на пароль 12345 или заморочиться чем-то посильнее, не вдаваясь в криптографию как в науку.

Как наши пароли утекают в чужие лапы?

В современных условиях, когда технологии стремительно развиваются, а кризисные явления расширяются или перемещаются на все на новые территории, аналитики все чаще пользуются тем, что их предшественники назвали бы нетрадиционными средствами. Особенно учитывая, тот факт, что и лицо кризисов меняется на фоне технологий.

— Теневые участки сети которые до сих пор считались центром серой деятельности, теперь служат удобным каналом для получения полезных вещей, размещенных на платформах без прямого контроля со стороны официального государственного аппарата.

Они стали платформой, где деятельность в «серой зоне» является нормой, независимо от того, осознает это большинство людей или нет. Для аналитиков, изучающих корпоративные и логистические структуры, экосистема теневой сети и интернета вещей предоставляет возможность выявить уязвимости, которые не публикуются и не признаются.

В наше время, когда секретов почти нет, еще сильней хочется спрятать свои секретики. Но спрятать ты можешь не все. Тем более, если ты лицо юридическое, например, - фирма, работающая в США.

Самое большое хранилище информации — IRS налоговая служба (ну кто бы сомневался). Но если нам надо проверить надежность контрагента или его финансовое состояние, то мы не сможем написать туда или позвонить и спросить: "Скажите, а фирма Рога и копыта.inc — надежная? С ней можно работать?" Нас там пошлют в известном направлении.Как же быть? Как проверить Остапа Ибрагимыча?

В первую очередь, давайте посмотрим какого типа эта организация: открытая неприбыльная или частная, нацеленная на извлечение прибыли и ни на что больше. В первом случае, нам на помощь придут такие каталог и как: https://projects.propublica.org/nonprofits локализованный по США, созданный журналистами расследователями (ох уж эти журналисты!), и https://opencorporates.com/ , который позволяет найти первичные данные по всему миру в рамках своей базы. Эти каталоги ориентированы, в первую очередь на отрытые непрофитные организации потому что они по закону большинства стран не имеют права закрывать свои данные. Но не все так печально.

Давайте разбираться, первый каталог — позволяет (ограниченно, конечно), но просматривать базовую информацию не только по компаниям, фирмам и фондам, но и по частным лицам в США, связанным с публичной деятельностью.Например, давайте посмотрим что у них есть на прекрасного человека с именем Donald J Trump. Чего у него там закопано?

В части 8, когда мы говорили о том, что нет универсального инструмента для работы в различных концах географии, я объяснял это тем, что имеются местные особенности, и то, что работает в одном месте, не работает в другом.

— Как быть, если нужно быстро найти инструменты для исследования в различных регионах, которые находятся на противоположных концах географии? Скажу сразу, швейцарского ножа не существует. Это плохая новость.

Хорошая же новость состоит в том, что есть агрегатор инструментов, который помогает определиться в зависимости от региона работы: https://map.wddadk.com — он охватывает 242 территории и содержит ссылки на 1592 ресурса, почти весь мир, без Республики Конго — страна не развита в плане интернета.

Геопространственная разведка (GEOINT) привлекает все больший интерес и внимание широкой общественности. Действительно, способность синтезировать сложные ситуации в визуальных представлениях позволяет ей напрямую охватить большую аудиторию

— В этой статье мы разберёмся с GEOINT и покажем, что подобные исследования доступны каждому

GEOINT (Geospatial Intelligence — геопространственная разведка) — это сбор, анализ и интерпретация изображений, карт и геоданных (GPS, метаданные) для описания и оценки физических особенностей и событий на Земле.

Это направление OSINT, соединяющее спутниковые снимки, карты и геотеги из соцсетей для точного установления времени и места.

Что такое хлам? Хлам это то, что хранится годами и ты его выкидываешь, как раз перед тем, как он тебе понадобится.

Так иногда получается, что мы храним какие-то данные в zip архиве, а пароль от него забыли напрочь. Как люди грамотные, мы не ставим в качестве пароля свой день варенья или имя своего котика.

Но пароль забыть, вспомнить шансов — ноль. Как быть?

О метаданных файлов изображений мы уже говорили и не секрет, что их тоже можно редактировать, в том же Exif-pilot, например. Как распознать фейк, если метаданные на изображении корректные? Кэп очевидность утверждает, что только анализом контента. Логично.

— Возьмем какой-нибудь файл с зачищенными метаданными и проанализируем его на предмет манипуляций в Фотошопе или еще каком-нибудь редакторе. В том же Пейнте :-)

Закинем его на уже упоминавшийся https://29a.ch/photo-forensics и посмотрим, что он нам расскажет. Самый верхний пункт меню — Magnifier/ Увеличилка, чтобы можно было глазками прошерстить картиночку и пальчиком везде потыкать: вдруг кто‑то неаккуратненько подработал. Но такое можно не только тут.

Нас интересует другая опция в меню: Clone Detection — детектор клонов показывает применение инструмента типа «штамп» при обработке, он выделяет клонированные участки розовым светом. Как видно, тут этого добра преизрядно.

— С метаданных картинок мы уже разобрались, теперь же давайте посмотрим, что за душой у обычных pdf или word документов

Визуальная информация — это супер, но как и слова, кторорые нам даны, чтобы скрыть правду, так и картинки могут служить инструментом манипуляции и обмана. И речь не только о том, что Ламба, которую ты посылаешь девушке, — липовая. Или очаровательная мордашка девушки из соцсетей — тюнингованная.

— Что картинка может нам сказать помимо визуала? Разберемся по шустрому.

Вам когда-нибудь задавали вопросы типа такого: «Как сделать так, чтобы всё?», а ты такой: «Чего?!»
— Ну как сделать так, чтобы на кнопочку нажал и все вылезло?‑
WTF?
— Ну, кампутер, кнопочка... Знаешь? Тыц. И все вылезло. Как сделать?
— ???
— Ты тупой?!
— @#&!!!

Админы интернет-ресурсов — публика скрытная, им бы все прятать и прятать. То адмику, спрячут, то пароли доступа.

Но мы же не за паролями пришли? На что они нам? Давайте посмотрим, что спрятано от поисковых систем и от нас, но так, чтобы по-быстрому.

OSINT — занятие для любопытных, а любопытство штука такая, которую государство и все причастные, стремятся ограничить всеми доступными мерами.

Давайте прикинем, как совать свой любопытный нос так, чтобы его не прищемили.

Иногда кажется, что найден HTTP request smuggling, а на деле это всего лишь HTTP keep-alive или pipelining. Обычно это ложное срабатывание, но иногда за этим действительно скрывается уязвимость. Здесь разбирается, как отличить одно от другого.