Здарова, Перцы! Допустим, досталось тебе хозяйство. По описи — сайт, база и один сервак. На рабочем столе прошлого админа лежит файлик "пароли старые НЕ УДАЛЯТЬ", а в понедельник бухгалтерия просит продлить сертификат для какого-то test2. В описи такой зверь вообще не значится. Зато за него, оказывается, третий год платят.

— Вот с этой мелочи и начнем. Заодно разберем 30 софтин и инструментов, которые обычно сваливают в одну папку "ХАК" и благополучно там забывают. По 5 штук на дело. Хозяйство у нас условное, сервера для активных проверок – свои.

Представим ситуацию: разработчик торопится закрыть задачу, вставляет API-ключ прямо в конфиг, делает коммит и пушит изменения в репозиторий. Через неделю ключ убирают из кода, задача закрывается, все довольны.

Но есть нюанс: удаление строки из актуальной версии проекта не означает, что секрет исчез из истории Git.

Если репозиторий доступен публично, ключ может обнаружиться спустя месяцы. А если он даёт доступ к облачной инфраструктуре, базе данных или стороннему API, последствия могут оказаться весьма неприятными.

— Разберёмся, как искать такие утечки и автоматизировать проверку, чтобы не заниматься разгребанием инцидентов постфактум.

Есть неприятная особенность интернета: однажды зарегистрировался на каком-нибудь сайте, забыл о нём через пару лет, а потом выясняется, что его база данных давно гуляет по сети.

И ладно, если вместе с ней утекло только старое имя пользователя. Куда интереснее ситуация, когда в той же базе оказались почта и пароль. Особенно если этот пароль до сих пор подходит к вашему основному аккаунту.

Хорошая новость: проверить часть таких утечек можно самостоятельно, причём бесплатно. Плохая — волшебной кнопки «проверить вообще всё» пока нет.

— Сегодня разберёмся, где искать следы утечек, как правильно понимать результаты и что делать, если ваши данные действительно засветились.

— Практическое руководство для начинающих специалистов Blue Team: проверяем процессы, службы systemd, сетевые соединения и задания cron без установки дополнительных инструментов.

Представим ситуацию: сервер неожиданно начал потреблять больше ресурсов, появились неизвестные сетевые соединения, а после перезагрузки снова запускается процесс, который администратор вроде бы уже останавливал.

Это не обязательно означает взлом. Причиной может быть неисправное приложение, некорректная конфигурация службы, резервное копирование или обычная задача обслуживания.

Но иногда подобные признаки указывают на нежелательную активность. В этом случае специалисту важно понять три вещи:

Письмо пришло от имени знакомого сервиса. Логотип на месте, адрес отправителя выглядит убедительно, а текст не вызывает подозрений. Можно ли доверять такому сообщению?

Необязательно. Имя отправителя и оформление письма достаточно легко подделать. Поэтому почтовые серверы используют несколько механизмов проверки, которые помогают определить, действительно ли сообщение отправлено с разрешённого сервера и не было ли его содержимое изменено.

— В этой статье разберём SPF, DKIM и DMARC без лишней теории: посмотрим на примеры DNS-записей, научимся читать результаты почтовой аутентификации и выясним, почему даже три успешные проверки не гарантируют, что письмо безопасно.

Случается, что мы накопили пару вагонов данных по рабочему кейсу, сидим, смотрим на него, гордимся накопленным объемом... Но заказчику ты его в таком виде не предъявишь. 
И что теперь с этим всем счастьем делать? Как его интерпретировать и как на его основе построить "венец творения" осинтера — отчет? 

Вот тут, как раз и наступает самый "веселый" этап работы с большими массивами данных — статистическая обработка. Не так интересно, как исследование, но чтобы собрать внятную цельную картинку, без нее не обойтись. Поясним для почему:
Во-первых, статобработка позволяет трансформировать разрозненные массивы сырых данных в что-то структурированное, сделать выводы, поддающиеся верификации и воспроизведению. Без количественных и качественных методов придется опираться исключительно на субъективные суждения, что сильно снизит достоверность выводов.
Во-вторых, статистика проявляет скрытые закономерности и аномалии, подсвечивает те сигналы, которые теряются в информационном шуме при поверхностном изучении. 
Логично же?
Не благодарите Кэпа.

Теперь разберемся, какие конкретные задачи решаемы статистическим анализом в рамках ОСИНТ-деятельности. Понятно, что для верификации единичных эпизодов статистика - излишня. Говорить будем только о значимом количестве данных.
Будет много перечислений, описаний и, казалось бы, очевидных вещей, но уж такова специфика такого рода гайдов.

Итак, задачи:
1. Профилирование акторов: построение количественных моделей поведения отдельных лиц или организаций.
2. Мониторинг дезинформации: выявление аномальной активности в социальных сетях, обнаружение ботнетов и координированных кампаний влияния путем анализа временных рядов и сетевых графов.
3. Корреляционный анализ публичных финансовых отчетов, реестров юридических лиц и данных о сделках с различными объектами собственности.
4. Геопространственный анализ: статистическая обработка геотегированного контента для верификации местоположения событий (геолокация).
5. Оценка угроз: прогностическое моделирование на основе исторических данных об инцидентах, конфликтах и кризисах.

Ранее, в доИИшную эпоху, ОСИНТ развивался как преимущественно ручная дисциплина. Нужно было последовательно отрабатывать источники, фиксировать данные и выстраивать логические связи. Вся работа велась в рукопашную.
Такой подход был еще приемлем, пока объем доступной информации еще можно было переварить и обработать. По состоянию на сегодня, ситуация поменялась чуть менее, чем кардинально. По данным IDC, по состоянию на 2024 ежедневно генерировалось около 408 квинтиллиона байт данных; только в социальных сетях публикуются сотни миллионов единиц контента в сутки. Ни один аналитик, ни одна команда аналитиков не способны перелопатить такой объем вручную. Тут не то, что ленивым, тут и трудолюбивым осинтерам становится тяжко. Даже, если отрабатывать какой-то узкий сегмент информации, то все равно, количество информации, которую приходится отрабатывать, — впечатляет.
Учитывая тот факт, что поисковые машины выдают все больше шлака и "белого шума", а так же то, что по данным Pew Research Center и аналогичных организаций, следы ИИ найдены в 10...35% выдаваемого на гора контента, ситуация становится еще сложнее.

Но, "кто нам мешает, тот нам и поможет". Можно и нужно применять ИИ модели для сбора и обработки данных, для их верификации и т.д. и т.п. Конечно, ИИ не заменяет живого человека, но он снимет операционную нагрузку, делегируя машине сбор, первичную фильтрацию и структурирование данных. Тем самым, он берет на себя всю рутину и высвобождает время и внимание для контекстуальной интерпретации, этического суждения и вывода. Нам, все же, еще есть чем заняться.

При всех достоинствах Telegram, есть у него одна особенность — он тоже оставляет следы в ВебАрхиве. То есть, при наличии желания и определенного количества свинца (не картечи) в пятой точке, мы можем найти следы жизнедеятельности того или иного персонажа в Telegram через Wayback Machine.

Для этого мы можем пойти сюда: https://web.archive.org/collection‑search/telegram и начать лопатить все вручную. Дорки нам в помощь. А можем автоматизировать наш поиск при помощи CDX API или собственных скриптов или других приспособлений. Это уж кому как больше нравится.

Механизм работы с Telegram через Wayback Machine не оригинален и принципиально не отличается от поиска по другим ресурсам. Но, как всегда, есть нюансы...
Разберемся.

Среди всех OSINT инструментов немного особняком стоят те, которые относятся к инструментам командной строки и ковыряют потроха веб-ресурсов, их прошлое. Многие слышали про Wayback Machine (archive.org), но вот как извлечь из него практическую пользу, особенно в смысле багбаунти знают не все. А кто и знает, то особо не распространяется

Еще бы, ведь с старых копиях ресурсов периодически всплывают остаются:
- Старые API-эндпойнты.
- Админ-панели, тестовые страницы (/admin, /test, /debug).
- Файлы конфигурации, бэкапы (.bak, .sql, .old, .git).
- JavaScript-файлы с чувствительными параметрами или hardcoded ключами.
- Устаревшие версии, где исправления уязвимостей еще не пофиксили.
Лчевидный плюс такого подхода состоит в том, что это — пассивный поиск и риск обнаружения минимален.

— В статье мы разберем 3 инструмента, которые обращаются в архивным копиям ресурсов: gau, waybackurls и waymore.

Довелось как-то заняться инструментами для проверки имен пользователей.
Много чего было просмотрено. Как и ранее известных мне инструментов, таких как скрипты, сайты и все такое прочее. Так и пытаны коллеги, собрана некоторая статистика по вариантам использования. Вывод — так себе. У меня нет ни одного полностью удовлетворительного инструмента для поиска по имени/названию. Самые популярные из них — namechk.com, whatsmyname.app, sherlock, snoop. Каждый из них хорош в чем-то своем, но результаты требуют перекрестной проверки. Куда же без нее?
Итак, что такое «удовлетворительно»? Что с этим делать?

Изобразим кепа очевидность: большинство инструментов для поиска по никнейму связаны не с OSINT, а с маркетингом. Их рекомендуют на каждом шагу, даже эксперты. Что они предлагают?

Для начала, в первом приближении, рассмотрим поиск по доменам от Namechk . ресурс с интересным подходом, и, конечно же, иногда он выдает результаты по псевдониму человека. Но основная цель этого поисковика — найти доступные домены для покупки и продвижения вашего бренда. Но для начала сойдет.

Глобальный рынок OSINT вырос с 2024 года по 2025 примерно на $850млн. На рынке инструментов OSINT используются методы анализа текста, видеоанализа и анализа социальных сетей для мониторинга миллиардов сообщений в социальных сетях и государственных документов — по данным одного источника, 42% развертываний в 2024 году составляли модули анализа текста. С точки зрения региональной доли, на Северную Америку приходилось около 36,0% рынка OSINT в 2024 году.

На рынке инструментов OSINT для крупных предприятий и государственных структур все чаще используются облачные и локальные платформы для сбора разведывательной информации — разнообразие развертываний велико.

❗️ Хакер слил в даркнет личные данные 15 млн жителей Казахстана, что составляет три четверти населения страны. По словам продавца, он получил доступ к данным после взлома государственного сервиса eGov

Пользователь под ником shymzz13 оценил файл в 0,5 биткоина — около $32 тысяч (2,5 млн рублей или по 17 копеек за человека)

— В 2,7 гигабайта уместились 47 млн строк с паспортными данными, телефонами, почтой, местами работы, сканами документов и паролями

Если база настоящая, мошенники получат не просто список номеров, а готовые сценарии для персональных звонков, поддельных документов и атак на банковские аккаунты

Мы в Telegram: https://t.me/+jAjZcfEdOx42NzRi

Продолжаем обсуждать инструментарий ленивого осинтера. Какие бы мы были осинтеры без инструментария, и какие бы мы были лентяи без инструмента, позволяющего в одном месте собрать кучу информации?

Оговорюсь сразу, абсолютных "швейцарских ножей" не бывает. Вот так вот, чтобы "нажал на кнопочку и все вылезло", так не бывает. Но есть инструменты, которые по многим направлениям закрывают основные потребности осинтера.

Опять же, идеальных тулкитов не бывает. У каждого из них есть свои недостатки и преимущества. Разберем один такой: https://htdark.com/osint/osint-framework — минималистичный в дизайне, но многофункциональный онлайн инструмент, который позволяет исследовать и крипту, и соцсети, и медиафайлы, и многое другое

Если сравнить интернет с мегаполисом, то основная видимая часть это — центральные улицы, улицы поменьше и небольшие переулочки (официальные сайты компаний, странички поменьше), ну и есть задние дворы, подвалы и технические входы, где ходят дворники, технический персонал и где шляется всякая гопота. 

И вот именно по этим задним дворам гуляет Shodan. Именно там мы отлавливаем разные уязвимости, чтобы гопота не пролезла.

В отличие от обычных поисковиков вроде Google, которые индексируют страницы, Shodan индексирует устройства: серверы, камеры, базы данных, роутеры, панели администрирования, IoT-устройства.

Случается, что админы компаний забывают закрыть такие вещи и мы можем найти тут самое интересное. Разберемся с этим, что называется, "на пальцах"

OSINT-исследования ( как работу с открытыми источниками) частенько продают руководству/заказчику как волшебную кнопку: "Мол, будут ранние предупреждения, видимость угроз, защита бренда и даже преимущество в стратегии. Купите правильные платформы, подключите нужные источники — и риск станет виден еще до того, как что-то такое случится."

Спору нет, информация — это то единственное, во что есть смысл вкладывать деньги. Но есть красивые ожидания, а есть кривая морда реальности. Панели мониторинга есть, оповещения приходят, отчеты приходят на почту, бурная деятельность бурлит, но ощущения у заказчика, что он стал лучше владеть ситуацией и ему стало легче принимать решения, - не появляется. 
Закономерный итог — разочарование и скепсис. Разрыв между ожиданием и реальностью удручает; работодатель недоволен, - осинтер уволен.

В данном случае, проблема не в том, что OSINT как методология не работает, — его неправильно понимают, неправильно используют и неправильно же интерпретируют. Непонимание рождает ошибки в подходах.

Argus — это фреймворк с открытым исходным кодом на Python, который помогает автоматизировать сбор информации из открытых источников: соцсетей, форумов, публичных реестров, утечек данных и т.д.

Он умеет:
1. искать по никнейму на десятках платформ;
2. анализировать домен (WHOIS, DNS, поддомены);
3. определять технологии, которые использует сайт (CMS, сервер);
4. проверять email на утечки (например, HIBP);
5. извлекать метаданные из файлов (EXIF, GPS);
6. искать упоминания в даркнете.

Все, кто так или иначе касался OSINT, слышал о Shodan — один из самых популярных инструментов. Удобный графический интерфейс, поиск портов, интернет вещей и все такое. Но нет предела совершенству и у нас есть и ShodanX.

Нет, это не новая версия Shodan, и не супер-пупер хацкерский форк. Это - инструмент, который работает как CLI-инструмент для автоматизации разведки, который использует данные Shodan, и не является самостоятельным ресурсом.
К чему все это надобно?

В принципе, давно известно, что транзакции в криптовалюте можно отследить. Но обычно мы не заморачиваемся разбором того, как это работает и какие инструменты для этого нужны. Мы просто ими пользуемся.

Сразу оговорюсь, что речь тут не о USDT, который отслеживается по дефолту. Речь о классике блокчейна: BTC, ETH, LTC...

Скажем так, паспортные данные и домашний адрес владельца при использовании методов OSINT в первом приближении вы вряд ли получите. Но понять как она двигалась, куда, в каких объемах и сколько средств на целевых кошельках, вы сможете. Дальнейшая систематизация и анализ полученной информации — исключительно ваша заслуга. Или факап? Как получится, короче говоря.Для более детального, подробного анализа нам может не хватить законных полномочий. Законы о защите персональных данных — штука такая... Топтаться же по поляне специализированных государственных учреждений — себе дороже.

Электронная почта остается основным вектором кибератак, при этом фишинговые кампании составляют большинство случаев первоначального доступа в корпоративных средах.

Для аналитика SOC освоение методов обнаружения фишинга — это не просто формальность, а ключевая компетенция. Эффективное использование данных электронной почты позволяет на ранних стадиях выявлять, расследовать и локализовывать фишинговые атаки, сокращая время пребывания в системе и минимизируя влияние на бизнес.

— Это руководство представляет собой подробное техническое описание того, как использовать данные электронной почты для обнаружения, интерпретации и реагирования на фишинговые угрозы, опираясь на реальные рабочие процессы SOC и передовые стратегии обнаружения.

Мотивом для написания этого текста послужили неоднократные эпизоды с навязчивой таргетированной рекламой, нашумевшие случаи мошенничества и, несмотря на то, что из каждого утюга криком кричат о цифровой гигиене, — массовое наплевательство в ее отношении.

Будет много буквачек, много базовых вещей, если ты ниндзяилонмаск, — не читай. Если интересно, но лень читать — главное в финале