Herramienta de rastreo para técnicas Open Source Intelligence (OSINT).

Open Source Intelligence (OSINT), o más precisamente, el uso de fuentes de inteligencia de código abierto para perfilar la exposición en Internet de las organizaciones es decir, footprinting, es una área un muy interesante dentro de la seguridad de la información, particularmente porque es más o menos abierta, lo que supone un problema en este momento.

Hay muchas cosas interesantes que se pueden hacer con datos que se pueden encontrar al aire libre. Por ejemplo, si se puede obtener una lista de bloques de IP que pertenecen a una organización para la que se está haciendo un test de penetración, se puede hacer un barrido y comprobar si hay hosts online. Otro ejemplo es que si puede obtener una lista de direcciones de correo electrónico que pertenecen a una organización, puede repetir y verificar cada dirección de correo electrónico con un servicio como “HaveIBeenPwned” para encontrar varias cuentas que pertenecen al personal de la organización objetivo, que podría haber sido comprometido antes.

Una cosa a tener en cuenta acerca de la inteligencia de código abierto es que no es solo una práctica para el descubrimiento de activos y tampoco es una práctica que se restringe por completo a la seguridad de la información. Personalmente lo describiría como una práctica de recopilar información pública de varias fuentes, en la que se analiza la información recopilada para crear un modelo que pueda usarse para tomar decisiones. Las empresas y los inversores también hacen uso de la inteligencia de código abierto para realizar análisis competitivos y de mercado, entre otras cosas.

Uso defensivo: pronóstico de amenazas.

Diría que una posible aplicación defensiva de OSINT es la predicción de amenazas. Es posible hacer esto monitorizando en varias plataformas en línea y verificando posibles vulnerabilidades para pronosticar amenazas potenciales contra su organización. Por ejemplo, puede controlar pérdidas de contraseña que podrían poner en riesgo una organización. Probablemente se necesite hacer algunos procesos bastante avanzadas que involucren el aprendizaje automático y el procesamiento del lenguaje natural. Si se planea automatizar esta práctica, porque inevitablemente se tendrá que ordenar mucha información no estructurada cuando se trata de conversaciones entre humanos. Si se va a construir un sistema automático de predicción de amenazas, probablemente se recopilara información sobre lo que constituye una amenaza primero y luego determinar qué tipo de métricas se pueden extraer de eso para tener algo que alimente un algoritmo de aprendizaje automático más adelante. Tal vez se pueda reunir un montón de publicaciones de Facebook y Twitter que amenazan una organización y luego crear una bolsa de palabras o un modelo que luego se pueda utilizar para entrenar a un clasificador Naive-Bayes para detectar otras publicaciones que amenazan una organización. Esto es similar a cómo funcionan los filtros de spam por cierto. Una vez que integre las métricas en un algoritmo de aprendizaje automático, se generará un clasificador que, a su vez, permitirá determinar automáticamente las amenazas en el futuro. Por supuesto, este clasificador no será completamente preciso y deberá corregirse con datos adicionales a medida que el sistema se vuelva más maduro.

Alternativamente, puede optar por un tipo de sistema de puntuación enfático . En este enfoque, intenta determinar una amenaza en un mensaje en función de las palabras que contiene. Digamos que eres un fabricante de cereales y hay alguna charla en línea sobre ti que contiene las palabras «explotar» o «vulnerabilidad» o «fuga» u otras palabras técnicas que no se combinan bien con los productos relacionados con el desayuno. Si ve algo así, eso podría indicar algún tipo de amenaza cibernética contra su organización.

Uso ofensivo: Footprinting.

En cuanto a las posibles aplicaciones ofensivas de OSINT: se puede usar para footprinting, como mencioné anteriormente en el párrafo inicial del post. Esto es útil en las fases de reconocimiento de un test de penetración, ya que puede aprovechar la información que proporciona el footprinting cuando se realiza otras tareas de reconocimiento, como el escaneo y la enumeración. Por ejemplo, como se describe en la sección de inicio de este artículo, se puede someter los rangos de direcciones IP que se encuentren a través de footprinting a escaneos de puertos para encontrar hosts online en las redes de destino. Los resultados de footprinting son bastante útiles en otras tareas de test de penetración no relacionadas con el reconocimiento, como cuando se realizan escaneos de vulnerabilidad y se realizan tareas de explotación. Esencialmente permiten tener un mapa de los activos de una organización objetivo, por lo tanto, se tiene una muy buena idea de dónde empezar a buscar vulnerabilidades.

La herramienta:

Photon es una herramienta de rastreo ideal para tecnicas OSINT que  puede extraer los siguientes datos mientras se rastrea:

• URLs (dentro y fuera del alcance).
• URL con parámetros.
• Extrae: Correos electrónicos, cuentas de redes sociales, amazon buckets, etc.
• Archivos (pdf, png, xml etc.).
• Claves secretas (claves de autenticación y hashes).
• Archivos JavaScript y puntos finales presentes en ellos.
• Cadenas que coinciden con el patrón de expresiones regulares personalizado.
• Subdominios y datos relacionados con DNS.

Es una herramienta flexible que permite controlar: el tiempo de espera, retardo de ejecución, agregar semillas, excluir las URL que coincidan con un patrón de expresiones regulares y otras cosas interesantes. La inteligente gestión de subprocesos de Photon y la lógica refinada ofrecen un rendimiento de primera clase. Aún así, el rastreo puede requerir muchos recursos, pero Photon tiene algunos trucos en las mangas. Puede obtener las URL archivadas por «archive.org» como semillas usando la opción ”–wayback”. También posee el Modo Ninja, al que se puede acceder mediante “–ninja”, se utilizan 4 servicios en línea para realizar solicitudes al objetivo en su nombre. Básicamente, ahora tiene 4 clientes que realizan solicitudes al mismo servidor simultáneamente, lo que le da un impulso de velocidad si tiene una conexión lenta, minimiza el riesgo de reinicio de la conexión y retrasa las solicitudes de un solo cliente.

Más información e descarga de Photon:
https://github.com/s0md3v/Photon