در مقاله ی آشنایی با Open-source Intelligence، در مورد مفهوم OSINT صحبت شد و هر آن چه که به عنوان دانش اولیه نیاز بود در مورد آن بدانید را بیان کردیم. در این مقاله قصد داریم که در مورد کاربرد و روش‌های مورد استفاده‌ی آن صحبت کنیم.
استفاده از هوش منبع باز
همان طور که گفته شد هوش منبع باز، عمل جمع آوری اطلاعات از منابع منتشر شده یا در دسترس عموم است.
افراد مختلفی می توانند این کار را انجام دهند. افرادی مانند متخصص های امنیت فناوری اطلاعات، هکر های مخرب یا حتی عملیات های اطلاعاتی که مورد تایید دولت‌ها هستند.
از روش های پیشرفته برای جست جو در در میان انبار عظیم داده های قابل مشاهده، استفاده می‌کنند تا مواردی که برای رسیدن به هدف های خودشان به دنبال آن هستند را پیدا کنند. همچنین می خواهند چیز هایی را یاد بگیرند که بیشتر مردم نمی‌دانند که عمومی هست.
OSINT در بسیاری موارد، مشابه امنیت عملیاتی (OPSEC) است. OPSEC فرآیند امنیتی ای است که بر اساس آن، سازمان ها از داده های عمومی خودشان محافظت می کنند که اگر به درستی تجزیه و تحلیل شوند، می توانند حقایق مخربی را آشکار کنند.
استفاده از هوش منبع باز در امنیت سایبری
حال که با اصول اولیه هوش منبع باز آشنا شدیم، می‌توانیم به نحوه‌ی استفاده از آن در یکی از موارد مهم به نام امنیت سایبری نگاه کوتاهی داشته باشیم. دو مورد استفاده ی رایج در امنیت سایبری وجود دارد:
1- هک اخلاقی و تست نفوذ
متخصصان امنیتی از اطلاعات منبع باز برای شناسایی نقاط ضعف احتمالی در شبکه های دوستانه (friendly networks) استفاده می‌کنند. آن ها می‌خواهند قبل از این که سو استفاده یا تهدیدی رخ دهد، نقاط ضعف را اصلاح کنند. نقاط ضعف رایج عبارت اند از:
- نشت تصادفی اطلاعات حساس، برای مثال از طریق رسانه های اجتماعی
- باز بودن پورت ها یا دستگاه های متصل به اینترنت نا امن
- نرم افزار بدون patch یا دارای اشکال (مانند وب سایت هایی که از نسخه های قدیمی محصولات CMS ای رایج استفاده می کنند.)
- دارایی‌های افشا شده، مانند کد های اختصاصی
2- شناسایی تهدیدهای خارجی
همان طور که همه می دانیم، اینترنت، منبع بسیار خوبی از اطلاعات است که می‌توان از آن ها برای تهدید استفاده کرد. اطلاعات منبع باز به متخصصان امنیتی این امکان را می‌دهد تا زمان و منابع خودشان را برای مقابله با مهم ترین تهدیدها اولویت بندی کنند. در بیشتر موارد، این کار به یک تحلیل گر نیاز دارد تا قبل از هر کاری داده ها و ارتباط بین آن ها را شناسایی و یک تهدید را مشخص کند.
به عنوان مثال، در حالی که یک توییت تهدید آمیز ممکن است دلیلی برای نگرانی بیشتر مردم نداشته باشد، همان توییت در صورتی که به گروه خاصی مرتبط باشد که در یک صنعت خاص فعالیت دارند، ممکن است واقعا نگران کننده باشد.
معرفی روش های مورد استفاده در OSINT
بسیار خب، به جاهای جالب کار نزدیک می شویم. حالا که کاربردهای هوش منبع باز (چه خوب و چه بد) را بیان کردیم، وقت آن است که برخی از روش هایی که می توان برای جمع آوری و پردازش اطلاعات منبع باز استفاده کرد را معرفی کنیم.
- اول: شما باید یک استراتژی و چارچوب روشن برای به دست آوردن و استفاده از اطلاعات منبع باز داشته باشید. توصیه نمی شود که هر چیز جالب و مفید را جمع آوری کنید. پیش تر گفتیم که حجم زیادی از اطلاعات وجود دارد که ممکن است شما را تحت تاثیر قرار دهد. پس مراقب غرق شدن در دریای اطلاعات باشید.
درعوض، باید دقیق بدانید که می‌خواهید به چه چیزی برسید. برای مثال، برای شناسایی و رفع نقاط ضعف در شبکه تان شما باید انرژی خود را به طور خاص روی دستیابی به آن اهداف متمرکز کنید.
- دوم: شما باید مجموعه ای از ابزارها و روش ها را برای جمع آوری و پردازش اطلاعات منبع باز شناسایی کنید. دوباره می گوییم، حجم اطلاعات موجود برای فرآیند های دستی بسیار زیاد است پس سردرگم نشوید.
به طور کلی، مجموعه‌ی اطلاعات منبع باز به دو دسته تقسیم می شود:
- مجموعه‌ی فعال (active collection): مجموعه ی فعال، استفاده از انواع روش ها برای جستجوی اطلاعات خاص است. برای متخصصان امنیتی، این نوع جمع آوری به طور معمول دلایل مختلفی دارد از جمله جمع آوری اطلاعات بسیار خاص برای یک نوع تمرین مانند تمرین تست نفوذ.
- مجموعه ی غیر فعال (passive collection): بیشتر شامل استفاده از پلتفرم های اطلاعاتی تهدید (threat intelligence platforms, TIPS) برای ترکیب انواع تهدیدها هست که در یک مکان واحد و به راحتی قابل دسترس است. راه حل های پیشرفته تر مانند Recorded Future با استفاده از هوش مصنوعی، یادگیری ماشین و پردازش زبان طبیعی برای خودکار کردن فرآیند ها بر اساس نیازهای خاص سازمان، این مشکل را حل می‌کند.
البته مهاجمان سازمان یافته نیز به روشی مشابه، از بات نت ها برای جمع آوری اطلاعات با ارزش، با استفاده از روش هایی مانند شناسایی ترافیک و keylogging استفاده می‌کنند.
استفاده از موتورهای جستجو در هوش منبع باز
در حالی که ابزارهای رایگان و مفید زیادی برای متخصصان امنیتی و مهاجمان وجود دارد، برخی از رایج ترین ابزارهای اطلاعاتی منبع باز مورد استفاده (و مورد سو استفاده)، موتورهای جستجویی مانند گوگل هستند، البته نه به آن شکلی که بیشتر ما آن ها را می‌شناسیم.
همان طور که پیش تر توضیح دادیم، یکی از بزرگ ترین مشکلاتی که متخصصان امنیتی با آن مواجه هستند، نظمی است که کاربران عادی و خوش نیت به طور تصادفی دارایی ها و اطلاعات حساس را در اینترنت قرار می‌دهند. مجموعه ای از توابع جستجوی پیشرفته به نام پرس و جوهای “Google dork” وجود دارد که می توان از آن ها برای شناسایی اطلاعات و دارایی هایی که در معرض نمایش قرار می دهند، استفاده کرد.
به ترکیبی از فیلترهای جستجو که منجر به پیدا کردن اطلاعات ارزشمند می شود، Google Dork و یا به اختصار دورک (Dork) گفته می شود. برای آشنایی با انواع Dork ها می توانید به مقاله ی آموزش Google Hacking و Bing به زبان ساده مراجعه کنید.
پرس و جوهای Google dork بر اساس اپراتورهای جستجویی است که متخصصان فناوری اطلاعات و هکرها به صورت روزانه برای انجام کار خود، از آن ها استفاده می‌کنند. برای مثال “filetype:” نتایج جستجو را به یک نوع فایل خاص محدود می‌کند و “site:” فقط نتایج یک وب سایت یا دامنه ی مشخص را برمی‌گرداند.
عبارت زیر را در نظر بگیرید:
“sensitive but unclassified” filetype:pdf site:publicintelligence.net
اگر این عبارت جستجو را در یک موتور جستجو تایپ کنید، فقط اسناد PDF را از وب سایت publicintelligence.net که شامل کلمات "حساس اما طبقه بندی نشده (sensitive but unclassified)" در جایی از متن سند هستند، برمی‌گرداند. همان طور که می‌توانید تصور کنید، متخصصان امنیتی و مهاجمان می‌توانند از صدها فرمان دیگر برای جستجوی هر چیزی استفاده کنند.
علاوه بر موتورهای جستجو، صدها ابزار وجود دارد که می‌توانند برای شناسایی نقاط ضعف شبکه یا دارایی های آشکار استفاده شوند. به عنوان مثال، می‌توانید از Wappalyzer برای شناسایی فناوری های مورد استفاده در یک وب سایت استفاده کنید و نتایج را با Sploitus یا پایگاه داده ی آسیب پذیری ملی ترکیب کنید تا مشخص کنید آیا آسیب پذیری مربوطه وجود دارد یا خیر. با برداشتن یک قدم جلوتر، می‌توانید از راه حل های اطلاعاتی تهدیدات پیشرفته تر مانند Recorded Future برای تعیین این که آیا یک آسیب پذیری به طور فعال مورد سو استفاده قرار می‌گیرد یا در هر کیت بهره برداری فعال گنجانده شده است، استفاده کنید.
البته این مثال ها بخش کوچکی از آن چه با استفاده از ابزارهای هوشمند منبع باز به دست می‌آیند، هستند. تعداد زیادی ابزار رایگان و عالی وجود دارد که می‌توان از آن ها برای یافتن و تجزیه و تحلیل اطلاعات منبع باز استفاده کرد. برخی از عملکرد‌های رایج این ابزار ها عبارت اند از:
- جستجوی فراداده
- جستجوی کد
- بررسی افراد و هویت
- تحقیق در مورد شماره تلفن
- جستجو و تایید ایمیل
- پیوند دادن حساب های رسانه های اجتماعی
- تجزیه و تحلیل تصویر
- تحقیقات جغرافیایی و نقشه برداری (برای مثال شناسایی یک مکان بر اساس تجزیه و تحلیل تصویر که می توانید برای آشنایی بیشتر، مقاله ای با عنوان شناسایی مکان McAfee بر اساس تجزیه و تحلیل تصاویر را در سکان آکادمی مطالعه کنید.)
- شناسایی شبکه بی سیم و تجزیه و تحلیل بسته ها
هدف های شما هر چه که باشد، اطلاعات منبع باز می تواند برای همه‌ی رشته‌های امنیتی بسیار ارزشمند باشد. اما فراموش نکنید که در نهایت، پیدا کردن ترکیب مناسبی از ابزارها و روش ها برای نیازهای خاص شما زمان می برد. همچنین بخشی از زمان شما برای آزمون و خطا صرف خواهد شد.
مهم ترین عامل موفقیت، وجود یک استراتژی واضح است. یعنی وقتی که بدانید می خواهید چه کاری را انجام دهید و اهداف را بر اساس آن تعیین کنید، شناسایی مفیدترین ابزار ها و روش ها بسیار راحت خواهد بود.
امیدوارم مطالعه این مقاله برایتان مفید بوده باشد و سعی می کنم لیست مناسبی از ابزارهای این حوزه را در مقاله ی دیگری برایتان تهیه کنم.
منبع ها
