OSINT v penetračním testu: co jde o firmě zjistit předem

Zkratka OSINT pokrývá tři různé disciplíny a sama mezi nimi nerozlišuje. Novinář jí říká práci s otevřenými zdroji při ověřování faktu. Firma, která si prověřuje obchodního partnera, jí říká rozbor veřejných rejstříků. V penetračním testu je to průzkum před útokem. Metoda se místy překrývá, zadání ani výstup ne.

Tahle stránka popisuje jen třetí význam. OSINT u nás není samostatná služba, kterou by šlo objednat zvlášť, ale první fáze testu nebo red team operace. Prověřování obchodních partnerů ani pátrání po lidech z něj neplyne a neděláme je.

Hranice vede podle toho, jestli se sběr dotkne cílové infrastruktury. Pasivní OSINT čte jen to, co je zveřejněné jinde: rejstříky, archivy stránek, certifikátové logy, veřejné profily. Cílová firma se o něm nedozví, protože s jejími systémy nikdo nekomunikuje.

Aktivní OSINT se cíle dotkne. Dotaz na jmenný server, načtení přihlašovací stránky, ověření, jestli konkrétní e-mailová adresa existuje. Každý takový krok nechá záznam v logu a může spustit alert, takže se z průzkumu stává první měřitelný kontakt s obranou.

Rozdíl není akademický, protože rozhoduje o tom, odkdy je potřeba písemné pověření. Pasivní sběr pracuje s tím, co je venku beztak. Aktivní sběr už míří na cizí systém a bez souhlasu jeho majitele se nedělá. Kde přesně ta čára leží u konkrétní techniky, posuzuje právník, ne tester.

Zdroje se dají rozdělit do šesti kategorií. Znát kategorie je užitečnější než znát seznam nástrojů: nástroje se mění každý rok, kategorie zůstávají.

• DNS a certifikátové logy: adresy, které firma provozuje, včetně těch, na které roky nikdo nesáhl.
• Pracovní inzeráty a profesní profily: inzerát na správce konkrétního systému prozradí, co uvnitř běží, přesněji než sken zvenčí.
• Metadata v publikovaných dokumentech: jména, interní cesty a verze programů, ve kterých soubor vznikl.
• Vlastní web a marketingové materiály: stránka s představením týmu, fotky z kanceláří a videa z náboru. Ukážou toho víc než rejstřík: typ přístupové karty na klopě, model čtečky u dveří, rozvržení recepce. Na tyhle detaily navazuje prověření přístupových karet a ostrahy.
• Veřejné rejstříky a registry: statutáři, vlastnická struktura, uzavřené smlouvy a jejich hodnoty.
• Úniky přihlašovacích údajů z cizích služeb: adresy zaměstnanců, o kterých firma neví, že jsou dávno venku; uniklé přihlašovací údaje jako zdroj mají vlastní heslo.

Jednotlivá položka sama o sobě nic neznamená. Cenu má až jejich složení: ze dvou veřejných dokumentů a jednoho profilu vznikne dost na to, aby zpráva zněla jako od kolegy z vedlejšího oddělení. Co se s takovou mapou dělá dál, popisuje průzkum, ze kterého stavíme vstupní scénář.

Průzkum plní dva úkoly naráz. Sestaví technický seznam toho, kudy se dá dovnitř, a dodá materiál na záminku. První je výčet adres, služeb a přihlašovacích rozhraní. Druhý je detail, který příjemce zprávy zná a nemá důvod ho zpochybnit.

Záminka postavená na projektu, který firma sama vypsala ve veřejné zakázce, projde tam, kde obecná výzva k obnovení hesla neprojde. Přesně tím se cílená zpráva liší od plošné rozesílky: není lépe napsaná, je lépe připravená.

Zákazem sociálních sítí se to nevyřeší, protože část té stopy vzniká mimo dosah firmy. Použitelnější je nacvičení reakce na cílenou zprávu: aby lidé věděli, komu podezřelou zprávu nahlásit, a aby za to nikdo nesklidil výtku.

Nejde o přípravu, která se nepočítá. Průzkum před útokem má v MITRE ATT&CK vlastní taktiku Reconnaissance (TA0043), tedy vlastní skupinu technik s vlastními označeními. Od průzkumu uvnitř sítě, který přijde až po průniku, se liší tím, že se odehraje dřív, než se kdokoli dostane dovnitř. Jak jsou taktiky útočníka seřazené, rozebírá vlastní heslo.

Část stopy zmenšit nejde a je poctivé to říct rovnou. Obchodní rejstřík, registr smluv i certifikátové logy jsou veřejné z principu a nikdo je kvůli jedné firmě nezavře. Snaha zmizet z nich je ztráta času.

Zmenšit jde to ostatní. Zrušit subdomény a testovací instance, které už nikdo nepoužívá. Vypustit z inzerátů přesné verze systémů a nechat v nich jen roli. Čistit metadata z dokumentů dřív, než se publikují. A domluvit se s lidmi na tom, co do veřejného profilu patří, místo zákazu, který stejně nikdo nedodrží. Projít vlastní web očima útočníka je z těch kroků nejlevnější a firma na něj má plné právo, protože ten obsah vyrobila sama.

Cílem není zmizet, to nejde. Cílem je vědět, co je vidět, a nebýt tím překvapený ve chvíli, kdy to někdo použije.