OSINT - Open Source Intelligence

Wat is OSINT?

OSINT (Open Source Intelligence) is het systematisch verzamelen en analyseren van informatie uit openbaar toegankelijke bronnen. De term komt uit de inlichtingenwereld, waar analisten ermee onderscheid maakten tussen geheime en publieke bronnen. In cybersecurity is OSINT de eerste fase van zowel een aanval als een pentest. Doel is te achterhalen wat over een target publiek beschikbaar is, zonder ook maar één pakket richting hun infrastructuur te sturen. MITRE ATT&CK categoriseert dit onder de tactic Reconnaissance (TA0043).

OSINT is geen hacking. Er wordt niets misbruikt of omzeild; alles wat OSINT oplevert staat al op het internet voor wie weet waar te kijken.

Welke bronnen gebruikt OSINT?

De waarde van OSINT zit in het combineren van verschillende bronnen tot één coherent beeld.

DNS, WHOIS en certificate-transparency-logs onthullen subdomeinen, mailservers en historische records. Zoekmachines met gerichte dorks zoals site:example.com filetype:pdf brengen documenten boven die niet via de navigatie van een website te vinden zijn. LinkedIn geeft vaak een vrijwel compleet beeld van het organigram, de gebruikte technologieën en recente personeelswisselingen.

Code-repositories als GitHub en GitLab bevatten regelmatig achtergelaten API-keys, database-strings of interne configuraties. PDF’s en Office-documenten bevatten metadata met auteursnamen, software-versies en bestandspaden. Internet-scanners als Shodan en Censys tonen internet-facing services en certificaten. Breach-databases als HaveIBeenPwned laten zien welke e-mailadressen van uw medewerkers ooit in een datalek zijn opgedoken. De Wayback Machine en bedrijfsregisters (zoals de KvK) leveren historische context. Denk aan een pagina die u verwijderd had maar nog steeds te bekijken is, of aan een bestuurder die al een tijdje weg is.

OSINT in een pentest

In een bedrijfsnetwerk pentest begint OSINT meestal bij scope-verificatie. Welke domeinen en IP-ranges zijn echt van u, en welke daarvan zijn publiek bereikbaar? Daaruit komt vrijwel altijd minstens één subdomein of host die niemand meer op het netvlies had.

Voor een phishing simulatie is OSINT de basis voor de target-lijst. Wij combineren e-mailadressen die wij in publieke bronnen vinden met namen en functies van LinkedIn, zodat de phishing-aanval geloofwaardig in de context van uw organisatie past. Bij een spear phishing gaan wij dieper. Persoonlijke contexten, recente projecten en publieke uitspraken van het target verwerken wij dan in het phishing-scenario dat de aanvaller opzet.

Tijdens elke OSINT-ronde letten wij specifiek op gevoelige informatie in code-repositories of document-metadata. Het komt regelmatig voor dat een ontwikkelaar een snelle test-commit doet met een echte API-key erin en die nooit meer terugdraait.

Wat kan een aanvaller met OSINT bereiken?

OSINT op zichzelf doet geen schade. De gevonden informatie vormt de basis voor wat erna komt.

Met een lijst e-mailadressen en namen wordt phishing pas effectief. Een mail van “HR” met de echte naam van uw HR-manager komt verder dan een generieke phishing-blast. Een gelekte API-key uit een GitHub-commit geeft directe toegang tot uw cloud-omgeving, zonder dat een aanvaller ook maar één wachtwoord hoeft te raden. Een vergeten subdomein dat naar een verlopen cloud-resource wijst is een klassieke subdomain takeover, waarmee een aanvaller content kan plaatsen onder uw eigen domeinnaam. Een softwareversie die in document-metadata staat onthult welke kwetsbaarheden hij gericht kan proberen.

In de praktijk is OSINT zelden het moeilijkste deel van een aanval. Het is wel het deel waar een aanvaller besluit of het de moeite is om verder te gaan.

Hoe verkleint u uw OSINT-footprint?

Volledig onzichtbaar maken kunt u uw organisatie niet, en dat is ook geen doel. U kunt wel de easy wins voor een aanvaller weghalen:

• Strip metadata uit documenten voor publicatie. PDF-converters en Office-instellingen bieden meestal een optie om persoonsgegevens en bestandspaden te verwijderen.
• Run secret-scanning op uw code-repositories. Tools zoals gitleaks en trufflehog vinden hardcoded API-keys, ook in oude commits. GitHub en GitLab bieden vergelijkbare native scanning aan.
• Schoon DNS-records op. Wildcard records, oude staging-subdomeinen en vergeten cloud-resources zijn de eerste vondsten in iedere OSINT-ronde.
• Monitor breach-databases voor uw eigen domein. HaveIBeenPwned biedt een gratis e-mailalert voor domeinen, zodat u weet wanneer credentials zijn gelekt en kunt forceren dat die wachtwoorden worden gereset.
• Bespreek met uw medewerkers welke informatie zij op LinkedIn delen. Een gedetailleerde beschrijving van uw interne IT-stack hoort daar niet bij.
• Voer periodiek een externe footprint-audit uit. Dat kan als losse opdracht of als onderdeel van een pentest waar dat afgesproken is.

Geen van deze maatregelen maakt OSINT onmogelijk. Ze verhogen wel de moeite die een aanvaller moet doen voordat hij iets bruikbaars vindt.