Conduzindo Reconhecimento Externo com OSINT

Quando Usar

• Realizando a fase inicial de reconhecimento de um teste de penetração para coletar inteligência antes do escaneamento ativo
• Mapeando a superfície de ataque externa de uma organização para identificar ativos de TI desconhecidos ou ocultos (shadow IT)
• Coletando informações de funcionários, formatos de e-mail e estrutura organizacional para campanhas de engenharia social
• Identificando credenciais expostas, dados vazados ou documentos sensíveis publicados na internet
• Definindo o escopo da pegada digital de uma organização antes de um engajamento de equipe vermelha (red team)

Não use para perseguição, assédio ou vigilância não autorizada de indivíduos. A coleta de OSINT deve ser realizada dentro do escopo de um engajamento autorizado e em conformidade com as leis de privacidade aplicáveis (GDPR, CCPA).

Pré-requisitos

• Autorização por escrito para realizar reconhecimento contra a organização alvo
• Estação de pesquisa dedicada com VPN ou Tor para consultas anonimizadas quando necessário
• Ferramentas do framework OSINT instaladas: Amass, theHarvester, Shodan CLI, Recon-ng, SpiderFoot
• Chaves de API para Shodan, Censys, SecurityTrails, Hunter.io, VirusTotal e GitHub para resultados aprimorados
• Contas de e-mail descartáveis para acessar serviços que exigem registro durante a pesquisa

Fluxo de Trabalho

Etapa 1: Enumeração de Domínio e DNS

Enumere todos os domínios, subdomínios e registros DNS associados ao alvo:

• Identificação do domínio raiz: Comece com o domínio principal e identifique todos os domínios relacionados por meio de pesquisas reversas de WHOIS pelo nome do registrador, e-mail e organização usando whoxy.com ou domaintools.com
• Enumeração de subdomínios: Execute várias ferramentas para cobertura abrangente:
  • amass enum -passive -d target.com -o amass_subs.txt para descoberta passiva de subdomínios de mais de 40 fontes de dados
  • subfinder -d target.com -all -o subfinder_subs.txt para enumeração passiva rápida
  • Consultas de log de transparência de certificado crt.sh: curl -s "https://crt.sh/?q=%25.target.com&output=json" | jq -r '.[].name_value' | sort -u
• Análise de registros DNS: Consulte todos os tipos de registros: dig target.com ANY, verifique os registros SPF, DKIM, DMARC que revelam a infraestrutura de e-mail e enumere os registros MX para identificar provedores de e-mail
• Tentativa de transferência de zona: dig axfr @ns1.target.com target.com para verificar servidores DNS mal configurados
• Consolidar resultados: Mescle, deduplique e resolva todos os subdomínios descobertos para endereços IP. Mapeie endereços IP para provedores de ASN e hospedagem.

Etapa 2: Descoberta de Infraestrutura e Serviços

Identifique a infraestrutura voltada para a internet sem escanear diretamente os sistemas alvo:

• Shodan: shodan search "ssl.cert.subject.cn:target.com" para encontrar todos os serviços voltados para a internet com certificados TLS para o domínio alvo. Pesquise também por nome da organização e faixas de IP.
• Censys: Pesquise as faixas de IP e certificados TLS do alvo para identificar serviços, tecnologias e possíveis vulnerabilidades indexadas por escaneamento em toda a internet
• Descoberta de ativos na nuvem: Verifique buckets S3 (target-com, target-backup, target-dev), Azure Blob storage (target.blob.core.windows.net) e GCP storage usando ferramentas como cloud_enum
• Identificação de WAF e CDN: Use wafw00f target.com para identificar firewalls de aplicativos web e provedores de CDN que podem mascarar o IP do servidor de origem
• Dados históricos: Use o Wayback Machine (web.archive.org) para encontrar páginas removidas, versões antigas de aplicativos e endpoints esquecidos

Etapa 3: Inteligência de E-mail e Pessoal

Colete informações de funcionários e endereços de e-mail para preparação de engenharia social:

• Coleta de e-mails: theHarvester -d target.com -b all -f harvest_results.html para coletar e-mails de mecanismos de busca, LinkedIn e fontes de dados
• Identificação do formato de e-mail: Use hunter.io para determinar o formato do e-mail (primeiro.ultimo, pultimo, primeirou) e verificar a entregabilidade
• Reconhecimento no LinkedIn: Identifique funcionários por departamento, especialmente administradores de TI, membros da equipe de segurança e executivos. Observe as tecnologias mencionadas em vagas e perfis de funcionários.
• Organograma: Construa um organograma a partir de dados do LinkedIn para entender as estruturas de relatórios, identificar pessoal-chave e mapear departamentos
• Análise de mídias sociais: Revise os perfis de mídia social dos funcionários em busca de informações sobre ferramentas internas, tecnologias, locais de escritório, fotos de crachás e práticas de segurança

…