L'Open Source Intelligence (OSINT) sta suscitando un grande interesse da parte dei responsabili della cybersecurity. Qual è la portata e il contributo di questo specifico campo di indagine? Come operano gli esperti di OSINT e quanto è importante il loro lavoro nell'architettura della difesa informatica? Questo articolo analizza nel dettaglio i punti di forza dell'OSINT e la vasta portata delle sue applicazioni.
Definizione di un campo di indagine chiave
Dietro l'acronimo OSINT si nasconde una vasta gamma di dati con un elemento essenziale in comune: sono tutti pubblicamente accessibili. OSINT, o Open Source Intelligence, si riferisce alla capacità e all'intenzione di osservare da vicino e analizzare questi dati per fare previsioni o comprendere meglio un determinato fenomeno. Il valore strategico dell'analisi dei dati pubblici nel contesto informatico è relativamente facile da comprendere, ma l'OSINT ha applicazioni che vanno ben oltre gli attacchi informatici.
In francese, "Open Source Intelligence" si traduce come "renseignement de sources ouvertes" o "renseignement d'origine source ouverte" (ROSO). Si riferisce a informazioni accessibili a tutti e non classificate. Il concetto di "intelligence" è essenziale in questo caso. Per avere un'idea concreta delle attività di tipo OSINT, immaginate un'unità di intelligence, simile ai servizi segreti, ma che lavora con dati non nascosti né riservati.
Applicazioni e importanza dell'OSINT
L'OSINT viene spesso utilizzata per compiere progressi nella lotta contro il terrorismo, le minacce informatiche, le pratiche finanziarie fraudolente e tutta una miriade di attività illegali. Questa cellula di attività è quindi altrettanto preziosa per i governi quanto per le aziende.
Quali informazioni contiene l'OSINT?
L'Open Source Intelligence (OSINT) è intrinsecamente legata alla nostra era digitale. Grazie alla sovrabbondanza di scambi e dati su Internet, l'OSINT sta trovando il suo posto in questo oceano di informazioni pubblicamente accessibili. Questo campo non si riferisce solo al lavoro di analisi e ricerca, ma anche al vasto volume di dati disponibili.
I tre aspetti dei dati OSINT
L'Open Source Intelligence (OSINT) è intrinsecamente legata alla nostra era digitale. Con la sovrabbondanza di scambi e dati su Internet, l'OSINT trova la sua ragion d'essere in questo oceano di informazioni pubblicamente accessibili. Questa disciplina comprende non solo l'analisi e la ricerca, ma anche il vasto volume di dati disponibili.
Per essere considerate informazioni OSINT, devono :
- Essere ottenuto da una fonte liberamente accessibile.
- Essere acquisiti legalmente.
- Essere disponibile gratuitamente.
Qualunque sia l'origine dei dati (carta, social network, Internet), essi possono essere utilizzati dall'OSINT.
Informazioni pubbliche molto specifiche
L'OSINT non esamina qualsiasi informazione pubblica. Si concentra su :
- Aperto deliberatamente.
- Distribuito a un pubblico selezionato.
- Progettato per rispondere a una domanda specifica.
A volte, le informazioni non pubbliche vengono smistate per renderle utilizzabili dall'OSINT. Quando le informazioni richiedono un alto grado di riservatezza, vengono definite OSINT-V o Validated OSINT.
Storia e sviluppo dell'OSINT
L'OSINT ha origine nella Seconda guerra mondiale, quando le agenzie di sicurezza sfruttavano le informazioni open source per comprendere meglio i loro nemici. Il termine "OSINT" è stato formalizzato dai servizi militari statunitensi alla fine degli anni '80 per analizzare i campi di battaglia con un volume crescente di dati pubblici. Nel 1992, l'Intelligence Reorganization Act ha sottolineato l'importanza di utilizzare un'intelligence obiettiva e imparziale.
E oggi?
Lo scoppio della bolla Internet ha moltiplicato gli usi dell'OSINT, ponendola al centro delle strategie di difesa - militari, economiche e informatiche. Più recentemente, il conflitto russo-ucraino iniziato nel 2022 ha riaffermato l'importanza dell'OSINT. La minaccia di attacchi informatici su larga scala ha riposizionato l'OSINT al centro delle strategie di difesa informatica.
Chi pratica l'OSINT?
L'Open Source Intelligence (OSINT) è praticata principalmente da specialisti noti come OSINTER, o investigatori OSINT, conosciuti anche come analisti open source. Anche gli hacker etici utilizzano le tecniche OSINT per analizzare i sistemi e rilevare le vulnerabilità. Devono esaminare meticolosamente tutte le informazioni disponibili al pubblico per garantire una valutazione completa della sicurezza, il che li rende esperti nell'analisi OSINT.
Le competenze dell'investigatore OSINT in campo informatico
Affinché l'OSINT sia efficace nella cybersecurity, deve essere eseguita da esperti tecnici con :
- Conoscenza dello sviluppo informatico e di strumenti quali Python, NodeJS, TypeScript e Docker.
- Competenze da pentester, con una conoscenza approfondita delle tecniche di intrusion testing.
- Analisi approfondita dei dati grezzi.
- La capacità di progettare, sviluppare e mantenere script per perfezionare l'indagine.
- Familiarità con gli strumenti di intelligence delle minacce, la gestione dei TIP, i repository MITRE ATT&CK e la Kill Chain.
L'OSINTER deve anche essere un buon project manager, organizzato e metodico.
Quali sono gli strumenti OSINT per la cybersecurity?
Gli strumenti OSINT coprono un'ampia gamma di fonti pubbliche, tra cui :
- Blog e forum di discussione
- Motori di ricerca
- Reti sociali
- Piattaforme di condivisione di video e foto
- Stampa generale e pubblicazioni specializzate
Queste fonti sono essenziali per gli investigatori OSINT e circa l'80-90% delle informazioni elaborate dai professionisti dell'intelligence proviene da fonti aperte.
Il quadro OSINT
Uno dei concetti più importanti è il framework OSINT. OSINT è uno strumento open source di assistenza alla ricerca che classifica le fonti in 32 categorie diverse, tra cui social network, dark web, documenti pubblici, immagini, video e molte altre. Per ogni categoria sono disponibili strumenti specifici, sia gratuiti che a pagamento, per individuare con precisione le informazioni necessarie alle indagini.
Le sfide dell'indagine OSINT
Raccogliere informazioni liberamente e apertamente accessibili non è un compito facile. Il successo di un'indagine OSINT dipende dalle scelte fatte a monte, perché non tutte le ricerche possono essere condotte allo stesso modo. Ecco alcuni concetti da tenere a mente prima di avventurarsi nel mondo delle fonti aperte.
Distinguere tra OSINT attiva e passiva
Le indagini open source variano a seconda del tipo di contatto con l'obiettivo, il che implica diversi livelli di rischio.
Raccolta OSINT attiva
Quando l'investigatore OSINT contatta direttamente l'obiettivo per raccogliere dati in tempo reale o verificarne l'accuratezza, si parla di OSINT attiva. Questo metodo viene utilizzato per analizzare una rete o scansionare un sito web collegato a un obiettivo specifico.
Lo svantaggio principale di questa strategia è che l'investigatore può essere individuato. Se l'obiettivo rileva l'indagine, può :
- Interrompere l'accesso esterno alle informazioni della rete o del sito.
- Tentare di identificare gli investigatori e adottare misure di ritorsione, in particolare se l'obiettivo è coinvolto in attività fraudolente.
In questi casi, gli obiettivi di completezza e accuratezza dell'indagine OSINT possono essere compromessi.
Raccolta OSINT passiva
Al contrario, l'OSINT passiva presenta pochi rischi. Gli investigatori si concentrano su dati storici o informazioni provenienti da fonti terze, scollegate dall'obiettivo. Il rischio è che i dati recuperati non siano aggiornati e rilevanti. Tuttavia, la discrezione rimane la priorità per gli analisti.
I dati storici possono essere molto utili, soprattutto quando non sono disponibili informazioni in tempo reale. Ad esempio, se un sito web viene disattivato da qualcuno con intenti malevoli, i dati storici diventano preziosi. Anche se i dati non aggiornati possono portare a conclusioni errate, ripetere l'indagine con diversi specialisti può ridurre questo margine di errore.
