OSINT: hvad offentlige oplysninger afslører om jeres organisation

Hvad er OSINT i praksis?

Det er indsamling og analyse af offentligt tilgængelige oplysninger uden adgang til nogens systemer: ingen adgangskode bruges, ingen sårbarhed udnyttes, ingen konto kontaktes. Vi læser det, der allerede er eksponeret, krydstjekker det og forklarer, hvad det betyder for jeres organisation.

Værdien ligger ikke i det enkelte datapunkt, men i sammenhængen. Et glemt underdomæne, et certifikat, der afslører et internt servernavn, og en arbejdsadresse fundet i et gammelt datalæk beskriver tilsammen en vej, som ingen af dem viste alene. En OSINT-opgave handler derfor først om at se jeres organisation, som en angriber ser den — og derefter om at reducere det, der er nyttigt for angriberen.

Hvem det er til

For virksomheder og organisationer , der vil vide, hvad de eksponerer: før en audit eller certificering, efter en hændelse, før en ny tjeneste åbnes, eller fordi der er opstået tvivl. For advokater og deres klienter som teknisk bistand: undersøgelse og sikring af offentligt indhold, der er konkret identificeret i en sag, med den tilhørende dokumentation. Cyber Praxis SRL arbejder fra Lasne i Belgien for kunder i Belgien, Frankrig og internationalt, herunder Danmark; OSINT-opgaver udføres på afstand.

Ydelserne

1. Kortlægning af den eksterne angrebsflade

En oversigt over det, jeres organisation eksponerer på internettet: domænenavne og underdomæner, IP-adresser og tilgængelige tjenester, TLS-certifikater — også dem, der afslører interne værtsnavne —, åbne administrations- eller fjernadgangsportaler, offentlige koderepositorier og de konfigurationsfiler, der ligger i dem. Resultatet er en liste over aktiver sorteret efter eksponering, som næsten altid indeholder elementer, ingen i organisationen vidste var online.

2. Søgning efter lækkede loginoplysninger

Arbejdsadresser og loginoplysninger, der optræder i offentligt dokumenterede datalæk. Vi vurderer den reelle risiko — lækkets alder, typen af eksponeret hemmelighed, sandsynlig genbrug, berørte konti — og giver anbefalinger: målrettede nulstillinger, totrinsgodkendelse, gennemgang af postkasseregler, overvågning af logins. Vi tester aldrig en loginoplysning, hverken på jeres systemer eller andres.

3. Opsporing af efterligning og phishing

Forvekslelige domæner — ombyttede bogstaver, nærliggende endelser, vildledende præfikser —, falske websites med jeres visuelle identitet, falske loginsider, profiler og annoncer, der misbruger jeres brand. Hvert fund dokumenteres — URL, dato og klokkeslæt, skærmbillede, domænets registreringsdata — i en form, der kan bruges til en anmodning om fjernelse eller af jeres advokat.

4. Trusselsovervågning

Overvågning af offentlige oplysninger, der er relevante for jeres teknologier: nyligt offentliggjorte sårbarheder i de produkter, I faktisk bruger, aktive angrebskampagner i jeres branche, metoder rapporteret af CERT'er og leverandører. Pointen er filtreringen: I får det, der vedrører jeres miljø, ikke et nyhedsfeed.

5. Støtte ved hændelseshåndtering

Under eller efter en hændelse leder vi efter offentlige indikatorer, der svarer til det, I har observeret — domæner, adresser, hashværdier af filer, allerede dokumenteret infrastruktur — og sammenholder dem med det tekniske materiale, I leverer. Arbejdet supplerer analysen af jeres egne systemer, som hører under digital efterforskning.

6. Søgning efter eksponerede data

Organisationens dokumenter og data, der ved en fejl er gjort offentligt tilgængelige: åbne lagerbeholdere, tilgængelige sikkerhedskopier, dokumenter indekseret af søgemaskiner, filer lagt på delingstjenester, filer offentliggjort med deres metadata. Vi beskriver, hvad der er eksponeret, hvad der kan udledes af det, og de skridt, der reducerer eksponeringen — fjernelse, afindeksering, rettede tilladelser.

7. Teknisk analyse af identificeret offentligt indhold

På anmodning af en kunde eller dennes advokat undersøger og sikrer vi sider, filer eller opslag, der er konkret identificeret: dokumentation af URL'er, dato og klokkeslæt, skærmbilleder, kopier af filerne og kryptografiske hashværdier, hvor det er relevant. Vi beskriver, hvad indholdet viser, og under hvilke forhold det blev indsamlet. Vi påstår ikke, at et skærmbillede alene fastslår, hvem der har lavet indholdet, eller at det er ægte: det er to forskellige spørgsmål, og rapporten siger det.

8. Cyber due diligence af en leverandør

Før I betror en leverandør data, eller under et udbud: leverandørens tekniske eksponering, hygiejnen i dens domæner og certifikater, de sikkerhedsoplysninger, den selv offentliggør — certificeringer, sikkerhedsside, hændelser, den selv har offentliggjort. Analysen bygger på offentlige kilder og på det, leverandøren offentliggør; den erstatter ikke et kontraktligt spørgeskema, men gør det muligt at udfylde det med indsigt.

Hvad vi ikke gør

Vores OSINT-opgaver er cybersikkerhed og teknisk analyse. Cyber Praxis SRL er ikke et privatdetektivbureau og påtager sig ikke undersøgelser, der skal kortlægge en persons adfærd — en partner, en medarbejder, en nabo, en modpart — i en tvist. Hvordan en opgave kvalificeres, afhænger blandt andet af dens formål, og at man kun bruger offentlige kilder, ophæver ikke reglerne om private efterforskninger. Derfor aftales omfanget skriftligt, før en sag accepteres.

Ved analyse af indhold til brug i en retssag: beskriv omfanget, og send det allerede identificerede materiale — URL'er, skærmbilleder, referencer. Vi siger derefter, hvad der kan lade sig gøre, hvad der ikke kan, og med hvilke forbehold, før vi påtager os opgaven. En teknisk konstatering fremstilles ikke som bevis: det er den domstol, der behandler sagen, som vurderer bevisværdien.