OSINT – White Intelligence
OSINT (Open Source Intelligence), auch White Intelligence genannt, ist die Analyse von Informationen aus offenen Quellen mit dem Ziel, Daten zu identifizieren, die für die Sicherheit einer Organisation von Bedeutung sein können.
Die Analyse kann Informationen über Infrastruktur, Domains, Technologien, Mitarbeiter, Datenlecks sowie andere Elemente der digitalen Spur einer Organisation umfassen.
Wir prüfen, welche Informationen ein potenzieller Angreifer finden kann, wie er diese miteinander verknüpfen kann und auf welche Weise sie weitere Aufklärung oder die Vorbereitung eines Angriffs unterstützen können.
Worin besteht die OSINT-Analyse?
Die OSINT-Analyse besteht darin, Informationen über eine Organisation aus externen Quellen zu sammeln, zu verifizieren und miteinander zu verknüpfen.
Eine einzelne Information stellt oft kein Problem dar. Erst die Zusammenstellung von Daten über Mitarbeiter, Infrastruktur, Technologien oder Geschäftspartner kann ein Bild ergeben, das für eine Person nützlich ist, die einen Angriff vorbereitet.
OSINT ermöglicht es also zu prüfen, was über eine Organisation ermittelt werden kann, ohne Zugang zu ihren internen Systemen zu erlangen.
Was prüfen wir während der OSINT-Analyse?
Der Umfang kann Informationen über Infrastruktur, Mitarbeiter, Domains, Technologien, Datenlecks sowie andere Elemente der digitalen Spur einer Organisation umfassen.
Je nach Projektziel analysieren wir unter anderem:
- aus dem Internet sichtbare Infrastruktur – Domains, Subdomains, IP-Adressen, öffentlich zugängliche Dienste und Informationen über verwendete Technologien,
- Informationen über Mitarbeiter und Organisationsstruktur – Positionen, Kontaktdaten und Informationen, die bei Social-Engineering-Maßnahmen nützlich sind,
- Lecks von Daten und Anmeldeinformationen, die mit der Organisation verbunden sind,
- soziale Medien, Foren und andere öffentliche Quellen, in denen Informationen über das Unternehmen oder seine Mitarbeiter erscheinen,
- öffentliche Register und historische Quellen, die zusätzliche Verbindungen oder Kontext offenlegen können,
- Quellen im Zusammenhang mit Datenlecks und Cyberkriminalität, sofern diese im vereinbarten Projektumfang enthalten sind.
Das Ziel besteht nicht darin, einfach eine große Menge an Daten zu sammeln. Am wichtigsten ist es festzustellen, welche Informationen aus Sicherheitsperspektive von Bedeutung sein können und wie sie bei weiterer Aufklärung genutzt werden können.
Wie nutzen Angreifer OSINT?
OSINT wird häufig in der Reconnaissance-Phase eingesetzt, also der Aufklärung, die einem eigentlichen technischen oder Social-Engineering-Angriff vorausgeht.
Öffentlich verfügbare Informationen können dabei helfen festzustellen, welche Technologien ein Unternehmen nutzt, wer für bestimmte Prozesse verantwortlich ist oder welche Infrastrukturelemente aus dem Internet sichtbar sind.
Daten über Mitarbeiter, Geschäftspartner oder laufende Projekte können wiederum die Glaubwürdigkeit von Phishing, Spear-Phishing oder Vishing erhöhen.
Die OSINT-Analyse ermöglicht es, einen Teil solcher Informationen zu identifizieren, bevor sie gegen die Organisation eingesetzt werden.
Wie verläuft die OSINT-Analyse?
Die OSINT-Analyse umfasst die Festlegung des Umfangs, das Sammeln von Informationen, deren Verifizierung und Korrelation sowie die Bewertung der Bedeutung aus Sicherheitsperspektive.
1. Festlegung von Ziel und Umfang
Wir legen fest, ob sich die Analyse auf die gesamte Organisation, einen bestimmten Bereich, die Infrastruktur oder ausgewählte Personen beziehen soll.
2. Sammeln und Verifizieren von Informationen
Wir analysieren offene Quellen und identifizieren Informationen, die mit der Organisation und dem festgelegten Projektumfang verbunden sind.
3. Korrelation von Daten
Wir verknüpfen Informationen aus verschiedenen Quellen und prüfen, ob sie zusammen zusätzlichen Kontext über die Organisation offenlegen können.
4. Bewertung der Exposition
Wir bewerten, welche Informationen weitere Aufklärung, Social-Engineering-Maßnahmen oder die Vorbereitung eines Angriffsszenarios unterstützen können.
Was erhalten Sie nach der Analyse?
Nach der OSINT-Analyse erhalten Sie eine Zusammenfassung der identifizierten Informationen, eine Bewertung ihrer Bedeutung für die Sicherheit sowie Empfehlungen zur Reduzierung der Exposition.
Die Analyseergebnisse helfen dabei:
- von außen verfügbare Informationen über die Organisation zu identifizieren,
- Daten aufzuzeigen, die bei der Vorbereitung eines Angriffs nützlich sein können,
- Bereiche zu bestimmen, die eine Reduzierung der Exposition erfordern,
- weitere sicherheitsrelevante Maßnahmen zu planen.
Dadurch gibt OSINT der Organisation ein Bild davon, was eine Person sehen kann, die vor einem potenziellen Angriff Aufklärung betreibt.
Wann lohnt sich eine OSINT-Analyse?
Eine OSINT-Analyse lohnt sich dann, wenn eine Organisation ihre digitale Spur überprüfen und bewerten möchte, welche Informationen aus externer Perspektive über sie verfügbar sind.
Besonders empfehlenswert ist eine Analyse:
- vor Red Teaming oder Social-Engineering-Tests,
- nach einem Vorfall oder Datenleck,
- nach größeren organisatorischen oder technologischen Veränderungen,
- als Bestandteil einer regelmäßigen Bewertung der Organisationsexposition.
OSINT und Red Teaming sowie Penetrationstests
OSINT kann eine eigenständige Analyse sein, wird aber auch als Reconnaissance-Element während Red Teaming und anderen Offensive-Security-Maßnahmen eingesetzt.
Beim Red Teaming können während der Aufklärung gesammelte Informationen bei der Vorbereitung eines realistischen Szenarios und der Identifizierung potenzieller Einstiegspunkte helfen.
Bei Penetrationstests kann OSINT die Aufklärungsphase unterstützen, indem Informationen über die zu testende Umgebung gesammelt werden, bevor die eigentlichen technischen Tests beginnen.
Der Analyseumfang hängt vom Projektziel ab.
Welche Quellen werden in OSINT genutzt?
OSINT nutzt viele offene Quellen, darunter Websites, soziale Medien, öffentliche Register, Website-Archive sowie technische Daten zur Infrastruktur.
Je nach Analyseumfang können auch spezialisierte Tools zur Unterstützung der Infrastruktursuche und Beziehungsanalyse eingesetzt werden, wie Shodan, Censys, Maltego oder SpiderFoot.
Tools unterstützen die Arbeit des Analysten, entscheidend sind jedoch die Verifizierung von Informationen, deren Korrelation und Bewertung im Kontext der jeweiligen Organisation.
FAQ
Ist OSINT legal?
OSINT kann legal durchgeführt werden, sofern es auf zulässigen Quellen und Methoden basiert und in Übereinstimmung mit geltenden Vorschriften und Grundsätzen der Datennutzung erfolgt. Die OSINT-Analyse sollte weder das Überwinden von Sicherheitsmaßnahmen noch die unbefugte Beschaffung von Informationen umfassen.
Erfordert eine OSINT-Analyse Zugriff auf die Systeme des Unternehmens?
Die OSINT-Analyse konzentriert sich in erster Linie auf Informationen, die aus externer Perspektive verfügbar sind. Der Projektumfang kann jedoch die Übermittlung grundlegender Informationen erfordern, die zur ordnungsgemäßen Bestimmung der zu analysierenden Organisation oder Umgebung erforderlich sind.
Kann die OSINT-Analyse bestimmte Mitarbeiter umfassen?
Ja, sofern dies aus dem vereinbarten Projektumfang hervorgeht. Die Analyse kann beispielsweise Personen umfassen, die Schlüsselfunktionen ausüben oder besonders anfällig für Social-Engineering-Maßnahmen sind.
Umfasst OSINT das Dark Web?
Der Analyseumfang kann die Überprüfung von Quellen im Zusammenhang mit Datenlecks und Cyberkriminalität hinsichtlich Informationen über die Organisation umfassen. Den genauen Umfang legen wir vor Projektbeginn fest.
Wie oft lohnt sich eine OSINT-Analyse?
Die Häufigkeit hängt von der Organisation sowie den Veränderungen in ihrem Umfeld ab. Eine Analyse sollte nach einem Vorfall, größeren organisatorischen oder technologischen Veränderungen sowie als Bestandteil einer regelmäßigen Expositionsbewertung erneut in Betracht gezogen werden.
Können die im Rahmen einer OSINT-Analyse gefundenen Informationen eingeschränkt werden?
Die Möglichkeit, die Exposition zu reduzieren, hängt von der Quelle und Art der Informationen ab. Die Analyseergebnisse ermöglichen es, Bereiche aufzuzeigen, in denen es sinnvoll ist, die Art der Datenveröffentlichung, die Konfiguration von Diensten oder die Grundsätze des Informationsmanagements zu ändern.
Fragen Sie nach einer OSINT-Analyse
Kontaktdaten
