Comment et pourquoi appliquer OSINT pour protéger l'entreprise

Êtes-vous un fan des applications de réseaux sociaux axées sur le fitness telles que Strava ? Tu n'es pas seul. Même le personnel militaire aime suivre et partager ses courses. Cela sonne bien, sauf que toutes les données d'activité et GPS que l'application Strava collecte et publie invariablement exposent l'emplacement précis des bases militaires.

Vous pourriez être surpris de voir le genre d'informations qui sont accessibles au public sur Internet aujourd'hui. Mais cela ne devrait pas être une surprise, compte tenu de la façon dont nous vivons à l'époque du partage excessif. Nous annonçons sur Twitter et par e-mail des réponses automatiques concernant nos plans de vacances, invitant essentiellement les voleurs. Les professionnels de la sécurité l'appellent OSINT (intelligence open source), et les attaquants l'utilisent en permanence pour identifier et exploiter les vulnérabilités des processus, des technologies et des personnes. Les données OSINT sont généralement faciles à collecter et le processus est invisible pour la cible. (D'où la raison pour laquelle le renseignement militaire l'utilise avec d'autres outils OSINT comme HUMIT, ELINT et SATINT.)

La bonne nouvelle? Vous pouvez appuyer sur OSINT pour protéger vos utilisateurs. Mais vous devrez d'abord comprendre comment les attaquants exploitent OSINT pour évaluer suffisamment la portée de votre surface d'attaque et renforcer vos défenses en conséquence.

OSINT est un concept séculaire. Traditionnellement, les renseignements open source étaient recueillis par le biais de la télévision, de la radio et des journaux. Aujourd'hui, de telles informations existent partout sur Internet, notamment :

· Réseaux sociaux et professionnels comme Facebook, Instagram et LinkedIn
· Profils publics sur les applications de rencontres
· Cartes interactives
· Trackers de santé et de fitness
· Outils OSINT comme Censys et Shodan

Toutes ces informations accessibles au public aident les gens à partager des aventures avec des amis, à trouver des endroits obscurs, à suivre les médicaments et à trouver des emplois de rêve et même des âmes sœurs. Mais il y a aussi un autre côté. À l'insu des cibles potentielles, ces informations sont tout aussi facilement accessibles aux escrocs et aux cybercriminels.

Par exemple, la même application ADS-B Exchange que vous utilisez pour suivre les vols de votre proche en temps réel peut être exploitée par des acteurs malveillants pour localiser leurs cibles et élaborer des plans infâmes.

Comprendre les différentes applications d'OSINT

Les informations open source ne sont pas seulement disponibles pour ceux à qui elles sont destinées. Tout le monde peut y accéder et l'utiliser, y compris le gouvernement et les organismes chargés de l'application de la loi. Bien qu'ils soient bon marché et facilement accessibles, les États-nations et leurs agences de renseignement utilisent OSINT car il fournit de bons renseignements lorsqu'il est bien fait. Et comme il s'agit d'informations librement disponibles, il est très difficile d'en attribuer l'accès et l'utilisation à une seule entité.

Les organisations extrémistes et les terroristes peuvent militariser les mêmes informations open source pour collecter autant de données que possible sur leurs cibles. Les cybercriminels utilisent également OSINT pour concevoir des attaques d'ingénierie sociale et de harponnage hautement ciblées.

Les entreprises utilisent des informations open source pour analyser la concurrence, prédire les tendances du marché et identifier de nouvelles opportunités. Mais même les individus effectuent OSINT à un moment donné et pour diverses raisons. Qu'il s'agisse de googler un vieil ami ou une célébrité préférée, tout est OSINT.

Comment utiliser plusieurs techniques OSINT

Le passage au travail à domicile était inévitable, mais l'ensemble du processus a dû être accéléré lorsque le COVID-19 a frappé. Trouver des vulnérabilités et des données contre les personnes travaillant à domicile, en dehors du périmètre de sécurité traditionnel des organisations, n'est parfois qu'une simple recherche en ligne.

Des sites sociaux: Les cybercriminels peuvent collecter des données telles que les intérêts personnels, les réalisations passées, les détails de la famille et les emplacements actuels et même futurs des employés, des vice-présidents et des dirigeants de leurs organisations cibles. Ils peuvent ensuite l'utiliser pour créer des messages, des appels et des e-mails de harponnage.

Google: Les utilisateurs malveillants peuvent Google des informations telles que les mots de passe par défaut pour des marques et des modèles spécifiques d'équipements informatiques et d'appareils IoT tels que les routeurs, les caméras de sécurité et les thermostats domestiques.

GitHub: Quelques recherches naïves sur GitHub peuvent révéler des informations d'identification, des clés principales, des clés de chiffrement et des jetons d'authentification pour les applications, les services et les ressources cloud dans un code source ouvert et partagé. La tristement célèbre brèche de Capital One est un excellent exemple d'une telle attaque.

Piratage Google : Également connue sous le nom de Google Dorking, cette technique OSINT permet aux cybercriminels d'utiliser des techniques de recherche Google avancées pour trouver des vulnérabilités de sécurité dans les applications, des informations spécifiques sur des individus, des fichiers contenant des informations d'identification d'utilisateur, etc.

Shodan et Censys : Shodan et Censys sont des plates-formes de recherche pour les appareils connectés à Internet et les systèmes et plates-formes de contrôle industriels. Les requêtes de recherche peuvent être affinées pour trouver des appareils spécifiques présentant des vulnérabilités connues, des bases de données de recherche élastiques accessibles, etc.

Applications de l'OSINT pour les pratiques de défense

Les entreprises qui utilisent déjà OSINT pour identifier les opportunités et étudier les concurrents doivent élargir leur application OSINT à la cybersécurité.

Cadre OSINT, une collection d'outils OSINT, est un bon point de départ pour que les entreprises exploitent la puissance d'OSINT. Il aide les testeurs d'intrusion et les chercheurs en sécurité à découvrir et à collecter des données librement disponibles et potentiellement exploitables.

Des outils comme Censys et Shodan sont également principalement conçus pour les tests de pénétration. Ils permettent aux entreprises d'identifier et de sécuriser leurs actifs connectés à Internet.

Le partage excessif de données personnelles est problématique pour les individus et les organisations pour lesquelles ils travaillent. Les entreprises doivent éduquer les employés sur l'utilisation sûre et responsable des médias sociaux.

La formation de sensibilisation des employés à la cybersécurité devrait être, à tout le moins, une entreprise semestrielle. Les cyberattaques inopinées et les simulations de phishing doivent faire partie de ces ateliers de formation.