In den 1980er Jahren vollzog sich im Bereich der Militär- und Geheimdienste ein Paradigmenwechsel. Klassische Aktivitäten wie das Abfangen von Briefen und Abhören von Telefongesprächen wurden von einem neuen Trend zur Geheimnisausspähung abgelöst: Dabei konzentrierten sich Agenten darauf, frei verfügbare oder offiziell veröffentlichte Informationen für ihre Zwecke zu nutzen. Es war eine andere Welt, die ohne Social Media auskommen musste. Stattdessen waren Zeitungen und öffentlich verfügbare Datenbanken die Hauptquellen für interessante und/oder nützliche Informationen.

OSINT - Definition

Das hört sich simpel an, erforderte in der Praxis allerdings ein Höchstmaß an Kombinationsfähigkeit, um relevante Informationen zuverlässig miteinander zu verknüpfen und daraus ein Lagebild zu erstellen. Diese Art der Spionage bezeichnete man als Open Source Intelligence (OSINT).

Die OSINT-Taktik kann heute auch auf das Gebiet der Cybersecurity angewandt werden. Denn die meisten Unternehmen und Organisationen verfügen über eine ausgedehnte, in weiten Teilen öffentlich zugängliche Infrastruktur, die diverse Netzwerke, Technologien, Hosting Services und Namespaces umfasst. Informationen beziehungsweise Daten können sich dabei auf diversen Geräten befinden - den Rechnern von Mitarbeitern, On-Premises Servern, privaten Devices von Mitarbeitern (im Sinne von "Bring your own Device"), Cloud-Instanzen oder auch dem Quellcode von aktiven Applikationen.

Tatsächlich weiß die IT-Abteilung in Großunternehmen in der Praxis so gut wie nie über alle Assets im Unternehmen Bescheid - ob öffentlich zugänglich oder nicht. Dazu gesellt sich der Umstand, dass die meisten Unternehmen auch verschiedene zusätzliche Assets indirekt verwalten - etwa ihre Social Media Accounts. Gerade in diesem Bereich werden oft Informationen vorgehalten, die gefährlich werden könnten, falls sie in falsche Hände geraten.

An dieser Stelle kommt die aktuelle Generation der Open Source Intelligence Tools ins Spiel. Die OSINT-Werkzeuge übernehmen im Wesentlichen drei Funktionen:

1. Öffentlich zugängliche Assets aufspüren: Die gängigste Funktion von OSINT Tools ist es, IT-Teams dabei zu unterstützen, öffentlich zugängliche Assets und die darin enthaltenen Informationen zu ermitteln. Dabei geht es insbesondere um Daten, die potenziell zur Erschließung von Angriffsvektoren beitragen könnten. Damit ist jedoch nicht die Ermittlung von Sicherheitslücken oder Penetration Testing gemeint - es geht ausschließlich um Informationen, die ohne den Einsatz von Hacking-Methoden zugänglich sind.

2. Relevante Informationen außerhalb der Organisation finden: Eine weitere Funktion von Open Source Intelligence Tools liegt darin, Informationen aufzuspüren, die sich außerhalb der eigenen Organisation befinden - also etwa auf Social-Media-Plattformen oder Domains. Dieses Feature dürfte insbesondere für Großunternehmen interessant sein, die im Rahmen von Firmenübernahmen neue IT Assets integrieren. Angesichts des extremen Wachstums von Social-Media-Plattformen ist die Überprüfung auf sensible Informationen außerhalb der Unternehmensgrenzen für jede Organisation sinnvoll.

3. Ermittelte Informationen verwertbar zusammenstellen: Einige OSINT Tools sind in der Lage, gesammelte Informationen und Daten in verwertbarer Form zusammenzufassen. Ein OSINT Scan kann im Fall eines Großunternehmens hunderttausende von Ergebnissen aufwerfen - insbesondere, wenn sowohl interne als auch externe Quellen miteinfließen. Die Daten zu strukturieren und die drängendsten Probleme zuerst anzugehen, ist nicht nur in solchen Fällen hilfreich.

Open Source Intelligence - die besten Tools

Indem sie Informationen über Ihr Unternehmen, Ihre Mitarbeiter, Ihre IT Assets oder andere sensible Daten zu Tage fördern, die von böswilligen Angreifern ausgenutzt werden könnten, können geeignete Open Source Intelligence Tools dazu beitragen, Ihr IT-Security-Niveau zu erhöhen: Wenn Sie solche Informationen vor den Angreifern finden, können Sie die Gefahr böswilliger Aktivitäten - von Phishing- bis hin zu Denial-of-Service-Attacken - deutlich reduzieren. Im Folgenden stellen wir Ihnen einige der besten Open Source Intelligence Tools sowie deren individuelle Stärken vor.

Maltego

Dieses OSINT Tool ist darauf ausgelegt, Beziehungsgeflechte zwischen Menschen, Unternehmen, Domains und öffentlich zugänglichen Informationen im World Wide Web offenzulegen. Die Ergebnisse visualisiert Maltego in Form ansprechender Grafiken und Diagramme, in die bis zu 10.000 Datenpunkte einfließen können. Maltego durchsucht auf Knopfdruck automatisiert verschiedene öffentliche Datenquellen. Dazu gehören etwa DNS-Abfragen, Suchmaschinen und soziale Netzwerke. Kompatibel ist das Tool mit nahezu jeder Datenquelle, die ein öffentlich zugängliches Interface aufweist.

Ist die Informationssammlung abgeschlossen, verknüpft das OSINT Tool die Daten und gibt Auskunft über die verborgenen Relationen zwischen Namen, E-Mail-Adressen, Unternehmen, Webseiten und anderen Informationen. Weil Maltego auf Java-Basis entstanden ist, läuft es zuverlässig auf Windows-, Mac- und Linux-Plattformen.

Für Privatpersonen und kleine Teams steht Maltego wahlweise in der CE- oder Pro-Edition zur Verfügung. Während erstere kostenlos ist (und eingeschränkte Funktionen aufweist), kostet die Pro-Version jährlich 1.099 Euro. Unternehmen haben die Wahl zwischen der OSINT- und CTI-Version. Eine entsprechende Demo-Version und Infos zum Preisgefüge gibt's auf Anfrage.

Recon-ng

Softwareentwickler die mit Python arbeiten, steht mit Recon-ng ein vielschichtiges OSINT Tool zur Verfügung. Das Interface ähnelt Metasploit, was die Lernkurve für erfahrene Nutzer des populären Frameworks deutlich absenkt. Dank einer interaktiven Hilfefunktion (was vielen Python-Modulen fehlt) können Developer quasi direkt mit der Arbeit loslegen.

Die beinhaltet im Fall von Recon-ng die automatisierte Abarbeitung zeitintensiver und repetitiver OSINT Tasks (etwa Copy-und-Paste-Marathons). Das schafft mehr Zeit für die Dinge, die manuell erledigt werden müssen. Damit auch Python-Anfänger mit Recon-ng zurechtkommen, verfügt das OSINT Tool über ein modulares Framework mit zahlreichen integrierten Funktionalitäten. Dazu gehören beispielsweise gängige Aufgaben wie die Standardisierung von Output, die Interaktion mit Datenbanken, das Anstoßen von Web Requests oder API Key Management. Statt Recon-ng aufwändig zu programmieren, suchen sich die Entwickler einfach die Funktionen aus, die sie benötigen und stellen so in nur wenigen Minuten ein automatisiertes Modul zusammen.

Bei Recon-ng handelt es sich um kostenlose, quelloffene Software.

theHarvester

In Sachen Nutzung ist theHarvester eines der simpelsten OSINT Tools in dieser Übersicht. Das Werkzeug ist darauf ausgelegt, Informationen außerhalb des eigenen Netzwerks von Organisationen und Unternehmen aufzuspüren. Zwar kann theHarvester auch eingesetzt werden, um interne Netzwerke auf Informationen zu durchsuchen, der Schwerpunkt liegt jedoch auf externen Daten.

Zu den Quellen die das OSINT Tool heranzieht, gehören sowohl populäre Suchmaschinen wie Google und Bing, als auch weniger bekannte wie dogpile, DNSDumpster und die Exalead Metadaten-Engine. Sogar Shodan kann eingebunden werden, um offene Ports auf entdeckten Hosts zu ermitteln. Ganz generell erfasst theHarvester Emails, Namen, Subdomains, IPs und URLs.

TheHarvester kann auf die meisten öffentlich zugänglichen Quellen ohne spezielle Maßnahmen zugreifen. Allerdings können einige wenige Quellen einen API Key erfordern - und Python muss mindestens in Version 3.6 vorliegen. Das Tool steht auf GitHub zur freien Verfügung.

Shodan

Bei Shodan handelt es sich um eine dedizierte Suchmaschine, die Informationen über Geräte liefert - beispielsweise die bereits millionenfach im Einsatz befindlichen IoT Devices. Das OSINT Tool kann auch dazu genutzt werden, offene Ports oder Schwachstellen auf bestimmten Systemen zu finden. Einige andere Open Source Intelligence Tools nutzen Shodan als Datenquelle - eine tiefgehende Interaktion erfordert allerdings einen kostenpflichtigen Account.

Die Einsatzmöglichkeiten von Shodan sind dabei ziemlich beeindruckend: Es ist eines der wenigen Tools, das bei seinen Analysen auch Operational Technology (OT) mit einbeziehen, wie sie etwa in industriellen Kontrollsystemen von Kraftwerken oder Fabriken zum Einsatz kommt. Jede OSINT-Initiative wäre in einer Branche, in der IT und OT Hand in Hand gehen, also mit erheblichen Lücken behaftet wenn sie nicht auf Shodan basiert. Darüber hinaus ist es mit dem OSINT Tool auch möglich, Datenbanken zu untersuchen: Unter Umständen sind hier Informationen über Umwege öffentlich aufrufbar.

Eine Freelancer-Lizenz (69 Dollar monatlich) für Shodan ermöglicht den Scan von bis zu 5.120 IP-Adressen pro Monat - mit bis zu einer Million Ergebnissen. Die Corporate-Lizenz verspricht unbegrenzte Ergebnisse und ermöglicht den Scan von monatlich 327.680 IP-Adressen - für 1.099 Dollar pro Monat, dann aber inklusive Schwachstellen-Suchfilter und Premium Support. Kleine(re) Unternehmen greifen auf den Small-Business-Preisplan für 359 Dollar monatlich zurück.

Metagoofil

Auch Metagoofil ist über die GitHub-Plattform frei verfügbar. Dieses Tool ist darauf ausgelegt, Metadaten aus öffentlichen Dokumenten zu extrahieren. Geht es um die Art des Dokuments, setzt das OSINT Tools keine Grenzen, egal ob .pdf-, .doc-, .ppt-, oder .xls-Datei.

Die Menge an interessanten Daten, die Metagoofil dabei aufwirft, ist beeindruckend. So können entweder im Handumdrehen die mit bestimmten Dokumenten verknüpften Usernamen ermittelt werden. Dabei gibt das OSINT Tool auch Aufschluss über den genauen Pfad, der zu den Informationen führt. Daraus lassen sich wiederum leicht Rückschlüsse über Servernamen, geteilte Ressourcen und Verzeichnisstrukturen des betreffenden Unternehmens ziehen.

So gut wie alle Informationen die Metagoofil liefert, wären für einen kriminellen Hacker nützlich. Organisationen und Unternehmen können das Open Source Intelligence Tool hingegen nutzen, um genau diese Informationen vor potenziellen Übeltätern aufzuspüren und sie entsprechend abzusichern oder zu verbergen.

searchcode

Wenn Sie wirklich tief in die OSINT-Materie eintauchen wollen, steht Ihnen mit searchcode eine hochspezialisierte Suchmaschine zur Verfügung, die Quellcode nach interessanten Daten durchforstet. Softwareentwickler können so Probleme aufdecken und beheben, bevor die betreffende Software ausgerollt wird.

Natürlich verlangt jedes Tool, das mit Quellcode arbeitet, ein wenig mehr Knowhow als eine einfache Google-Suche - der Macher von searchcode hat aber alles darangesetzt, das Interface seines OSINT Tools so einfach wie nur möglich zu gestalten. Der Benutzer gibt seine Suchanfrage ein und searchcode liefert die Ergebnisse in Form von entsprechenden Markierungen innerhalb des Source Codes. So können etwa Usernamen, Security-Schwachstellen, ungewollte aktive Funktionen (wie re-compile) oder auch Sonderzeichen, die für Code-Injection-Angriffe verwendet werden können, ermittelt werden.

Die Ergebnisse von Searchcode sind dabei selbsterklärend - dennoch liefert das OSINT Tool auch weiterführende Informationen oder relevante Probleme, die mit den Ergebnissen in Zusammenhang stehen.

Babel Street Insights

Relevante Informationen müssen nicht unbedingt auf Englisch oder Deutsch vorliegen - die Informationen, die Sie benötigen, könnten auch in Chinesisch oder Spanisch verfasst sein. An dieser Stelle kommt Babel Street Insights ins Spiel: Das multilinguale OSINT Tool durchsucht das öffentliche Web inklusive Blogs, Social-Media-Plattformen und Message Boards genauso, wie das Dark- und Deepweb. Das Tool kann die Quelle der gefundenen Informationen auch örtlich lokalisieren und KI-basierte Textanalysen fahren, um relevante Ergebnisse zu Tage zu fördern. Derzeit unterstützt Babel rund 200 verschiedenen Sprachen.

Die Einsatzszenarien für ein multilinguales OSINT Tool sind zahlreich: Kommt es etwa zu weltumspannenden Ransomware-Attacken, könnten schnell Trends zur Zielerfassung ermittelt werden. Babel Street Insights könnte auch Aufschluss darüber geben, ob das geistige Eigentum eines Unternehmens auf fremden Webseiten zum Verkauf angeboten wird.

Die OSINT-Plattform ist im Wesentlichen Cloud-basiert und ermöglicht seinen Benutzern auch, eigene Datenquellen hinzuzufügen. Mit Babel Box steht auch eine On-Premises-Version zur Verfügung, die allerdings einige Features (wie die Deepweb-Suche) vermissen lässt. Die kostengünstigste Version ist Babel Channels - die eine kuratierte Auswahl von Datenquellen zur Verfügung stellt. Eine Mobile App gibt es für sämtliche Versionen.

Mitaka

Dieses Tool steht als Chrome Extension oder Firefox Add-On zur Verfügung und bietet Ihnen eine browserbasierte Suche nach IP-Adressen, Domains, URLs, Hashes, ASNs, Bitcoin-Wallet-Adressen und zahlreichen anderen "Indicators of Compromise". Dabei werden sechs verschiedene Suchmaschinen einbezogen.

Praktischerweise dient Mitaka auch als Shortcut zu zahlreichen Online-Datenbanken, die mit einem Klick durchsucht werden können. Für alle die etwas weniger Umfang bevorzugen, steht die alternative Extension Sputnik zur Verfügung.

BuiltWith

Wie der Name nahelegt, können Sie mit BuiltWith herausfinden, auf welcher Basis populäre Webseiten erstellt wurden (WordPress, Joomla, Drupal, etc.) und weitergehende Details sichtbar machen. Dazu gehört zum Beispiel eine Liste der JavaScript/CSS Bibliotheken, die eine Website nutzt. Darüber hinaus können auch Plugins, Frameworks, Server-, Analytics- und Tracking-Informationen gewonnen werden.

Wenn Sie lediglich Informationen über das Tech Stack hinter einer Webseite einsehen wollen, fahren Sie mit Wappalyzer unter Umständen besser, da es ein schlankeres OSINT Tool ist.

Grep.app

Wie durchsucht man eine halbe Million Git Repositories? Am besten und effizientesten mit Grep.app. Das OSINT Tool kam kürzlich bei Twitter-Usern und Journalisten zum Einsatz, um nachzuvollziehen, wie viele Repositories den Codecov Bash Uploader genutzt haben.

Grep.app kann auch hilfreich sein, wenn Sie nach Strings in Zusammenhang mit IOCs, Schadcode oder Malware suchen wollen.

Ergänzende Liste von OSINT-Werkzeugen

Auf PCWDLD findet sich eine weiterführende Liste mit nützlichen OSINT-Tools.

OSINT Framework

Neben diesen Tools stehen eine Menge weiterer zur Verfügung, um an OSINT-Daten zu gelangen. Einen guten Anlaufpunkt, diese zu erkunden, bildet das OSINT Framework. Das webbasierte Interface bringt Sie zu den Tools die Sie brauchen, um an die benötigten Informationen zu gelangen. Sämtliche Tools die hier zu finden sind, sind kostenfrei - einige erfordern allerdings eine Registrierung oder bieten in der Bezahlversion bessere Features.

Mit OSINT Lücken schließen!

Nicht jeder Hackerangriff muss ein Advanced Persistent Threat sein oder unter Anwendung besonders raffinierter Methoden ablaufen. Auch kriminelle Hacker gehen am liebsten den Weg des geringsten Widerstandes. Schließlich wäre es unsinnig, Monate damit zu verschwenden, Systeme zu kompromittieren, wenn alle notwendigen Informationen in öffentlich zugänglichen Kanälen vorliegen.

OSINT Tools können Unternehmen dabei unterstützen, herauszufinden, welche Informationen über ihre Netzwerke, Daten und Nutzer öffentlich zugänglich sind. Dabei kommt es vor allem darauf an, diese Daten möglichst schnell zu finden, bevor sie ausgenutzt werden können.

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.