Open Source Intelligence (OSINT) ist das Sammeln, Analysieren und Verbreiten von Informationen aus öffentlich verfügbaren Quellen, um spezifische Geheimdienstanforderungen zu erfüllen.​​ 

Von allen Untertypen der Bedrohungsaufklärung wird Open Source Intelligence (OSINT) wahrscheinlich am häufigsten verwendet, was auch Sinn macht. Schließlich ist es größtenteils kostenlos und wer kann da schon nein sagen?​​ 

Leider wird Open Source Intelligence, ähnlich wie die anderen großen Untertypen – um nur einige zu nennen: menschliche Intelligenz, Signalaufklärung und georäumliche Intelligenz – weitgehend missverstanden und missbraucht.​​ 

Diese weitverbreitete Nutzung und die zunehmende Komplexität von OSINT spiegeln sich in den Marktprognosen wider. Laut einem Bericht von Future Market Insikt wird die OSINT-Branche bis 2033 voraussichtlich einen atemberaubenden Wert von 58 Milliarden US-Dollar erreichen, was ihre zunehmende Bedeutung und Integration in verschiedene Sektoren unterstreicht.​​ 

If you have ever asked yourself, 'What does OSINT stand for?', 'What is open source intelligence (OSINT)?', or 'What does OSINT mean?', keep reading to find out.​​ 

In diesem Blogbeitrag behandeln wir die Grundlagen von Open Source Intelligence (OSINT), einschließlich ihrer Verwendung und der Tools und Techniken , die zu ihrer Erfassung und Analyse eingesetzt werden können. Wir werden tiefer in die Materie einsteigen und die Bedeutung von OSINT sowie die wichtige Rolle untersuchen, die es im Bereich der Informationsbeschaffung spielt.​​ 

Key Takeaways​​ 

• Open Source Intelligence wird aus Daten und Informationen gewonnen, die der breiten Öffentlichkeit zur Verfügung stehen. Es beschränkt sich nicht auf das, was mit Google gefunden werden kann, obwohl das sogenannte „Surface Web“ eine wichtige Komponente darstellt.​​ 
• So wertvoll Open Source-Informationen auch sein können, eine Informationsüberflutung stellt ein echtes Problem dar. Die meisten Tools und Techniken, die zur Durchführung von Open-Source-Intelligence-Initiativen verwendet werden, sind darauf ausgelegt, Sicherheitsexperten (oder Bedrohungsakteuren) dabei zu helfen, ihre Bemühungen auf bestimmte Interessensgebiete zu konzentrieren.​​ 
• Doch Open Source Intelligence hat auch eine Schattenseite: Alles, was Sicherheitsexperten finden können, kann auch von Bedrohungsakteuren gefunden (und verwendet) werden.​​ 
• Es ist wichtig, eine klare Strategie und einen Rahmen für die Open-Source-Informationsbeschaffung zu haben – einfach nach allem zu suchen, was interessant oder nützlich sein könnte, führt unweigerlich zum Burnout.​​ 
• Der Einsatz von OSINT-Tools zum Erkennen und Schützen vertraulicher Daten vor potenziellen Angreifern ist von entscheidender Bedeutung, um das Risiko von Cybersicherheitsbedrohungen zu verringern.​​ 

OSINT Definition​​ 

Bevor wir uns gängige Quellen und Anwendungen von Open Source Intelligence ansehen, ist es wichtig zu verstehen, was es eigentlich ist.​​ 

Nach​​  zum US-amerikanischen öffentlichen Recht, Open Source Intelligence:​​ 

• Wird aus öffentlich verfügbaren Informationen erstellt​​ 
• Wird rechtzeitig gesammelt, analysiert und an ein geeignetes Publikum weitergegeben​​ 
• Adressiert einen spezifischen Geheimdienstbedarf​​ 

Der wichtige Ausdruck, auf den wir uns hier konzentrieren sollten, ist „öffentlich verfügbar“.​​ 

Der Begriff „Open Source“ bezieht sich speziell auf Informationen, die der Öffentlichkeit zur Verfügung stehen. Wenn für den Zugriff auf eine Information spezielle Kenntnisse, Werkzeuge oder Techniken erforderlich sind, kann diese nicht unbedingt als Open Source betrachtet werden.​​ 

Entscheidend ist, dass Open-Source-Informationen nicht auf das beschränkt sind, was Sie mit den großen Suchmaschinen finden können. Webseiten und andere Ressourcen, die mit Google gefunden werden können, stellen zweifellos umfangreiche Quellen für Open-Source-Informationen dar, sie sind jedoch bei weitem nicht die einzigen Quellen.​​ 

Zunächst einmal ist ein riesiger Teil des Internets (über 99 Prozent laut dem ehemaligen Google-CEO Eric Schmidt) mit den großen Suchmaschinen nicht auffindbar. Dieses sogenannte „Deep Web“ ist eine Masse von Websites, Datenbanken, Dateien und mehr, die (aus verschiedenen Gründen, einschließlich der Existenz von Anmeldeseiten oder Paywalls) nicht von Google, Bing, Yahoo oder jeder anderen Suchmaschine, die Ihnen einfällt, indiziert werden können. Trotzdem können viele Inhalte des Deep Web als Open Source betrachtet werden, da sie der Öffentlichkeit leicht zugänglich sind.​​ 

Mit OSINT-Tools können Sie auf Informationen aus anderen Quellen als herkömmlichen Suchmaschinen zugreifen und diese analysieren. Diese Tools, wie etwa Spiderfoot, Searchcode, Searx, Twint und Metagoofil, sammeln und analysieren riesige Mengen an Daten aus öffentlichen und offenen Quellen, darunter soziale Netzwerke und das Deep Web, um große Datenmengen zu entdecken und zu speichern, Verbindungen und Muster zwischen verschiedenen Informationen zu finden und die entdeckten Informationen zu verwertbaren Erkenntnissen zusammenzufassen.​​ 

Darüber hinaus gibt es online zahlreiche frei zugängliche Informationen, die auch mit anderen Online-Tools als herkömmlichen Suchmaschinen gefunden werden können. Wir werden uns das später genauer ansehen, aber als einfaches Beispiel können Tools wie SecurityTrails und andere verwendet werden, um IP-Adressen, Netzwerke, offene Ports, Webcams, Drucker und so ziemlich alles andere zu finden, was mit dem Internet verbunden ist.​​ 

Informationen können auch dann als Open Source betrachtet werden, wenn sie:​​ 

• Für ein öffentliches Publikum veröffentlicht oder gesendet (z. B. Nachrichtenmedieninhalte)​​ 
• Auf Anfrage für die Öffentlichkeit zugänglich (z. B. Volkszählungsdaten)​​ 
• Für die Öffentlichkeit per Abonnement oder Kauf verfügbar (z. B. Fachzeitschriften)​​ 
• Könnte von jedem zufälligen Beobachter gesehen oder gehört werden​​ 
• Wird bei einer öffentlichen Sitzung bekannt gegeben​​ 
• Erhalten durch den Besuch eines Ortes oder die Teilnahme an einer Veranstaltung, die für die Öffentlichkeit zugänglich ist​​ 

An dieser Stelle denken Sie wahrscheinlich: „Mann, das sind aber eine Menge Informationen …“​​ 

Und du hast recht. Wir sprechen hier von einer wahrhaft unvorstellbaren Informationsmenge, die viel schneller wächst, als irgendjemand jemals mithalten könnte. Selbst wenn wir das Feld auf eine einzige Informationsquelle eingrenzen – sagen wir Twitter – müssen wir täglich Hunderte Millionen neuer Datenpunkte verarbeiten.​​ 

Dies ist, wie Sie wahrscheinlich schon erkannt haben, der inhärente Kompromiss von Open Source Intelligence.​​ 

Geschichte von OSINT​​ 

Der Begriff OSINT bezeichnet die Praxis, Informationen aus öffentlich zugänglichen Quellen zur Verwendung in einem nachrichtendienstlichen Kontext zu sammeln. Dieses Verfahren gibt es schon seit einiger Zeit, aber erst das digitale Zeitalter hat OSINT wirklich in eine eigene Liga katapultiert.​​ 

The foundational roots of OSINT are linked to the formation of the​​  Foreign Broadcast Monitoring Service (FBMS) back in 1941. This organization was charged with the significant role of scrutinizing international broadcast communications to identify any potential dubious activities.​​ 

Laut der Association of Former Intelligence Officers (AFIO) „prägte das US-Militär den Begriff OSINT erstmals in den späten 1980er Jahren.“ Ausgangspunkt dieser Entwicklung war die Erkenntnis, dass eine Reform des Geheimdienstes erforderlich war, um den sich rasch ändernden Informationsanforderungen, insbesondere auf der taktischen Ebene des Gefechtsfelds, wirksam gerecht zu werden.​​ 

Ursprünglich wurde OSINT hauptsächlich von Geheimdiensten und Strafverfolgungsbehörden als Tool verwendet, um öffentlich verfügbare Informationen zur Unterstützung der nationalen Sicherheit und bei Ermittlungen in Bezug auf Cyberkriminalität zu sammeln. Die angewandten Methoden waren zeitaufwändig und erforderten häufig, dass Einzelpersonen öffentliche Aufzeichnungen, Zeitungen und andere Dokumente manuell durchforsteten, um relevante Informationen zu finden. Dieses manuelle Sammeln von Informationen war aufgrund der enormen Datenmenge, die durchgesehen werden musste, oft schwierig. Mit der Weiterentwicklung des Internets haben sich jedoch auch die Methoden zur Erfassung und Analyse öffentlich verfügbarer Daten weiterentwickelt.​​ 

Mit der Einführung des Internets wurden die Möglichkeiten zur Informationsbeschaffung deutlich erweitert. Plötzlich war eine große Bandbreite an Daten öffentlich verfügbar und online leicht zugänglich, von Regierungsberichten bis zu wissenschaftlichen Arbeiten und allem, was dazwischen liegt. Websites wurden zu einer primären Datenquelle für OSINT-Praktiker. Diese Entwicklungen führten zu einem Boom bei der Entwicklung von OSINT-Tools zur Automatisierung des Prozesses der Datenerfassung und -analyse. Diese Tools könnten schnell Informationen aus verschiedenen Quellen sammeln, darunter öffentlich zugängliche Datenbanken, Social-Media-Plattformen und viele andere im digitalen Bereich verfügbare Tools.​​ 

Da der Bereich Cybersicherheit ein rasantes Wachstum erlebte, erweiterte sich auch die Anwendung von OSINT. Cybersicherheitsexperten erkannten den Wert der Nutzung von OSINT zur Identifizierung von Schwachstellen, Bewertung potenzieller Sicherheitsbedrohungen und Stärkung der Unternehmenssicherheit. OSINT-Tools sind für die Überwachung öffentlich zugänglicher Webserver, die Analyse von Metadaten und die Bewertung von Sicherheitslücken unverzichtbar geworden. Die gesammelten Daten sind von unschätzbarem Wert, wenn es darum geht, die Sicherheitslage eines Unternehmens zu verstehen, potenzielle Bedrohungen zu identifizieren und Strategien zur Risikominimierung zu entwickeln.​​ 

Ein bemerkenswerter Trend ist die Integration von maschinellem Lernen und Analyse in OSINT-Tools, um die Erkennung von Mustern und Trends in den erfassten Daten zu verbessern. Durch diese Integration sind OSINT-Tools nicht nur effektiver geworden, sondern auch ihr Anwendungsspektrum wurde erweitert. Beispielsweise nutzen Sicherheitsforscher OSINT heute, um Penetrationstests durchzuführen, während Unternehmen es nutzen, um Erkenntnisse über ihre Wettbewerber und das Marktumfeld zu gewinnen.​​ 

Darüber hinaus ist die Community der OSINT-Forscher im Laufe der Zeit gewachsen; es haben sich Foren, Konferenzen und Gruppen gebildet, um Wissen auszutauschen, bewährte Vorgehensweisen zu diskutieren und neue OSINT-Techniken zu entwickeln. Für viele OSINT-Tools, darunter Frameworks wie Recon-ng, gibt es auf Plattformen wie GitHub Entwickler-Communitys, die daran arbeiten, die Funktionen dieser Tools zu verbessern, anzupassen und Module zu erstellen, um sie zu erweitern. Die gemeinsamen Anstrengungen dieser Gemeinschaften haben wesentlich zur Verfeinerung der OSINT-Praxis beigetragen und sie zu einem wesentlichen Bestandteil der Informationsbeschaffung und Cybersicherheit gemacht.​​ 

How Open Source Intelligence Works​​ 

Nachdem wir nun die Grundlagen von Open Source Intelligence behandelt haben, können wir uns ansehen , wie sie üblicherweise für die Cybersicherheit verwendet wird. Die Geheimdienste spielen eine entscheidende Rolle bei der Nutzung von OSINT für die nationale Sicherheit und die Cybersicherheit.​​ 

Es gibt zwei häufige Anwendungsfälle:​​ 

1. Ethisches Hacken und Penetrationstests​​ 

Sicherheitsexperten nutzen Open-Source-Informationen, um potenzielle Schwachstellen in befreundeten Netzwerken zu identifizieren, damit diese behoben werden können, bevor sie von Bedrohungsakteuren ausgenutzt werden. Zu den häufig festgestellten Schwachstellen zählen:​​ 

• Accidental leaks of sensitive data, like through social media. Identifying and protecting sensitive data is crucial to reduce the risk of cybersecurity threats.​​ 
• Offene Ports oder ungesicherte mit dem Internet verbundene Geräte​​ 
• Nicht gepatchte Software, z. B. Websites, auf denen alte Versionen gängiger CMS-Produkte ausgeführt werden​​ 
• Durchgesickerte oder offengelegte Assets, wie etwa proprietärer Code auf Pastebins​​ 

2. Identifizierung externer Bedrohungen​​ 

Wie wir in der Vergangenheit schon oft besprochen haben, ist das Internet eine hervorragende Quelle für Erkenntnisse über die dringendsten neuen Bedrohungen für ein Unternehmen. Von der Identifizierung aktiv ausgenutzter neuer Schwachstellen bis hin zum Abfangen von Gerüchten von Bedrohungsakteuren über einen bevorstehenden Angriff: Mithilfe von Open Source Intelligence können Sicherheitsexperten ihre Zeit und Ressourcen gezielt einsetzen, um die derzeit größten Bedrohungen anzugehen.​​ 

In den meisten Fällen erfordert diese Art von Arbeit, dass ein Analyst mehrere Datenpunkte identifiziert und korreliert, um eine Bedrohung zu validieren, bevor Maßnahmen ergriffen werden. OSINT-Tools werden zum Sammeln und Analysieren von Daten aus öffentlichen und offenen Quellen, einschließlich sozialer Netzwerke und dem Deep Web, verwendet, um zur Bedrohungsvalidierung mehrere Datenpunkte zu identifizieren und zu korrelieren. Während beispielsweise ein einzelner Droh-Tweet möglicherweise keinen Grund zur Besorgnis darstellt, würde derselbe Tweet in einem anderen Licht betrachtet werden, wenn er mit einer Bedrohungsgruppe in Verbindung stünde, von der bekannt ist, dass sie in einer bestimmten Branche aktiv ist.​​ 

Eine der wichtigsten Erkenntnisse über Open Source Intelligence besteht darin, dass sie häufig in Kombination mit anderen Intelligence-Untertypen verwendet wird. Informationen aus geschlossenen Quellen wie interner Telemetrie, geschlossenen Darknet-Communitys und externen Communities zum Informationsaustausch werden regelmäßig zum Filtern und Verifizieren von Open-Source-Informationen verwendet. Zur Unterstützung dieser Aufgaben stehen Analysten zahlreiche Tools zur Verfügung, die wir uns später noch genauer ansehen werden.​​ 

Open Source Intelligence and Cybersecurity​​ 

An diesem Punkt ist es an der Zeit, das zweite große Problem mit Open Source Intelligence anzusprechen: Wenn etwas für Geheimdienstanalysten leicht zugänglich ist, ist es auch für Bedrohungsakteure leicht zugänglich.​​ 

Bedrohungsakteure verwenden Open-Source-Intelligence-Tools und -Techniken, um potenzielle Ziele zu identifizieren und Schwachstellen in Zielnetzwerken auszunutzen. Ist eine Schwachstelle erst einmal erkannt, lässt sie sich oft ganz einfach und schnell ausnutzen und damit eine Reihe böswilliger Ziele erreichen. Sie sind außerdem auf der Suche nach sensiblen Daten, die für böswillige Zwecke missbraucht werden können, etwa um gezielte Angriffe zu starten oder die Informationen im Dark Web zu verkaufen.​​ 

Dieser Prozess ist der Hauptgrund dafür, dass jedes Jahr so viele kleine und mittlere Unternehmen gehackt werden. Dies liegt nicht daran, dass sich Bedrohungsgruppen speziell für sie interessieren, sondern vielmehr daran, dass Schwachstellen in der Netzwerk- oder Website-Architektur dieser Unternehmen mithilfe einfacher Open-Source-Intelligence-Techniken gefunden werden. Kurz gesagt: Sie sind leichte Ziele.​​ 

And open source intelligence doesn’t only enable technical attacks on IT systems and networks. Different types of threat actors also seek out information about individuals and organizations that can be used to inform sophisticated social engineering campaigns using phishing (email), vishing (phone or voicemail), and SMiShing (SMS). Often, seemingly innocuous information shared through social networks and blogs can be used to develop highly convincing social engineering campaigns, which in turn are used to trick well-meaning users into compromising their organization’s network or assets.​​ 

Aus diesem Grund ist die Verwendung von Open-Source-Informationen für Sicherheitszwecke so wichtig: Sie bieten Ihnen die Möglichkeit, Schwachstellen im Netzwerk Ihres Unternehmens zu finden und zu beheben sowie vertrauliche Informationen zu entfernen, bevor ein Bedrohungsakteur dieselben Tools und Techniken verwendet, um sie auszunutzen.​​ 

Open Source Intelligence Techniques​​ 

Nachdem wir nun die Einsatzmöglichkeiten von Open Source Intelligence (sowohl die guten als auch die schlechten) behandelt haben, ist es an der Zeit, einen Blick auf einige der Techniken zu werfen, die zum Sammeln und Verarbeiten von Open-Source-Informationen verwendet werden können.​​ 

First, you must have a clear strategy and framework in place for acquiring and using open source intelligence. It’s not recommended to approach open source intelligence from the perspective of finding anything and everything that might be interesting or useful — as we’ve already discussed, the sheer volume of information available through open sources will simply overwhelm you. Instead, you must know exactly what you’re trying to achieve — for example, to identify and remediate weaknesses in your network — and focus your energies specifically on accomplishing those goals.​​ 

Second, you must identify a set of tools and techniques for collecting and processing open source information. Once again, the volume of information available is much too great for manual processes to be even slightly effective.​​ 

Passives vs. aktives OSINT​​ 

Broadly speaking, the collection of open source intelligence falls into two categories: passive collection and active collection.​​ 

Bei der passiven Erfassung werden häufig Threat Intelligence-Plattformen (TIPs) verwendet, um verschiedene Bedrohungs-Feeds an einem einzigen, leicht zugänglichen Ort zu kombinieren. Obwohl dies im Vergleich zur manuellen Informationsbeschaffung einen erheblichen Fortschritt darstellt, besteht immer noch ein erhebliches Risiko einer Informationsüberflutung.​​ 

Fortschrittlichere Lösungen zur Bedrohungsaufklärung wie Recorded Future lösen dieses Problem, indem sie künstliche Intelligenz, maschinelles Lernen und die Verarbeitung natürlicher Sprache nutzen, um den Prozess der Priorisierung und Ablehnung von Warnungen basierend auf den spezifischen Anforderungen einer Organisation zu automatisieren. Darüber hinaus kann die Verwendung eines OSINT-Tools diesen Prozess weiter optimieren, indem große Mengen an Daten aus öffentlichen und offenen Quellen, einschließlich sozialer Netzwerke und dem Deep Web, gesammelt und analysiert werden.​​ 

In ähnlicher Weise verwenden organisierte Bedrohungsgruppen häufig Botnetze, um mithilfe von Techniken wie Traffic Sniffing und Keylogging wertvolle Informationen zu sammeln.​​ 

Aktive Sammlung ist die Verwendung unterschiedlicher Techniken zur Suche nach bestimmten Erkenntnissen oder Informationen. Sicherheitsexperten führen diese Art der Datenerfassung normalerweise aus einem der folgenden zwei Gründe durch:​​ 

• Eine passiv erfasste Warnung hat auf eine potenzielle Bedrohung hingewiesen und es sind weitere Erkenntnisse erforderlich.​​ 
• Der Schwerpunkt einer Übung zur Informationsbeschaffung ist sehr spezifisch, beispielsweise bei einer Penetrationstest-Übung.​​ 

As we’ve already explained, one of the biggest issues facing security professionals is the regularity with which normal, well-meaning users accidentally leave sensitive assets and information exposed to the internet. There are a series of advanced search functions called “Google dork” queries that can be used to identify the information and assets they expose.​​ 

Google-Dork-Abfragen basieren auf den Suchoperatoren, die von IT-Experten und Hackern täglich bei ihrer Arbeit verwendet werden. Gängige Beispiele sind „filetype:“, das die Suchergebnisse auf einen bestimmten Dateityp einschränkt, und „site:“, das nur Ergebnisse von einer angegebenen Website oder Domäne zurückgibt.​​ 

Auf der Website Public Intelligence finden Sie eine ausführlichere Übersicht über Google-Dork-Abfragen. Dort finden Sie beispielsweise die folgende Suche:​​ 

„sensibel, aber nicht geheim“ Dateityp:pdf Site:publicintelligence.net​​ 

Wenn Sie diesen Suchbegriff in eine Suchmaschine eingeben, werden Ihnen nur PDF-Dokumente von der Public Intelligence-Website angezeigt, die irgendwo im Dokumenttext die Wörter „sensibel, aber nicht klassifiziert“ enthalten. Wie Sie sich vorstellen können, können Sicherheitsexperten und Bedrohungsakteure mit Hunderten von Befehlen ähnliche Techniken verwenden, um nach fast allem zu suchen.​​ 

Denken Sie bei Beginn immer an das Ende​​ 

Der wichtigste Faktor für den Erfolg jeder Open-Source-Intelligence-Initiative ist das Vorhandensein einer klaren Strategie. Wenn Sie erst einmal wissen, was Sie erreichen möchten und entsprechende Ziele festgelegt haben, wird es Ihnen viel leichter fallen, die nützlichsten Tools und Techniken zu finden.​​ 

Um mehr darüber zu erfahren, wie Recorded Future Unternehmen dabei helfen kann, Bedrohungen besser zu verstehen und zu verhindern, fordern Sie noch heute eine personalisierte Demo an .​​ 

Dieser Artikel wurde ursprünglich am 19. Februar 2019 veröffentlicht und zuletzt am 24. Juni 2024 aktualisiert.​​