Следы в сети. Как находить улики в открытых данных и не подставить себя

Чтобы не утонуть, задавайте рамки. Например: «Найти публичные сведения, которые могут помочь атаке на сотрудников через фишинг». Тогда вас интересуют форматы почты, имена и роли людей, публичные события, используемые сервисы, стиль внутренних коммуникаций, недавно опубликованные темы, связанные с HR или финансами. Всё остальное можно отложить. Не навсегда. Просто не сейчас.

Или задача: «Оценить раскрытие технической информации». Тогда смотрим вакансии, репозитории, поддомены, сертификаты, публичные документы, метаданные, сообщения инженеров на форумах, презентации. Адреса кафе рядом с офисом тут не нужны, если только они не связаны с конкретной гипотезой. Дисциплина отбора экономит время и снижает риск лишнего сбора персональных данных.

Этика снова возвращается через боковую дверь. Чем точнее задача, тем меньше вы собираете лишнего. Это хорошо и для закона, и для совести, и для качества работы. Лишние данные не делают вас сильнее. Они делают отчёт тяжелее, хранение опаснее, выводы мутнее. Иногда профессионализм состоит не в том, чтобы найти всё, а в том, чтобы остановиться.

Что считать хорошей первой практикой для начинающего? Возьмите безопасный объект: собственный домен, свой старый аккаунт, учебный сайт, публичную организацию, где вы не будете публиковать чувствительные выводы. Сформулируйте вопрос. Например: «Какие публичные следы связаны с этим доменом?» Проверьте WHOIS или доступные регистрационные данные, DNS, поддомены, сертификаты, архивные версии сайта, упоминания в поисковиках, связанные документы. Запишите всё. Потом отдельно напишите, что подтверждено, что предположительно, что не удалось проверить.

На втором упражнении попробуйте исследовать файл. Документ, картинку, презентацию. Посмотрите свойства, метаданные, автора, даты, программу создания, скрытые данные. Не надо лезть в чужие секреты. Возьмите свой файл и удивитесь, сколько мусора он может содержать. После этого вы иначе посмотрите на документы, которые компания выкладывает наружу.

На третьем упражнении разберите публичный профиль. Только свой или тестовый. Какие данные позволяют восстановить привычки, связи, график, город, работу, интересы, слабые места для социальной инженерии? Не для того, чтобы испугаться и уйти в лес. Для того, чтобы понять механику. Мошеннику не нужен полный портрет. Ему часто хватает трёх деталей, чтобы письмо выглядело своим.

Самое неприятное в социальной инженерии то, что она редко начинается с грубого обмана. Она начинается с узнавания. «Я видел, вы были на такой-то конференции». «Мы общались после вебинара». «Отправляю материалы по вакансии». «Ваш коллега просил уточнить». Чем больше публичных деталей, тем легче собрать правдоподобный повод. OSINT помогает увидеть, какие поводы вы сами дарите чужим людям.

И вот почему защита начинается не с запретов, а с понимания. Нельзя просто сказать сотрудникам: «Ничего не публикуйте». Они всё равно будут публиковать. Надо объяснить, что именно опасно: бейджи, экраны, внутренние названия, адреса, маршруты, документы на столе, повторяющиеся хэштеги, слишком подробные вакансии, скриншоты рабочих систем, фотографии пропусков, личные контакты в открытом виде. Конкретика работает лучше страшилок.

В OSINT есть место юмору, иначе можно быстро стать мрачным человеком, который на каждой фотографии видит угрозу. Но юмор не должен мешать аккуратности. Да, иногда смешно, когда на заднем плане интервью видны пароли на стикерах. Смешно ровно до тех пор, пока это не ваша компания. Потом уже не смешно, а срочно.

Каталоги инструментов вроде OSINT Framework полезны как карта местности. В них собраны направления: имена пользователей, домены, IP-адреса, изображения, соцсети, документы, утечки, транспорт, геолокация, код, бизнес-реестры. Но карта не ведёт вас сама. Она показывает варианты. Вы выбираете маршрут по задаче.

Новичку каталог может вскружить голову. Хочется нажать всё. Не надо. Выберите одну ветку и поймите, зачем она. Например, домены. Что можно узнать? Регистратор, даты, DNS-записи, связанные IP, сертификаты, поддомены, исторические изменения, соседние домены, технологии сайта. Что из этого надёжно? Что может быть скрыто? Что устарело? Какие выводы допустимы? Вот так формируется навык.

С соцсетями сложнее. Там много человеческого шума. Люди шутят, преувеличивают, играют роли, удаляют посты, меняют имена, репостят чужое. Но именно там часто видно живую организацию: кто с кем связан, какие события происходят, какие темы обсуждаются, кто недоволен, кто недавно пришёл, кто уходит, какие инструменты мелькают в скриншотах, какие конференции посещают сотрудники. Всё это может быть полезно для защиты и опасно в чужих руках.

При работе с людьми особенно легко перейти границу. Поэтому правило простое: собирайте только то, что нужно для законной задачи, и не превращайте исследование в слежку ради интереса. Если задача про фишинговые риски, вам не нужны подробности личной жизни сотрудника. Если задача про публичное раскрытие технических деталей, не надо тащить в отчёт семейные фотографии. Меньше грязи, больше пользы.

Метаданные заслуживают отдельного уважения. Они тихие. Обычный пользователь их почти не видит. А они могут рассказать, кто создал документ, когда, в какой программе, какой путь файла был на компьютере, какие правки делались, где снята фотография. Иногда метаданные пустые. Иногда вычищены. Иногда именно они становятся главным сигналом. Перед публикацией документов их надо проверять. После получения подозрительных файлов тоже, но безопасно и в изолированной среде.

Геолокация по открытым данным выглядит эффектно, особенно в роликах, где кто-то по тени, плитке и углу крыши определяет место. В реальной работе это часто медленнее. Нужно сверять детали: вывески, дорожные знаки, архитектуру, растительность, рельеф, погоду, время суток, направление света, старые снимки улиц, спутниковые изображения. Ошибиться легко. Люди видят то, что хотят увидеть. Поэтому каждую догадку надо проверять внешними признаками.

Кодовые репозитории тоже могут быть источником. Не потому, что надо рыться в чужих секретах, а потому, что компании и разработчики иногда случайно публикуют ключи, токены, внутренние адреса, комментарии, конфигурации, названия сервисов. Для защитника регулярная проверка собственных публичных репозиториев и упоминаний организации в коде может сэкономить много нервов. Для отчёта важно не распространять секреты дальше. Обнаружили ключ, зафиксировали безопасно, сообщили, отозвали, проверили последствия.

Публичные записи о доменах и инфраструктуре помогают понять внешнюю поверхность. Но тут тоже есть ловушки. IP может принадлежать облачному провайдеру, а не самой организации. Домен может быть припаркован. Сертификат может покрывать несколько имён, но не доказывать активное использование. Поддомен может быть старым. Репутационный сервис может ошибаться. Если вы строите вывод, покажите цепочку, а не только конечную фразу.

Постепенно вы заметите, что OSINT меньше про «найти секрет», чем про «собрать обоснованную версию». Иногда версия подтверждается. Иногда разваливается. Хорошо, когда она разваливается рано. Это значит, вы не успели построить на ней план и не ввели никого в заблуждение.

Как выглядит хорошая заметка по находке? Коротко: что найдено, где найдено, когда, почему это относится к задаче, чем подтверждается, какой риск, что сделать. Например: «На публичной странице вакансии от такой-то даты указано использование конкретной версии продукта. Это может помочь подготовить более правдоподобное фишинговое письмо или поиск известных уязвимостей. Рекомендуется убрать номера версий из внешних вакансий и перенести детали в закрытый этап собеседования». Всё. Без паники. Без театра.

Или: «В PDF-презентации, доступной на сайте партнёра, обнаружены метаданные с именем внутреннего автора и путём к сетевой папке. Риск низкий или средний, зависит от контекста, но файл лучше пересобрать без метаданных, а партнёру передать обновлённую версию». Это уже действие.

Для сравнения плохая заметка: «Найдены критические утечки! Компания раскрывает инфраструктуру!» А внутри один скриншот вакансии с названием технологии. Такой стиль быстро разрушает доверие. После двух ложных тревог ваши настоящие находки начнут читать вполглаза.

В OSINT доверие зарабатывается точностью. Не громкостью.

Нужно также помнить про закон. Он зависит от страны, отрасли, контекста, типа данных и ваших полномочий. Открытый доступ не всегда означает свободное использование. Автоматизированный сбор может нарушать правила сервиса. Работа с персональными данными может требовать оснований и ограничений. Внутреннее расследование в компании должно идти по утверждённому процессу. Если сомневаетесь, подключайте юристов и руководителя до действия, а не после.

Некоторые считают, что такие разговоры убивают азарт. Ничего подобного. Они убирают детский азарт и оставляют профессиональный интерес. Работать становится спокойнее, когда правила понятны. Вы знаете, что можно, что нельзя, где нужно разрешение, где нужна изоляция, где надо остановиться. Это не мешает находить. Это мешает делать глупости.

В этой первой главе нам нужно зафиксировать несколько опорных мыслей.

Первая: OSINT работает с публично доступной информацией, но ценность появляется только после проверки, анализа и применения к задаче.

Вторая: информация и разведданные не одно и то же. Ссылка сама по себе не вывод. Скриншот сам по себе не решение. Данные надо превращать в ясную картину с уровнем уверенности.

Третья: пассивный и активный сбор различаются по рискам. Любое взаимодействие с объектом исследования требует отдельного разрешения и подготовки.

Четвёртая: инструменты помогают, но не думают. Метод важнее списка сайтов.

Пятая: этика, безопасность и документация не приложены к OSINT сбоку. Они внутри процесса. Без них работа быстро превращается в шум или проблему.

Теперь можно сделать маленькую практическую схему для себя. Перед началом любого исследования задайте пять вопросов. Что я хочу узнать? Зачем это нужно? Какие источники подходят? Как я проверю результат? Что я не буду собирать, потому что это лишнее? Последний вопрос редко задают, а зря. Он отлично отрезвляет.

Допустим, вы проверяете, какие публичные данные помогают имитировать внутреннее письмо компании. Вам нужны публичные шаблоны коммуникации, имена отделов, события, стиль новостей, формат адресов, упоминания используемых сервисов. Вам не нужны домашние адреса сотрудников, их личные семейные обстоятельства и старые фотографии из отпуска. Если они случайно попались, не тащите их в работу.

Допустим, вы проверяете подозрительный домен. Вам нужны дата регистрации, DNS, сертификаты, связанные адреса, история, похожие домены, поведение сайта в безопасной среде, связь с письмами или жалобами. Вам не нужно писать владельцу домена с личной почты и спрашивать: «Это вы фишинг рассылаете?» Звучит смешно, но люди иногда делают не менее странные вещи.

Допустим, вы готовите обзор цифрового следа организации. Вам нужны категории риска: люди, документы, инфраструктура, бренды, домены, репозитории, медиа, партнёры. По каждой категории нужны примеры и рекомендации. Не надо превращать отчёт в энциклопедию всех найденных упоминаний. Руководитель не будет читать сто страниц ссылок. Ему надо понять, где риск и что делать в первую очередь.

Одна из сильных сторон OSINT в том, что он дешёвый по входу. Для начала не нужен дорогой стенд. Нужны браузер, осторожность, блокнот, понимание поисковых операторов и привычка проверять. Но дешёвый вход не означает простоту профессии. Чем глубже вы идёте, тем больше требуется дисциплины: изоляция среды, учёт источников, работа с большими объёмами данных, правовые рамки, защита исследователя, отчётность, взаимодействие с техническими командами.

Есть соблазн сразу бежать к продвинутым инструментам. Графы связей, автоматический сбор, сканеры открытых источников, визуализация, API. Всё это пригодится. Но если вы не умеете руками проверить простую гипотезу, автоматизация только ускорит ваши ошибки. Сначала научитесь медленно. Потом ускоряйтесь.

Я не против автоматизации. Наоборот, без неё трудно работать с большими массивами. Но автоматический сбор должен быть управляемым. Надо знать, что инструмент собирает, куда сохраняет, какие запросы делает, не нарушает ли правила, не оставляет ли лишние следы, как обрабатывает персональные данные. Кнопка «запустить всё» выглядит приятно только до первого письма от отдела безопасности или юристов.

В конце первой главы хочется вернуться к образу секретов, которые никто не прятал. В большинстве случаев проблема не в одном огромном провале. Проблема в мелочах. Чуть слишком подробная вакансия. Чуть лишняя фотография. Чуть старый домен. Чуть забытый PDF. Чуть разговорчивый сотрудник в профессиональной сети. Чуть открытый репозиторий. Каждая мелочь отдельно не страшна. Вместе они становятся маршрутом.

OSINT учит видеть маршрут до того, как по нему пройдут другие. Для защитника это бесценный навык. Для исследователя это способ не утонуть в шуме. Для обычного человека это шанс понять, почему интернет помнит больше, чем хотелось бы.

И ещё. Не надо бояться открытых источников. Бояться надо беспечности. Открытая информация может защищать, если с ней работать аккуратно. Она может вредить, если её собирают без цели, проверок и совести. Разница между этими двумя вариантами не в инструменте. Разница в человеке, который сидит перед экраном.

На этом фундамент есть. Дальше мы будем говорить о невидимости, а точнее о том, почему исследователь, который не думает о собственной анонимности и безопасности, сам быстро становится объектом исследования. И поверьте, это не тот случай, когда хочется быть замеченным.

Глава 2. Невидимый след

Есть неприятная правда, с которой лучше встретиться в самом начале: когда человек ищет информацию в интернете, интернет тоже смотрит на него. Не как живой сыщик в плаще, конечно. Смотрит скучнее и точнее. Пишет адрес, помнит браузер, складывает куки, замечает язык системы, размер экрана, привычные сайты, странные часы активности. Мы думаем, что просто открыли страницу, прочитали форум, проверили старый профиль, нашли забытый документ. А на другой стороне уже остался след. Иногда маленький. Иногда такой, что по нему потом можно идти почти без фонаря.

В разведке по открытым источникам это не мелочь и не паранойя. Это рабочая дисциплина. Можно собрать хорошие факты, красиво разложить связи, найти адреса, имена, старые домены, утечки и фотографии. А потом одним неловким движением показать объекту, что им интересуются. Он закроет профиль, удалит записи, сменит ник, переедет в другой чат, а вы останетесь с обрывками и неприятным чувством, что сами себе поставили подножку. На практике всё проще и неприятнее: часто провал происходит не из-за сложной атаки, а из-за обычной человеческой спешки.

Я видел такое не раз. Человек собирается работать аккуратно, даже говорит об этом бодрым голосом. Открывает отдельную папку, пишет план, включает серьезное лицо. А через десять минут заходит в нужную группу со своего обычного аккаунта, потому что «только гляну». Потом нажимает лайк не туда. Потом сохраняет файл, в котором остаются метаданные. Потом пересылает ссылку в личный мессенджер. Каждый шаг сам по себе кажется пустяком. Вместе они превращаются в веревку, которой удобно связать расследователя с его настоящей жизнью.

Поэтому тема анонимности в OSINT начинается не с Tor, VPN и хитрых расширений. Она начинается с привычки задавать себе простой вопрос: что обо мне узнает эта сторона, если я сейчас нажму кнопку? Не вообще, не когда-нибудь, не в страшной презентации про угрозы, а прямо сейчас. Какой адрес уйдет на сервер. Какой аккаунт откроется. Какие куки потянутся следом. Какой часовой пояс виден. Какой язык браузера. Слишком скучно? Да. Зато именно такие скучные детали чаще всего и ломают аккуратную работу.

Многим хочется найти одну большую кнопку с надписью «стать невидимым». Нажал, и всё, можно ходить где угодно. Так не бывает. VPN может скрыть реальный IP-адрес от сайта, но сам сервис VPN видит ваш трафик лучше, чем хотелось бы. Tor помогает отделить вас от привычной сети, но он не спасет, если вы вошли в личную почту или сами написали в профиле свою любимую фразу, по которой вас легко узнать. Приватное окно браузера не делает вас призраком. Оно скорее убирает часть мусора после прогулки, но не отменяет камеры на улице.

Анонимность похожа не на плащ-невидимку, а на порядок в мастерской. У каждого инструмента свое место. У каждой операции свое устройство, свой браузер, свой аккаунт, свой сценарий. Личные дела не смешиваются с рабочими. Тестовые профили не заходят туда, куда заходил ваш настоящий профиль. Документы перед отправкой проверяются. Скриншоты не делаются на фоне панели с личными закладками. Звучит занудно. Ничего страшного. В безопасности занудство часто полезнее вдохновения.

Первый враг здесь - IP-адрес. Он не расскажет о вас всё, но даст направление. Страна, город, провайдер, иногда организация. Если вы заходите на сайт объекта с офисной сети, а потом удивляетесь, что в логах есть след вашей компании, удивляться поздно. Для пассивного сбора лучше заранее продумать, откуда идет трафик. Домашний интернет, корпоративная сеть, мобильный интернет, публичный Wi-Fi, VPN, Tor - это не взаимозаменяемые кнопки. У каждого варианта свои риски. Корпоративная сеть удобна, но слишком узнаваема. Домашняя сеть личная. Публичный Wi-Fi грязный и непредсказуемый. VPN полезен, если вы понимаете, кому доверяете. Tor хорош для отделения личности от маршрута, но требует дисциплины.

Вторая проблема - браузер. Браузер кажется окном. На самом деле это еще и визитка. Он сообщает сайтам много технических подробностей: версию, плагины, шрифты, разрешение экрана, настройки языка, часовой пояс, особенности графики. Из этих мелочей складывается отпечаток. Не имя и фамилия, но довольно устойчивый силуэт. Вы можете менять IP-адрес, но если браузер каждый раз выглядит одинаково редким зверьком, вас будут узнавать по нему. И нет, режим инкогнито здесь не волшебство. Он не обязан скрывать отпечаток браузера от внешнего мира.

Что с этим делать? Не бросаться в крайности. Для начала не вести расследования из основного браузера, где живут банковские вкладки, рабочие сервисы, личная почта, семейные фотографии, сохраненные пароли и история поисков за последние годы. Нужен отдельный браузерный профиль или отдельная виртуальная машина. Еще лучше - отдельное устройство для задач, где ошибка стоит дорого. В таком окружении меньше случайных пересечений. Там нет личных куки. Нет автозаполнения, которое внезапно предложит ваш настоящий адрес. Нет закладок, по которым можно понять, кто вы.

Третья проблема - куки. Маленькие файлы с невинным названием, от которых зависит половина удобства современного интернета. Сайт помнит, что вы входили. Магазин помнит корзину. Рекламная сеть помнит, что вы смотрели ботинки, маршрутизаторы, курсы испанского и тревожные статьи о том, как исчезнуть из поиска. Для OSINT это опасно не потому, что куки сами по себе злые. Опасно то, что они связывают сессии. Сегодня вы смотрите объект с одной сети. Завтра с другой. А рекламная система всё равно понимает, что это очень похожий человек. Иногда ей даже не нужны куки, хватает отпечатка браузера и поведения.

Есть простое правило: рабочая сессия должна начинаться чисто и заканчиваться чисто. Открыли отдельное окружение, сделали задачу, сохранили нужное, закрыли, очистили следы. Не надо в процессе проверять личную почту, читать новости, покупать билет, отвечать другу. Кажется, что вы экономите две минуты. На деле вы вносите в расследование личный мусор, а потом этот мусор начинает пахнуть. Если работа повторяется, заведите порядок: какие профили для каких задач, где хранятся заметки, как очищаются данные, что запрещено делать в рабочей среде при любых обстоятельствах.

Четвертая проблема - метаданные. Это слово часто звучит так, будто речь идет о чем-то второстепенном. На деле метаданные бывают болтливее автора. Документ может хранить имя создателя, путь к папке, компанию, время правки, историю изменений. Фотография может содержать координаты, модель телефона, дату, иногда даже направление съемки. Таблица может помнить, кто ее редактировал и на каком компьютере. В обычной жизни люди не смотрят туда. В расследовании туда смотрят первым делом.

Представьте, что вы нашли интересный документ, сделали копию, добавили пометки и отправили коллеге. Внутри остался ваш логин, имя устройства, путь вроде C:\Users\Andrei\Work\ClientName. Ничего страшного, если это внутренняя переписка и правила это допускают. Совсем другая история, если документ куда-то уходит наружу или попадает в отчет, который увидит клиент, подрядчик, адвокат, журналист, кто угодно. Метаданные не спрашивают, хотели ли вы их раскрыть. Они просто лежат внутри и ждут человека, которому не лень открыть свойства файла.

Поэтому перед публикацией и пересылкой материалы надо чистить. Не на глаз. Не «я вроде удалил имя из текста». Нужна проверка свойств документа, удаление скрытых данных, пересохранение изображений без лишней информации, аккуратная работа с PDF. Особенно с PDF, потому что многие относятся к нему как к запечатанному конверту. А это не конверт. Это формат, внутри которого может быть много служебного добра. Иногда слишком много.

Пятая проблема - личные аккаунты. Самая человеческая и самая упрямая. Личный аккаунт удобен. Он давно создан, выглядит живым, в него не надо заново входить, его не блокируют на каждом шагу. Но использовать его для расследования - всё равно что прийти на наблюдение в футболке с паспортными данными. Даже если вы ничего не пишете, сам факт просмотра может быть виден. В некоторых сетях заметны посещения профиля. В других активность проявляется через рекомендации, общих знакомых, следы в логах, странные совпадения. Алгоритмы любят соединять людей, которых лучше было бы держать подальше друг от друга.

Для OSINT нужны отдельные личности. Их обычно называют sock puppet, хотя по-русски это звучит немного игрушечно. Суть не в игрушке. Суть в самостоятельной цифровой персоне, которая не тянет за собой вашу настоящую жизнь. У нее отдельная почта, отдельный номер, отдельные профили, своя история, свои интересы, своя манера речи. Хорошая персона не выглядит как пустая маска, созданная вчера ради одного запроса. Она должна быть правдоподобной. Не яркой, не гениальной, не слишком красивой. Просто обычной.

Вот тут многие перегибают. Делают персонажа, который похож на героя дешевого сериала: идеальная фотография, слишком гладкая биография, десяток интересов без единой случайной детали, посты как из рекламного буклета. Такой профиль не вызывает доверия. Живые люди неровные. Они забывают поставить запятую, подписываются на странные страницы, иногда месяцами ничего не публикуют, потом внезапно выкладывают фотографию кофе, спорят о доставке, читают новости своего города. Правдоподобие строится на скучных мелочах. Если вы этого не чувствуете, лучше не пытайтесь играть в глубокое внедрение без подготовки.

Но и здесь нужна граница. Персона для OSINT не должна превращать работу в обман ради обмана. Задача не в том, чтобы манипулировать людьми, выманивать личные тайны или устраивать спектакль там, где достаточно пассивного наблюдения. Чем активнее вы взаимодействуете с объектом, тем больше юридических и этических рисков. В некоторых организациях вступление в закрытую группу уже считают активным действием. В других - только переписку. Где-то разрешат читать открытые публикации, но запретят добавляться в друзья. Поэтому до начала работы надо знать правила. Не в голове примерно, а письменно и ясно.

Пассивная работа - это когда вы смотрите открытые источники и не трогаете объект. Активная - когда вступаете в контакт, подписываетесь, пишете, задаете вопросы, отправляете заявку, входите туда, где вас должны принять. Между ними есть серая зона, и она любит создавать проблемы. Например, открытая группа доступна всем, но для просмотра нужно нажать «вступить». Это уже контакт или нет? Ответ зависит от правил, цели и юрисдикции. Поэтому умный человек не спорит после провала, а заранее спрашивает разрешение и фиксирует границы.

Отдельная почта для персоны - минимум. Лучше не брать странные одноразовые адреса, если персона должна выглядеть нормально. Одно дело - зарегистрироваться на мусорном форуме ради чтения. Другое - создать устойчивый профиль, которому будут доверять. Имя почты должно совпадать с образом, но не быть слишком вылизанным. Номер телефона тоже часто нужен. Сервисы любят подтверждения. Тут используют виртуальные номера, отдельные SIM-карты, рабочие устройства. Главное - не привязывать всё это к личным аккаунтам, личным платежам и личной переписке.

С телефоном отдельная боль. Кажется, что одноразовое устройство решает все вопросы. Нет. Телефон можно потерять, взломать, забыть включенным, привязать к домашней сети, подключить к личному облаку, случайно синхронизировать контакты. Я видел, как человек купил отдельный аппарат для аккуратной работы, а потом вошел на нем в свой основной аккаунт магазина приложений, потому что «иначе неудобно». Всё. Можно было не покупать. Устройство перестало быть отдельным.