Практика в изучении OSINT

Я тут хочу вставить свои пять копеек в бомбанувший пост от @vali_ax.

А можно ли к вам в стажеры или ассистентом? Можно вам просто помогать? Где искать кейсы?

Думаю, вы поняли, что речь пойдет про практику. И здесь еще более прозаично. Чтобы у вас был опыт, вам нужно что-то делать полезное, а не искать заветные идеальные «кейсы». А как?

✨Участвуйте в разных CTF. Необязательно собирать команду и даже играть. После соревнований участники и организаторы часто выкладывают свои writeup‘ы на самые сочные задания. Попробуйте выполнять задания по шагам.

✨Этот же способ можно распространить на все остальные практические статьи по OSINT. Следите за ходом мысли автора и предугадывайте дальнейшие шаги.

✨Решайте задания на тренировочных площадках самостоятельно. Таски по OSINT представлены на RootMe, HTB, TryHackMe. Если хотите выйти за рамки OSINT чуть дальше - CyberDefenders. А еще есть замечательный форум OSINT Mindset.

✨Научитесь ставить себе задачи самостоятельно. Наткнулись на группу жуликов? Исследуйте! Кто-то странный написал в чате? Исследуйте!

✨Найдите релевантную работу. Да-да. Опять про этот круг «нет работы»-«нужен опыт». Но часто я встречаю слишком высокие запросы у совсем новичков. Все хотят сразу в бой, да чтоб еще и с драконами. Так не бывает. Сначала будет сложно и не всегда интересно. Подыщите вакансию младшего аналитика в SOC, базовых навыков из поста Вали должно хватить для начала. Вот пример (вакансия архивная).

Есть некое ощущение, что надо сделать подобную заметку еще и об soft skills. И дополнить пост Вали по своей области. А если вы уже точно решили, что хотите в кибербез защитником, то рекомендую ознакомиться с Mandiant CTI Framework, там все это уже есть.

Я тут вернулась в Twitter как читатель 🤪

Каждый раз прихожу к тому, что twitter это как источник профессиональных новостей, без которого никуда. Telegram-каналы не покрывают и части того, что есть и происходит в Twitter'e. Тут обычно все мусолят одно и тоже по кругу с разницей в полгода, особенно если это касается "новых" методик и инструментов. Скоро займусь, наверно, one-channel решением для все источников информации через IFTTT или подобное, но об этом на другом канале расскажу.

Накидайте в комментах годных профелей по OSINT, расследованиям, форензике, threat intelligence, крипте, ну вы поняли, все, что я так люблю. Я начну первая👇
Потом сделаю подборку из самаого-самого проверенного 😊

Совсем не #слоупочные_новости

Помните отчет по OPERA1ER? Так вот, у этой истории триумфальный конец! 🎉

https://www.interpol.int/News-and-Events/News/2023/Suspected-key-figure-of-notorious-cybercrime-group-arrested-in-joint-operation

https://www.group-ib.com/media-center/press-releases/operation-nervone

Ну кто еще будет возвращаться в канал с такими новостями 😊 (но это не причина, нет)

Анонсируем первый доклад OSINT mindset meetup №11! Поговорим о том, как с помощью социального анализа можно раскрывать киберпреступления 🔥

Pandora — Социальный анализ в расследовании инцидентов ИБ 🤒

В данном докладе мы рассмотрим, как социальные графы помогают интерпретировать полученные данные. Узнаем, какие свойства графов работают для исследования киберпреступности. А также на реальном кейсе разберем, как теория переходит в практику.

И помните, графы не то, чем кажутся.

🌐Site | 💬 Forum | 🔍 Family |▶YT

Ловите презу с сегодняшнего доклада😊

✨Межпланетная файловая система и киберпреступления ✨

Помимо крипты, Web 3.0 подарил нам IPFS-сети. По сути IPFS – распределенная система хранения и распространения данных, построенная на принципах одноранговой сети и со своими особенностями. Она позволяет хранить и получать данные, адресуемые с помощью хэшей контента, вместо традиционных URL-адресов. Благодаря децентрализации распространение зловредного контента в этой сети сильно проще. Во-первых, один файл может раздаваться сразу несколькими узлами. Во-вторых, доступ к данным может осуществляться и без специального клиента, то есть получить данные по ссылке шлюза могут и пользователи, которые и вовсе не знают, что такое web 3.0. Таким образом, IPFS-сети – это практически идеальный инструмент для распространения различных фишинговых страниц и ВПО.

➡️ Выглядят ссылки на контент внутри сети через публичный шлюз примерно так:

https://ipfs[.]io/ipfs/bafybeihzkuiaszmirrz2ervaa7hvx2rjrz5vb4etdo63sqtpxqtfkunblu/any.html

Это строка с реальной фишинговой страницей. Поэтому на момент чтения ее могут уже заблокировать, за архивной версией можно заглянуть сюда.

Строка bafybe...kunblu и есть тот самый идентификатор контента (CID). Они бывают разного формата с разными написанием.

Вот как раз нечто похожее мне и попалось на днях при расследовании одного кейса. Мне было важно, с каких IP-адресов раздаются вредоносные файлы.

Несмотря на общее заблуждение, децентрализация не ведет к анонимизации.

✔️ Устанавливаем IPFS Kubo (консольный клиент) по инструкции и запускаем его

✔️ ipfs dht findprovs <cid> – находит пиры, которые могут раздать контент с заданным идентификатором

✔️ ipfs id <peerid> -f="<addrs>\n" – IP-адреса, указанного пира

Ниже будет пример вывода.


В таких новых технологиях всегда есть очень много нюансов. Поэтому приходится буквально наживую с ними разбираться.