Киберразведка начинается с любопытства: как освоить OSINT
В начале нулевых я часами разбирал странные ролики из интернета: искал первоисточники, пытался понять, что на записи правда, а что монтаж. Хотелось понять, откуда все это взялось. Тогда я еще не называл свои поиски OSINT, но многому научился именно на этих интернет-загадках. Сейчас я руковожу Центром психологической безопасности в Москве, занимаюсь социальной инженерией и OSINT. Расскажу, зачем нужна разведка по открытым источникам, где ее применяют и почему я не советую начинать обучение со списка сервисов.
Что такое OSINT и кому он нужен
Я работаю с OSINT — Open Source Intelligence, разведкой по открытым источникам. Название довольно точно описывает суть работы. Мы не залезаем в закрытые базы и ничего не взламываем. Берем то, что лежит на поверхности, причем не обязательно в интернете.
Сейчас OSINT чаще связывают с интернетом. Но еще в 1940-х, когда в США начал складываться этот подход, для разведки использовали газеты, радио и другие доступные материалы. Теперь источников куда больше, но суть работы прежняя: искать сведения, сравнивать версии и проверять, что из найденного выдерживает проверку.
Методы OSINT используют детективные агентства, аналитики, службы безопасности, военная и частная разведка. В США это направление более развито, чем у нас. В информационной безопасности без открытых источников тоже редко обходятся. Разница в том, что именно специалист пытается выяснить.
Например, службе безопасности компании бывает нужно посмотреть, что человек сам рассказал о себе в открытых источниках. Конечно, проверять кандидатов можно только на законных основаниях, соблюдая правила обработки персональных данных. А специалист по кибербезопасности ищет уже совсем другое: сообщения об утечках, обсуждения на профильных форумах, признаки подготовки атаки. Это тоже разведка по открытым источникам, хотя задачи у него совсем другие.
Допустим, заражен компьютер. Надо разобраться, кто мог стоять за атакой и что это вообще за вредоносная программа. Здесь пригодится поиск по открытым источникам. А когда специалист изучает само зараженное устройство, это уже цифровая криминалистика, другая часть расследования.
Киберразведчик — слишком широкое название профессии
Я бы начал с вопроса: зачем тебе киберразведка? Само слово «киберразведчик», на мой взгляд, довольно расплывчатое. Одни занимаются расследованиями, другие помогают защищать компании, третьи собирают сведения перед тестированием безопасности. Без этого легко потратить месяцы на инструменты, которые в будущей работе вообще не пригодятся.
Допустим, человек хочет стать этичным хакером. Тогда ему пригодится разведка инфраструктуры перед тестированием защищенности. Если хочется противодействовать хакерским группировкам, это уже аналитика угроз и расследования. А если мечтаешь быть детективом, условно говоря Бэтменом, можно пойти в правоохранительные органы или заняться частной аналитикой. В каждом случае набор навыков будет своим.
У меня есть любимая фраза: «Лучшие разведчики — ревнивые девушки». Я не пытаюсь никого обидеть. Просто много раз наблюдал: когда человеку очень нужно что-то выяснить, он придумывает способы поиска, до которых посторонний даже не додумается. Тут все дело в мотивации.
Когда тебе самому нужен ответ, начинаешь искать варианты, пробовать инструменты, проверять гипотезы. С первого раза не получилось — идешь дальше. А если своего вопроса нет, даже самый хороший сервис быстро наскучит. Без собственного интереса долго заниматься поиском довольно трудно.
Как учиться OSINT: интереснее всего на практике
Мой ответ — учиться на практике. Для начала полезно посмотреть какой-нибудь курс, чтобы получить общее представление: откуда взялась дисциплина, как она устроена, какие у нее ограничения. Это даст ориентиры и поможет не путаться в терминах. А дальше я бы обязательно брался за собственные задачи.
Я начинал с интернет-загадок. В начале нулевых выкладывали всякие страшные видео, якобы оцифрованные кассеты, странные записи. Нужно было разобраться, откуда это появилось, кто выложил запись, правда ли то, что показано, или это монтаж. Мне было настолько интересно, что, наверное, процентов 70 своих навыков я получил именно в подростковом возрасте, когда пытался добраться до первоисточника.
Когда тебя захватила какая-то загадка, можно просидеть над ней весь вечер и даже не заметить, сколько нового узнал. Я сравниваю это с тем, как ребенок учится ходить: он ведь не думает о тренировке, а просто пробует. Так что не нужно ждать, пока кто-то выдаст идеальное упражнение. Можно самому найти загадку и начать разбираться, даже если пока непонятно, за что хвататься.
Вот простая задача. Допустим, человек собирается на свидание и хочет убедиться, что новый знакомый не выдает себя за кого-то другого. Он открывает соцсети и начинает смотреть, что там вообще опубликовано. И сразу возникают вопросы: чему здесь можно верить, что можно перепроверить, а что так и останется догадкой?
Закрытую страницу взламывать, конечно, нельзя. Можно проверить, не сохранилась ли ее старая открытая версия в веб-архиве. Иногда там остаются сведения, которые раньше были публичными. А если их нет, надо признать, что данных не хватает, а не пытаться обходить ограничения доступа.
Тут один вопрос тянет за собой другой. Какие данные мне нужны? Чем их собрать? Есть ли готовый инструмент? Если нет, могу ли написать свой? А если для этого придется учиться программированию? Может, попробовать нейросеть? В итоге ради одного ответа приходится разбираться и с поиском, и с кодом, и с тем, как проверять результаты.
Тем, кто хочет разбираться с OSINT последовательно, я советую посмотреть программу CyberYozh Academy — курс «Кибердетектив 2.0» по OSINT. Там разбирают поиск по открытым источникам, работу с социальными сетями и проверку найденной информации.
Главные инструменты — мозг, глаза и руки
Если меня просят назвать главные инструменты OSINT, я отвечаю: мозг, глаза и руки. Больше, в принципе, ничего не нужно. Мне нравится представлять себя на необитаемом острове: что я буду делать, если ничего нет под рукой? Начинать нужно с постановки задачи, а уже потом думать, чем ее решить.
С сервисами история такая: сегодня все работает, а через год соцсеть меняет правила доступа, и инструмент становится бесполезным. Бывает, что меняется законодательство. Поэтому я бы учил не названия десятков программ, а принципы работы и способы решения задач.
Инструменты я делю на несколько групп. Первая — средства пассивной разведки. Например, когда ты не взаимодействуешь непосредственно со страницей, а изучаешь ее публичную историческую копию, которая сохранилась в архиве. Это цифровой слепок того, что когда-то было доступно.
Другая группа — инструменты для работы с большими наборами данных. Допустим, перед нами группа любителей переворачивать подушку холодной стороной перед сном. Хотим понять, что еще объединяет ее участников, например для маркетингового исследования. Ищем готовый инструмент, который поможет сравнить открытые данные, или пишем свой. Маркетологи, кстати, тоже хорошие разведчики. У них очень конкретная цель — понять людей и продать им товар.
Ну и, конечно, нейросети. Я пользуюсь GPT и инструментами для работы с кодом. Допустим, у тебя куча документов и нужно быстро найти в них важные детали. Модель поможет разложить материалы по темам, выделить имена и даты, подсказать, где искать несостыковки. Но делать выводы только по ее ответу нельзя. Все существенное нужно перепроверить по первоисточнику.
У специалистов по информационной безопасности и Red Team свой набор: сканеры портов, инструменты анализа доменов и поддоменов. Это уже ближе к исследованию инфраструктуры, а не к OSINT в узком смысле. И работать с чужими системами без разрешения владельца нельзя.
Как отличить хороший курс от плохого
Я считаю, что хороший курс прежде всего формирует мышление. Преподавателю мало прочитать лекцию и раздать упражнения. Мне важно, чтобы студент научился объяснять, почему он выбрал именно такой способ поиска и на чем основаны его выводы. Для этого мы разбираем разные варианты решения, спорим о доказательствах и проверяем гипотезы на практике.
Конечно, людей могут утомить бесконечные домашние задания. Поэтому преподаватель должен быть на связи: разбирать трудные места вместе со студентами, помогать, когда кто-то застрял, и не давать потерять темп.
Я видел в интернете немало курсов, которые, на мой взгляд, представляют собой набор довольно бесполезных знаний, растянутых на месяцы. Там долго рассказывают о вещах, которые уже устарели. Поэтому я смотрю, когда программу в последний раз обновляли и объясняют ли авторы, что именно в ней изменилось.
Но это не значит, что надо выбросить всю теорию и сразу перейти к упражнениям. Уважение к дисциплине тоже нужно вырабатывать. Полезно знать, откуда она взялась, понимать основные понятия и подходы. Я бы дал этому вводное занятие, ответил на вопросы, а потом переходил к практике.
Я бы вообще не стал учить по одному инструменту за занятие: сегодня этот сервис, завтра другой. Лучше сначала разобраться, какие бывают группы инструментов и какие задачи они решают. Тогда студент не растеряется, если знакомая программа вдруг перестанет работать.
И в каждом модуле я бы ставил конкретную задачу. Не просто «изучаем такой-то сервис», а, например, пробуем разобраться, что можно узнать из общедоступных данных соцсети. Где получается проверить гипотезу, а где информации недостаточно? Тогда сервис перестает быть самоцелью: он либо помогает ответить на вопрос, либо нет.
С практическими заданиями все сложнее. Здесь у меня нет единого мнения. С одной стороны, хорошо, когда у задания есть эталонное решение и преподаватель понимает, к чему должен прийти студент. Такие задачи удобны для начала. Но если все сводится к одному-двум известным действиям, очень быстро становится скучно. Особенно людям, которые уже освоили базу.
Мне интереснее задания, когда даже преподаватель заранее не знает, удастся ли найти решение. Студенты уходят на неделю подумать, пробуют свои варианты, а потом мы собираемся и обсуждаем: что у кого получилось, где застряли, какие гипотезы оказались неверными. Тут уже есть о чем поговорить.
При этом преподаватель должен оставаться рядом. Он помогает понять, где вывод подтвержден фактами, а где студент просто догадался, и подсказывает, в какую сторону еще попробовать. Бывает, и сам чему-то учишься у студентов. У всех разный опыт, и чужая идея иногда оказывается неожиданно полезной.
OSINT — один из навыков, а не конечная профессия
Я вообще не советую воспринимать OSINT как отдельную, законченную профессию. Скорее это способ искать и проверять сведения, который нужен в самых разных профессиях. Отдельные позиции OSINT-аналитиков, конечно, существуют, но чаще такие навыки нужны специалистам по информационной безопасности, реагированию на инциденты, аналитикам угроз, расследователям.
Я бы не привязывал всю карьеру к одной аббревиатуре: важнее понять, какие задачи тебе нравится решать и где это умение пригодится. И пожелал бы всем попутного ветра, азарта и куража. Когда задача по-настоящему захватывает, человек учится, иногда даже не замечая этого. Мне хочется, чтобы у студентов было именно такое чувство.
Если вас больше привлекает защита корпоративной инфраструктуры и расследование инцидентов, обратите внимание на другую программу CyberYozh Academy — «Специалист по информационной безопасности». Здесь методы OSINT изучают в контексте информационной безопасности — вместе с мониторингом угроз и расследованием инцидентов.
