collecting-open-source-intelligence

オープンソースインテリジェンスの収集

使用するタイミング

次のような場合に、このスキルを使用します。

• 組織を標的とするフィッシングキャンペーンに関連する外部インフラを調査する
• 公開情報から観測可能な指標（WHOIS、ASN データ、SSL 証明書）を使って脅威アクターのプロファイルを充実させる
• 組織の外部への露出状況を把握するため、許可を得たうえでアタックサーフェスを調査する

明示的な書面による許可なく、対象に対するアクティブスキャンにこのスキルを使用しないでください。OSINT の収集は、対象システムにパケットを送信しない受動的なものに限る必要があります。ただし、スコープでアクティブな偵察が許可されている場合は除きます。

前提条件

• グラフベースのリンク分析を行うための Maltego CE または商用ライセンス
• インターネット全体を対象としたデバイス／サービスの調査に使う Shodan API キー（https://shodan.io）
• ツール選定に使う OSINT Framework に関する知識（https://osintframework.com）
• 自動 OSINT 相関分析に使う SpiderFoot HX またはオープンソース版 SpiderFoot

ワークフロー

ステップ 1：収集要件を定義する

収集を始める前に、インテリジェンス要件（IR）を定めます。次の項目を文書化します。

• 対象：脅威アクターグループ、悪意のあるドメイン、IP 範囲、または組織
• 優先インテリジェンス要件（PIR）：どのような具体的な疑問に答える必要があるか
• 法的権限：受動的な OSINT は合法ですが、アクティブなプロービングには許可が必要です
• データの取り扱い：収集したインテリジェンスの TLP 分類

ステップ 2：受動的な DNS と WHOIS の調査

# Passive DNS via SecurityTrails API
curl "https://api.securitytrails.com/v1/domain/evil-domain.com/dns/a" \
  -H "apikey: YOUR_KEY"

# WHOIS history via ARIN / RIPE
whois -h whois.arin.net evil-domain.com

# Certificate transparency logs (no API key required)
curl "https://crt.sh/?q=%.evil-domain.com&output=json" | jq '.[].name_value'

証明書の透明性ログには、対象ドメインのすべてのサブドメインが記録されており、意図せず公開されたステージング環境、VPN、または内部インフラが見つかることもよくあります。

ステップ 3：Shodan でインフラをマッピングする

import shodan

api = shodan.Shodan("YOUR_SHODAN_API_KEY")

# Search for specific C2 framework signatures (Cobalt Strike beacon)
results = api.search('product:"Cobalt Strike" port:443')
for r in results['matches']:
    print(r['ip_str'], r['port'], r['org'], r.get('ssl', {}).get('cert', {}).get('subject', ''))

# Find infrastructure associated with a known threat actor's ASN
results = api.search('asn:AS12345 http.title:"Redirector"')

Shodan の結果を受動的な DNS と照合し、インフラクラスターを構築します。

ステップ 4：Maltego でグラフを分析する

Maltego では、脅威アクターのインフラをマッピングするために、次の組み込みトランスフォームを使用します。

1. 既知の悪意のあるドメインから開始します（エンティティ：Domain）
2. 「To IP Address [DNS]」を実行し、ホスティング IP を特定します
3. 「To Shared Hosting」を実行し、同じホスティング環境にあるドメインを特定します（同じ脅威アクターの可能性があります）
4. 「To DNS Name [Reverse DNS]」を実行し、PTR レコードを特定します
5. 「To Whois」を実行し、登録者のメールアドレス／組織を特定します
6. 登録者のメールアドレスを起点に、「To Domains [Registrant Email]」を実行し、同じメールアドレスで登録されたすべてのドメインへ調査範囲を広げます

Maltego の Maltego Cyber threat intelligence transforms（VirusTotal、Shodan、PassiveTotal、URLScan）を使うと、グラフの網羅範囲を広げられます。

ステップ 5：ダークウェブとペーストサイトを監視する

SpiderFoot HX または手動検索を使い、次を調査します。

• ペーストサイト（Pastebin、Ghostbin）：漏えいした認証情報、IOC、マルウェアの設定を検索します
• ダークウェブのフォーラム：適切な運用セキュリティを確保したうえで Tor ブラウザーからアクセスします
• GitHub/GitLab：公開された認証情報や、組織に固有の文字列を検索します

# SpiderFoot CLI for automated OSINT
python sf.py -s evil-domain.com -m sfp_shodan,sfp_virustotal,sfp_passivetotal \
  -o TF -R result.json

主な概念

用語	定義
受動的 OSINT	対象システムにパケットを一切送信しないインテリジェンス収集です。公開データベース、検索エンジン、キャッシュデータを使用します
PIR	優先インテリジェンス要件です。インテリジェンス収集で答えるべき具体的な問いを指し、焦点の定まらないデータ収集を防ぎます
証明書の透明性	認証局（CA）が発行したすべての SSL/TLS 証明書の公開ログです。crt.sh を使ったサブドメインの発見を可能にします
ピボット	1 つのデータポイント（IP、メールアドレス、登録者名）を使って、関連するインフラやアカウントを発見することです
ASN	自律システム番号です。単一のルーティングポリシーで管理される IP アドレスのブロックを指し、脅威アクターのインフラのクラスタリングに役立ちます
同一ホスト上のドメイン	同じ IP に名前解決される複数のドメインです。攻撃者がインフラを共有している可能性を示します

ツールとシステム

• Maltego：IP、ドメイン、メール、ソーシャルメディアの分析に利用できる、50以上のデータソース変換機能を備えたグラフベースのリンク分析プラットフォーム
• Shodan：10億台以上のデバイスをインデックス化したインターネット全体のスキャナーデータベースです。バナー、ポート、SSL証明書、脆弱性を検索できます。
• SpiderFoot：DNS、WHOIS、ダークウェブ、侵害データ、ソーシャルメディアを網羅する200以上のモジュールを備えた、自動化されたOSINTツール
• Recon-ng：ドメイン、メール、ソーシャルメディアの偵察向けにモジュール設計された、PythonベースのOSINTフレームワーク
• crt.sh：サブドメインや証明書の発見に使える、無料の証明書透明性検索エンジン
• OSINT Framework (osintframework.com)：インテリジェンスのカテゴリ別に整理された、OSINTツールの厳選ディレクトリ

よくある落とし穴

• デジタル上の痕跡を残すこと：脅威アクターのウェブサイトにアクセスしたり、Shodanで検索したIPに接続したりすると、相手に気付かれる可能性があります。専用のOSINT VMでTorまたはVPNを使用してください。
• グラフ分析での確証バイアス：Maltegoのグラフは誤ったつながりを生み出すことがあります。確定事項として扱う前に、各ピボットを個別に検証してください。
• データが古いこと：WHOISのプライバシーサービスや防弾ホスティングは頻繁に入れ替わります。データのタイムスタンプを必ず確認してください。6か月前のパッシブDNSは、すでに有効でない可能性があります。
• 帰属判断への過信：インフラストラクチャが重複していても、同じ脅威アクターであるとは限りません。偽旗作戦では、グループ間で意図的に指標が共有されます。
• 法的な境界：一部のOSINTツールはアクティブスキャン（ポートスキャン、バナー取得）を実行します。許可なく外部のターゲットに対して使用する前に、ツールの動作を確認してください。