O Airbnb possui seu próprio sistema de cadastro interno. Porém, no momento do check-in, muitos anfitriões solicitam documentos e chegam a tirar fotos do hóspede segurando o documento. O problema é que esses dados ficam armazenados diretamente no aparelho do anfitrião, sem qualquer garantia de proteção adequada. Essa prática levanta sérias dúvidas sobre a segurança da informação e a conformidade com a LGPD (Lei Geral de Proteção de Dados) . Além disso, há relatos de que dados pessoais são enviados para portarias de condomínios, ampliando ainda mais os riscos de exposição. O Airbnb precisa aprimorar urgentemente esse tipo de conduta, estabelecendo protocolos claros de proteção e armazenamento de dados. A ausência de respostas transparentes da empresa sobre o nível de segurança dessas práticas demonstra uma falha significativa na forma como a plataforma lida com informações sensíveis de seus usuários.
Gerar link
Facebook
X
Pinterest
E-mail
Outros aplicativos
As 15 principais ferramentas de inteligência de código aberto (OSINT)
As 15 principais ferramentas de inteligência de código aberto (OSINT) para encontrar alguém online
Quais são as 15 principais ferramentas de código aberto (OSINT) para encontrar alguém online? Que ótima pergunta! e um enorme.
Gastamos tempo conversando com especialistas da OSINT e investigadores particulares para descobrir. Aqui cobrimos seus pontos bons e ruins (não muitos pontos ruins!), Dando nossa revisão, link e conselhos.
Este documento aumentará seu conhecimento e adicionará 16 ferramentas de investigação incríveis, levando você mais fundo na caverna escura e muitas vezes secreta das investigações online.
Como tenho certeza de que você sabe, inteligência de código aberto (OSINT) é a aplicação de utilizar dados que estão disponíveis publicamente para atingir seu objetivo.
O código aberto pode dar a impressão de apenas informações publicamente disponíveis. O OSINT também pode utilizar a inteligência humana (como engenharia social). Mas, existem muitos métodos de coletar e filtrar essa inteligência, nem todos, mas a maioria, inclui o uso de sistemas de computador.
Por que o OSINT é tão importante?
OSINT está dando sentido ao caos que são os dados online (e às vezes offline). Qualquer um pode coletar informações, com as ferramentas certas. O verdadeiro OSINT está fazendo as ligações entre as informações para atingir um objetivo. As ferramentas OSINT fornecem soluções simples. Soluções, para tornar sua vida melhor.
Usando OSINT para descobrir ativos voltados para o público
Um dos aspectos mais comuns de iniciar uma coleta OSINT é tentar identificar ativos voltados para o público, como sites, endereço da empresa, endereços pessoais. Não estamos realmente interessados em vulnerabilidades de sistemas ou programas de computador, isso é mais para o mundo dos testes de penetração.
No entanto, um pouco de conhecimento em testes de penetração pode coletar algumas informações. Por exemplo, conectar-se remotamente a um sistema de servidor pertencente ao seu alvo, você pode obter algumas informações. Antes de inserir um nome de usuário ou senha, você verá o sistema operacional e os detalhes de contato do administrador. Às vezes, isso pode ser útil em situações de engenharia social.
Usando OSINT para descobrir informações relevantes fora da organização
Uma função secundária das ferramentas OSINT hoje em dia é encontrar informações relevantes 'extras' fora de sua consulta direta que você procurou. Essas informações podem ser de uma empresa adquirida, uma empresa secundária ou relacionamentos próximos ou contatos com o alvo em questão. Isso pode identificar outras localizações de endereços físicos potenciais do alvo. Outros interesses, como contas de redes sociais e fotos da vida social, podem fornecer uma imagem. Essa imagem pode mostrar o habitat social local e o alvo. Agora você pode estar ciente de seus territórios locais on-line.
Reúna as informações descobertas em um formulário acionável
Finalmente, uma vez que as informações foram pesquisadas, coletadas, incluindo as informações relevantes relacionadas, alguém precisa agrupar tudo isso. Eles devem ligar todos os pontos e aplicar alguma análise lógica (é necessária uma mentalidade investigativa!).
A execução de varreduras OSINT pode retornar grandes volumes de informações, você precisa ser bem versado em concentrar seu tempo nas informações que importam, com atenção aos detalhes. Reunir todas essas informações para focar nos aspectos mais úteis pode ser muito eficaz para pintar o quadro geral. As ferramentas tentam fazer isso, mas, na verdade, essa parte precisa de um bom cérebro humano e um pouco de café.
Principais ferramentas OSINT usadas pelos especialistas
O primeiro trabalho a fazer? escolha a(s) ferramenta(s) certa(s!). Você não precisa necessariamente usar nenhuma ferramenta, mas, devido aos vastos locais onde as informações podem estar, ter uma ferramenta ajuda. Uma ferramenta que verifica milhares de locais em poucos segundos pode ser muito eficiente em termos de tempo.
Se você está tentando descobrir informações sobre sua própria identidade ou empresa, evitando futuros invasores online, deseja algo rápido e repetível. Fazer isso rapidamente pode significar a diferença entre seus funcionários ou familiares de receber ataques de phishing.
Então aqui está. Acreditamos que as principais ferramentas o ajudarão a conduzir uma análise OSINT completa e eficaz de seu alvo ou de seus próprios ativos. Nós os listamos aqui e, em seguida, detalhamos como cada um pode tornar sua carreira de investigador mais eficaz (em nenhuma ordem específica):
Maltego: facilitando o OSINT complexo, com ótimos mapas e transformações
O foco da Maltego é encontrar relacionamentos específicos entre ativos, pessoas, empresas e domínios de sites (e faz isso muito bem). A maioria das principais plataformas OSINT fornecem Maltego com uma API, atualmente. Eles permitem que a ferramenta se conecte e apresente os dados no Maltego. No entanto, pode-se saber que leva muito tempo para traçar toda a inteligência bruta.
Os gráficos na ferramenta fazem um trabalho incrível ao apresentar as informações em gráficos fáceis de ler. O mais recente que ouvimos, pode mostrar até 10.000 pontos de dados.
A ferramenta funciona automatizando a busca de sua entrada, em várias fontes de informação pública. Ele tenta fornecer uma solução de 1 clique para a origem e achamos que faz isso muito bem. Ele gerencia essas fontes de dados por algo que eles chamam de 'transformar' e vem com alguns recursos embutidos. Alguns deles são registros DNS, pesquisa em redes sociais, verificações WHOIS e alguns outros. Você também pode adicionar transformações personalizadas se encontrar uma API compatível à qual deseja conectá-la.
Existe uma versão gratuita com recursos limitados e uma instância cobrada a partir de US$ 1.999. Eles também fornecem soluções de instalação de servidor para soluções de grande escala, que começam em US$ 40.000 e incluem treinamento intensivo.
UserSearch: Encontrar pessoas por nomes de usuário e e-mail
UserSearch , é uma vasta rede de mecanismos de pesquisa que rastreiam a Web para encontrar uma correspondência exata em um nome de usuário ou endereço de e-mail. Ele verifica centenas e centenas de sites. Ele pode localizar um perfil de usuário específico em fóruns, redes sociais, sites de namoro, quadros de mensagens, sites de criptografia, sites de jogos de azar. É de longe um dos mecanismos de pesquisa on-line mais abrangentes e precisos para nomes de usuário e endereços de e-mail.
Está em execução há mais de 15 anos, então os desenvolvedores têm uma posição bastante forte para OSINT de nomes de usuário ou endereços de e-mail. Os desenvolvedores são uma equipe de especialistas em código aberto e desenvolvedores de software.
O site é totalmente gratuito e pode verificar até 800 sites em cerca de 30 segundos, o que é incrível. É literalmente o Google, para nomes de usuários e endereços de e-mail.
Eles também lançaram recentemente um serviço premium que está na versão Alpha . Ele relata para encontrar ainda mais informações e cobrir mais sites, como sites de namoro, dentro da versão premium. Eles oferecem o serviço por $ 6,99 por mês, que você pode cancelar a qualquer momento.
Mitaka: encontrando IPs, MD5s, ASNs e endereços bitcoin
Isso está disponível como uma extensão do Chrome e também para o Firefox. Ele permite que você pesquise domínios, URLs, endereços IP, hashes MD5, ASNs, endereços Bitcoin em mais de uma dúzia dos principais mecanismos de pesquisa.
É um conjunto de ferramentas muito útil em seu navegador e para aqueles que preferem um conjunto de ferramentas limitado e mais focado.
Spiderfoot: vasta gama de recursos de inteligência de código aberto
Esta é uma ferramenta de reconhecimento gratuita que pode extrair dados de várias fontes diferentes para coletar informações sobre vários ativos online. Ele procura por endereço IP, intervalos CIDR, domínios, subdomínios, ASNs, endereços de e-mail e números de telefone. Está no Github e vem em uma versão de linha de comando e uma versão de servidor web incorporado. Ele contém mais de 200 módulos, tornando-o perfeito para equipes vermelhas e azuis como parte de seu processo inicial.
Spyse: a ferramenta OSINT goto para domínios
Esta ferramenta é descrita online como ' o registro de ativos de internet mais completo ' online. Seu foco principal parece estar voltado para o trabalho de segurança cibernética. A ferramenta é usada por muitas das principais ferramentas OSINT, fornecendo os dados de back-end. Ele coleta dados publicamente disponíveis em sites, suas informações WHOIS (como proprietários, servidores associados e dispositivos vinculados à IoT).
Os dados podem então ser revisados por seu próprio mecanismo para identificar possíveis riscos de segurança e conexões entre várias entidades. Ele tem um plano gratuito, embora os desenvolvedores que desejam criar aplicativos a partir dos dados fornecidos pela API do Spyse precisem pagar uma assinatura.
BuiltWith : OSINT para descobrir com quais sites são construídos!
Esta ferramenta é perfeitamente nomeada. Usando esta ferramenta, você pode determinar quais pilhas de tecnologia são usadas em vários sites e plataformas. Ele pode, por exemplo, detectar se um site foi construído usando WordPress, Joomla ou qualquer outra plataforma do tipo CMS. Também irá gerar uma grande lista de serviços dos plug-ins que o site está usando atualmente, seus frameworks e até mesmo suas informações de servidor que estão disponíveis publicamente. É outra ótima ferramenta para equipes vermelhas e azuis no reconhecimento inicial do servidor como parte de uma auditoria de segurança.
Como bônus adicional, você pode vincular essa ferramenta a um scanner de segurança, como o WPScan, e a API de banco de dados de vulnerabilidades do WordPress. Isso pode identificar rapidamente vulnerabilidades comuns nos módulos do WordPress que estão sendo usados.
Intelligence X: um banco de dados de literalmente tudo OSINT!
O Intelligence x é um dos melhores serviços de arquivo e pesquisa que temos para acessar online. Ele não apenas arquiva versões históricas de sites online, mas também inclui dados vazados que normalmente são removidos rapidamente, atualmente. Embora isso possa parecer um pouco semelhante ao que o serviço do Internet Archive oferece, o Intelligence X oferece algumas diferenças bem interessantes. Não importa o quão controverso seja o vazamento de dados, o Intelligence X parece não se preocupar muito, tornando-o público para as massas, para sempre.
Anteriormente, suas informações arquivadas, como os servidores de e-mail durante o vazamento das situações de Hillary Clinton e Donald Trump.
grep.app
Já pensou que se você pudesse pesquisar meio milhão de repositórios git com alguns cliques, seria útil? com certeza você pode ter tentado usar a barra de pesquisa no github. Mas, Grep.app faz o trabalho muito mais rápido e eficaz.
Recon-ng: ótimo para scripters python
Você conhece um pouco da codificação Python? Se assim for, você tem um presente de Natal antecipado quando se trata de recon-ng. Esta é uma ferramenta python muito poderosa, escrita em python. Ele permite que você interaja muito bem com o MetaSploit Framework, o que deve facilitar o aprendizado de seus usos. Ele também possui uma área de ajuda que orienta você sobre os melhores usos da ferramenta, para que os desenvolvedores python possam integrá-la rapidamente.
A própria ferramenta automatiza um dos aspectos mais demorados das ações OSINT. Ele permite que você automatize mais as ações repetitivas que consomem tempo, permitindo que você se concentre na investigação OSINT real.
Ele foi projetado para que até mesmo o mais novo desenvolvedor de python possa utilizar a ferramenta para pesquisar informações públicas e retornar alguns resultados decentes. Funciona em módulos, com muitas funcionalidades embutidas projetadas para facilitar o uso. Tarefas comuns, como normalizar as saídas de dados, vincular bancos de dados e fazer solicitações de URL para sites e usar/gerenciar chaves de API para coletar dados diretamente de interfaces de API, são rápidas e fáceis de fazer com o Python. Em vez de precisar programar o Recon-ng, ele permite que você simplesmente escolha qual módulo deseja usar e dê o destino a ele.
A ferramenta é gratuita , de código aberto e inclui um enorme wiki que inclui informações abrangentes sobre como começar e usar a ferramenta, usando as melhores práticas para OSINT.
theHarvester : OSINT para redes
Uma das ferramentas mais fáceis de usar prontas para uso que encontramos é a popular ferramenta theHarvester. É construído de baixo para cima para coletar informações públicas que existem em uma organização, mas fora da própria rede da organização. Ele pode identificar informações públicas interessantes em uma rede de computadores da organização, olhando para fora da cerca. Usando uma infinidade de ferramentas embutidas para fazer isso, tornando-se uma ferramenta de reconhecimento muito eficaz antes de iniciar um teste de penetração ou uma atividade semelhante.
A ferramenta reúne as informações dos principais provedores de dados, como Bing e Google, mas também usando áreas menos conhecidas da web e metamotores.
Para fazer isso, ele se conecta ao Netcraft para mineração de dados e troca de ameaças do cofre Alien, permitindo identificar rapidamente vulnerabilidades conhecidas. Basicamente, ele pode escanear portas, reunir e-mails, nomes, subdomínios, IPs e URLs em uma organização, posicionando-o perfeitamente para as próximas etapas de seu exercício.
Shodan: o Google para dispositivos IoT
O Shodan é um mecanismo de pesquisa incrível e dedicado usado para encontrar inteligência em dispositivos IoT. Normalmente, esses tipos de dispositivos não são pesquisáveis, então você ficará surpreso com o que poderá descobrir.
Ele pode detectar portas abertas, vulnerabilidades em sistemas de destino e verificar dispositivos que normalmente não são suportados por scanners de porta padrão.
Outras ferramentas OSINT, como o theHarvester, na verdade usam Shodan como fonte de dados para detectar vulnerabilidades em dispositivos IoT. Uma das maiores vantagens do Shodan é monitorar puramente centenas de milhares de dispositivos IoT e as informações contidas nesses dispositivos, tornando-as disponíveis ao público. Se você não usar essa ferramenta no início de um OSINT, perderá uma grande quantidade de dados. Dispositivos como câmeras, sensores prediais, dispositivos de segurança, xboxes, câmeras de segurança, geladeiras domésticas! A lista não tem fim.
Esta ferramenta é um serviço cobrado, mas vale o custo. Custa $ 59 por mês no básico. Mas, para testá-lo, você pode registrar uma licença de freelancer e digitalizar até 5120 IPs por mês gratuitamente.
Metagoofil : quem fez esse documento?
Esta é uma ferramenta disponível gratuitamente no Github. É projetado e otimizado para extrair informações e metadados em documentos públicos, como PDF, Doc, docx, xls e outros formatos de documento comuns. É literalmente uma ferramenta online de investigação de documentos.
O tipo de informação que você pode extrair dessa ferramenta é muito interessante e impressionante. Ele pode retornar artefatos como o nome de usuário de quem criou o documento, bem como seu nome real e, às vezes, seu endereço (se o computador usado para criar o documento contiver os detalhes do sistema registrado contendo essas informações). Também artefatos como nome do servidor, recursos de compartilhamento de rede e informações de diretório dos compartilhamentos de rede.
Nem é preciso dizer que esse tipo de vazamento de dados de uma organização é muito útil para quem trabalha na área de OSINT ou talvez precise conduzir algumas atividades de engenharia social. Um recurso muito valioso e gratuito para qualquer investigador OSINT.
searchcode : o Google do código!
Searchcode é essencialmente o equivalente do Google ao código de software. Os desenvolvedores de software muitas vezes deixam informações confidenciais dentro do código-fonte dos programas de computador, presumindo que ninguém jamais olhará. Você pode encontrar e-mails, nomes de usuário e até senhas dentro do código-fonte. Essa ferramenta pesquisa o código-fonte, encontrando rapidamente partes úteis esquecidas.
Você não precisa ser um desenvolvedor ou programador para entender os resultados desse mecanismo de pesquisa e, na maioria das vezes, os resultados Você não precisa ser um desenvolvedor ou programador para entender os resultados desse mecanismo de pesquisa e, na maioria das vezes os resultados são autoexplicativos. Outro grande recurso para investigadores OSINT onde eles sabem que seus alvos ou organizações podem ter lançado software.
Recurso OSINT Framework: O melhor dos melhores
Em suma, qual é o melhor recurso online?
O recurso OSINT Framework. Por que? é um recurso incrível para ver muito mais recursos online para OSINT. É muito, muito popular. O site do OSINT Framework possui uma enorme variedade de recursos OSINT para todas as esferas da vida.
Melhor das melhores ferramentas de inteligência de código aberto!
Portanto, para finalizar, acreditamos que o OSINT Framework é o recurso on-line mais útil. É um dos melhores locais para encontrar o que procura. Sugerimos que você experimente e explore o que ele tem a oferecer.
Acreditamos que o que listamos é simplesmente o melhor dos melhores atualmente online. Se você é um OSINT ou profissional da informação, ter todas essas ferramentas em seus atalhos valerá a pena. Você não precisa ser uma pessoa supertécnica para poder usá-los e, com uma cabeça decente em seus ombros, encontrará o que procura. Sinta-se à vontade para entrar em contato conosco se tiver bons recursos e ficaremos felizes em falar sobre eles no próximo artigo.
Comentários
Postar um comentário