Preparativos #1: OPSEC

 

 

Antes de começarmos qualquer trabalho sério de OSINT, é necessário tratar de um preparativo fundamental para realizar nossas buscas e análises: OPSEC. Operational Security (OPSEC) é o ato de proteger sua anonimidade quando envolvido em pesquisas ou operações online[1]. Sem medidas básicas neste sentido, o trabalho com Inteligência de Fontes Abertas pode tornar-se perigoso ou improdutivo.

Para ficar mais claro o exemplo, vamos partir de uma situação mais extrema: imagine que você esteja investigando, a pedido de seu cliente, uma organização criminosa. Será que é seguro realizar as pesquisas necessárias em redes sociais com seu perfil real? Ou realizar a pesquisa direto da rede local de sua casa, por exemplo, facilitando a localização de seu número de IP?

Michael Bazzell, autor de OSINT techniques, livro fundamental da disciplina, diz que costumava começar seus cursos e livros já ensinando mecanismos de pesquisa até se daparar, em um curso, com "policiais com notebooks de propriedade da polícia realizando buscas no Facebook; investigadores privados usando Windows XP enquanto navegavam por blogs de suspeitos; e profissionais de cibersegurança entrando em sites de hacking sem possuir nenhum antivírus, bloqueador de script ou VPN"[2]. A partir desse momento, todas as edições de seu livro passaram a ter uma parte introdutória tratando dos preparativos para OSINT, objetivando principalmente que seus alunos e leitores aprendessem pelo menos o básico de OPSEC.

Pretendemos explicar em pormenores a importância de VPN, sock puppets, e outros recursos para manter sua anonimidade enquanto você começa a explorar suas habilidades de OSINT. É importante em um primeiro momento, porém, entender a natureza delicada das tarefas que desempenharemos e a extrema necessidade de se manter anônimo, ou o mais anônimo possível, para realizá-las. Entender e ter boas práticas de OPSEC é o primeiro passo prático para seu futuro em OSINT.

---

[1] Jon DiMaggio, The Art of Cyberwarfare: an investigator's guide to espionage, ransomware, and organized cybercrime, No Starch Press, 2022. Tradução minha.

[2] OSINT Techniques: Resources for Uncovering Online Information, Michael Bazzel, 2023, p. 1. Tradução minha. Bazzell também foi consultor técnico da primeira temporada da série Mr. Robot.

Exercício #1 - Faça uma busca sobre você

Antes de realmente estabelecermos os preparativos necessários para um trabalho adequado de OSINT, vamos realizar um primeiro exercício razoavelmente livre. Pesquise informações sobre você mesmo em qualquer mecanismo de busca. O Google será certamente a primeira escolha. O que você encontra? Qual o tamanho de seu rastro digital?
Em um momento futuro entenderemos o que são os google dorks, que funcionam como macetes para realizar pesquisas mais precisas, mas há alguns recursos que já podemos explorar para refinar os resultados. Digamos que você possua um nome e dois sobrenomes: pesquise com aspas - "Nome Sobrenome1 Sobrenome2", "Nome Sobrenome1", "Nome Sobrenome2". Se seu nome é razoavelmente "comum", ou seja, a quantidade de homônimos é provavelmente grande, a busca deverá ser mais difícil. De todo modo, inclua sua cidade na pesquisa - "Nome Sobrenome1 Sobrenome2" Cidade. Você pode incluir a escola ou universidade onde estudou/estuda, seu local de trabalho... As possibilidades são inúmeras.
Antes de ingressar no mundo da segurança da informação e da OSINT, eu tinha algum receio, até certo ponto inexplicável, de realizar esse tipo de busca. Que informações eu encontraria? Mais especificamente, até que ponto abdiquei da minha privacidade e expus meus dados, a ponto de uma simples pesquisa no Google devassar minha intimidade?
Esse exercício é fundamental por mais de um motivo, mas darei um exemplo. Uma busca no Google por meu endereço de email, com aspas - "nome@exemplo.com" - retornou três resultados. Um deles era uma nota fiscal em PDF onde constavam meu email (por óbvio), nome, endereço e CPF. O que significa: quem quer que soubesse meu endereço de email poderia realizar a mesma busca e chegar ao mesmo resultado, tendo acesso a dados sensíveis, que de forma alguma deveriam estar expostos. Entrei em contato com a empresa emissora da nota fiscal, que retornou o documento ao status sigiloso que ele merece.
Sem essa pesquisa - nosso primeiro exercício - meus dados estariam por aí, à mercê de quem soubesse buscá-los.    
 

O que é inteligência?

 

Já que discutimos conceitos e utilidades básicas da OSINT, talvez seja necessário agora entender o que significa o termo inteligência neste contexto. O conceito pode parecer óbvio para quem já é interessado pelo tema e está aqui lendo este texto, mas é investigando o aparentemente óbvio que podemos chegar a conclusões incomuns (este é mais ou menos o modo como a OSINT funciona).

Na Wikipedia em língua portuguesa, por exemplo, não temos a definição de inteligência como em OSINT; o verbete para o qual somos remetidos é o de Serviço de inteligência[1]. A definição é: "[u]m serviço de inteligência ou serviço de informações é geralmente um departamento governamental, cuja função é a coleta de informações relacionadas com possíveis ameaças à segurança do Estado." Notem os termos "departamento governamental" e "ameaças à segurança do Estado". Segundo a ABIN (Agência Brasileira de Inteligência)[2], "[a] atividade de Inteligência é o exercício de ações especializadas para obtenção e análise de dados, produção de conhecimentos e proteção de conhecimentos para o país. Não parece bem o contexto que procuramos aqui, certo?

De todo modo, a ideia de departamento governamental nos conduz à mais famosa agência de inteligência, presente em inúmeros filmes, séries e livros. Trata-se da CIA (Central Intelligence Agency) nos EUA. Normalmente, nos filmes, os agentes da CIA são retratados como espiões, trabalhando ativamente para conter ameaças aos norte-americanos, lidando com informações ultrassecretas e combatendo vilões (muitas vezes espiões soviéticos de outra famosa e defunta agência de inteligência, a KGB). Essa representação fantasiosa não deve nos enganar. O fato é que, por mais especializados que sejam os serviços de inteligência e seus "espiões", eles também fazem uso da Inteligência de Fontes Abertas, de recursos aos quais temos livre acesso e que conheceremos mais a fundo em breve.

A inteligência, em si, é o método que usa a coleta, o processamento, a análise e a disseminação de informações para determinada finalidade, usualmente no sentido de obter alguma vantagem estratégica. As finalidades da OSINT já foram discutidas no artigo anterior. Quanto ao método, técnicas e ferramentas, são a matéria sobre a qual nos debruçaremos a partir de agora.

---

[1] https://pt.wikipedia.org/wiki/Serviço_de_inteligência

[2] https://www.gov.br/abin/pt-br/assuntos/inteligencia-e-contrainteligencia

Para que serve a OSINT?

 

Agora que já discutimos em resumo o conceito de OSINT - Open Source Intelligence - parece importante entender um pouco melhor a utilidade dessa disciplina. As aplicações da inteligência de fontes abertas são diversas, por isso a lista a seguir não é exaustiva e serve mais para ilustrar o alcance e o poder da OSINT.

 

Na segurança da informação, foco do autor deste blog, o uso da Inteligência de Fontes Abertas, que é predominantemente passivo, pode ser utilizado para: a) encontrar fraquezas em redes e sistemas antes que estas sejam exploradas por invasores (função esta que cabe a hackers éticos e pentesters), e b) identificar ameaças externas através do oceano de informações disponíveis, filtrando, correlacionando, identificando dados para realizar a validação de ameaças. A Inteligência de Fontes Abertas, neste caso, é uma das ferramentas da chamada Cyber Threat Intelligence, ou Inteligência de Ameaças Cibernéticas, campo próprio e que será discutido mais profundamente em momento futuro.

É necessário frisar a essa altura o que já pode parecer um tanto óbvio para quem reflete a respeito: há um lado obscuro na Inteligência de Fontes Abertas, que pode ser sintetizado no fato de que tudo que pode ser utilizado por quem defende pode também ser utilizado por quem ataca. Os cibercriminosos também sabem usar as ferramentas da OSINT para seus propósitos - desde achar presas fáceis com redes desprotegidas até estudar alvos para campanhas de phishing. Por isso a importância de aprendermos a utilizar a OSINT em nosso benefício antes que um atacante o faça.

 

Para além do âmbito da cibersegurança, a Inteligência de Fontes Abertas é amplamente usada por:

- órgãos governamentais

- polícias (civil, militar, federal) e forças armadas

- jornalistas investigativos

- investigadores privados, ou detetives particulares

- escritórios de advocacia

- corporações

- genealogistas

Entre muitos outros campos de aplicação.

 

Se paramos para pensar, muitos de nós usamos OSINT sem nem mesmo perceber: toda vez que pesquisamos uma loja online para verificar sua credibilidade antes de realizar uma compra, essa pesquisa é uma utilização das fontes abertas; quando, ao contratarmos alguém, pesquisamos seus antecedentes, usamos OSINT. Os exemplos são inúmeros. Se você tem facilidade e realiza essas pesquisas com frequência, você já está, mesmo que indiretamente, atuando como um analista de OSINT.

No entanto, informação em si não equivale a inteligência. Os métodos, técnicas e ferramentas necessários para praticar um trabalho de inteligência que mereça ser chamado por esse nome devem ser conhecidos e aperfeiçoados por qualquer um que deseja ingressar neste campo. É o que pretendemos por aqui, neste caminho que recém começamos a trilhar.

 

#OSINT #OpenSourceIntelligence #InteligênciadeFontesAbertas #FonteAbertaIntel

 

Recursos deste artigo:

Artigo de Ritu Gill no blog do SANS: https://www.sans.org/blog/what-is-open-source-intelligence/?msc=blog%20get%20into%20osint

Artigo de Esteban Borges no blog do Recorded Future: https://www.recordedfuture.com/blog/open-source-intelligence-definition#osint-techniques-and-resources

Livro: Deep Dive: Exploring the Real-world Value of Open Source Intelligence, de Rae Baker, Ed. Wiley, 2023