OSINTやってみた！その①自分の情報がどれだけ漏洩してるのか調査しちゃうぜぇぇぇ!!

ご無沙汰です。この三ヶ月くらいOSINTについて情報収集や勉強をしていたので、学んだ事でどういう事がわかったのか、できるようになったのかを書いていきます。

OSINTとは

まずは、OSINTってなんですか？という話から。

Open Source Intelligence（オープンソース・インテリジェンス）の略で、一般にアクセス可能な情報源から収集される情報を分析・活用する手法を指します。これは、インターネット上や公的な文書、メディア、ソーシャルネットワーク、地図データなどのオープンソース情報を調査し、それらを組み合わせて新しい知見や情報を得るプロセスです。

OSINTで収集される情報

インターネット上に無償で公開されている様々なデータで、例えば、以下のような情報があります。

• ウェブサイトやSNSの投稿、コメント、プロフィールなど
• ドメイン名やIPアドレスの登録情報や履歴など
• 地図や衛星写真などの地理情報
• ニュース記事やブログなどのメディア情報
• 企業や組織の公式文書や財務報告など

OSINTの手法

主に以下の5つのステップで構成されています。

1. 情報ニーズの特定
   調査の目的や問題を明確にし、必要な情報を特定します。
2. 情報収集
   インターネット検索、ソーシャルメディア、公的データベース、ニュース記事、フォーラムなど、様々な情報源から情報を収集します。
3. 情報評価
   収集した情報の信頼性や精度、関連性を評価し、優先順位をつけます。
4. 情報分析
   評価された情報を分析し、パターンやトレンド、関連性を明らかにし、新たな知見を導き出します。
5. 情報共有と活用
   分析結果を報告し、関係者と共有し、問題解決や意思決定のために活用します。

これらの情報を収集するには、専用のOSINTツールやWebサイトを利用します。

また、OSINTを活用する際には、適切な情報収集や評価、分析が必要であり、偏見や先入観に影響されない客観的な判断力が求められます。情報の公開や共有に際しては、プライバシーや倫理に配慮し、適切な範囲内で行うことが重要です。

仕事する上でOSINTの活用方法

では、このOSINTは皆さんが仕事をする上でどういった活用ができるでしょうか？

大きくは下記のようなものが考えられるかなと思います。

• 脆弱性情報の収集
  自社の製品やシステムが影響を受ける可能性がある脆弱性情報を収集し、早期に対策を講じることができます。

• 攻撃情報の収集
  攻撃者の動向や攻撃手法、攻撃のターゲットなどについて、OSINTを利用して情報収集することで、自社のセキュリティ対策を強化することができます。

• フィッシング詐欺の検出
  フィッシング詐欺などの攻撃を事前に検知するために、OSINTを利用して、社内外での偽のメールやウェブサイトを監視することができます。

• 社内セキュリティの向上
  社内のセキュリティ強化のために、OSINTを利用して、社員のSNSやブログなどの公開情報をモニタリングすることができます。　
  ※調べつつブロブを書いてますが、これについては「こういう使い方してるんや」って気づきを得ました。

• ブランド保護
  自社のブランドや知的財産を保護するために、OSINTを利用して、不正使用や模倣品の検出や監視を行うことができます。

OSINTやってみた！

ここまで、OSINTがどういうものかを書いてきましたが、ここからは、この3ヶ月くらい全力で学んだOSINTを使って、タイトルにある通り、「自分の情報がどれだけ漏洩しているのか調査しちゃうぜ」をやってみました！

やるんですが、"自分の情報"って言っても色々あって、例えばSNSの写真とかは、入手したところで仕事でそれを活用できるイメージができないので、今回は下記について情報集めてみようと思います。

• 自分の何らかのシステムのアカウント
• 自分が持っているWebサイトやドメイン

※今回、実際にOSINTするんですが、具体的な手法は書きませんmm 知りたい人は一緒に焼肉行きましょう🥩

アカウント情報を収集してみた

前提としてですが、メールアドレスを取得している状態からスタートし、それを基に色々調べていきます。

見つけた情報はいろいろあります。（アカウントとドメインって言ったけど、調べてたついでにわかった事なので書く）

• 名前　　←まぁ、それくらいは出るやろうなと想像していた
• 性別　　
• 使ってるSNS
• 途中までの住所　　←えｗ マジかよ
• IPアドレス　　←この辺から少し焦ってくる
• 仕事してる会社　　←ほほーん（汗
• パスワード（平文）　　←(ﾟДﾟ;)ﾅﾝﾔﾃ､ﾋﾗﾌﾞｰﾝ ﾊ ｷｲﾃﾅｲ

ID/PWが漏洩してないか調べるやつでよく知られている「have i been pwned?」だと漏洩してるサービスまでは特定できますよね。そこから少し頑張ったらパスワードまで辿り着き、結果的にぼくが実際に利用しているサービスのパスワードを２つゲットできました（公開したものではなくおそらく漏洩したものなので、これはOSINTなのか🤔という複雑な気持ちで進めました）

ちなみに、（一部ですが）今回入手した情報はこんな感じで列挙されました。あまりにもあっけなさ過ぎて…。ってのが感想です。

※自分の情報漏洩してるか気になるって人は一緒に寿司行きましょう🍣

Webサイトやドメイン情報を収集してみた

これも前提として、メールアドレスを取得している状態からスタートし、それを基に色々調べていきます。

• 取得しているドメイン（一部）
• 取得しているドメインのサブドメイン
• サブドメインが紐付いてるIPアドレス
• IPアドレスのホストに関する情報（脆弱性あればそれも気づけそう）
• Google Analytics的なやつのID
• それに紐付いてる他のドメイン
• 見つけたドメインで公開しているファイルいろいろ

これはだいたい想定の範囲内でそんなに驚きはなかったですが、こんな感じでメールアドレス１つわかれば色んな情報を入手する事が可能です。

やってみてわかったこと

やってみて、思った事がおおきく２つあります。

OSINTについて

まず、ツールが豊富やなってのが第一印象です。

いくつかのツールは「これはココから情報引っ張ってきてるんやな」ってわかりますが、どうやってるのか全くわからんやつもあります。ロジックがわからんレベルの人でも一定の情報収集ができるという意味で良いとは思います。反面、理屈が理解できないとスキルの向上には繋がらないだろうなという悪い面もあるのかなと思いました。

あと、今回やってないですが課金するともっと凄そうです_(:3」∠)_ﾃﾞﾓ ｺﾚ ｱｶﾝ ﾉ ﾁｬｳ??

自分に足りてないところ

そもそもで言うと、そんなにOSINTなんてやってなかった人なので、スキル足りてないのは当たり前なんですが、ツール頼みになってしまうのがツラいなと感じました。

とはいえ、ChatGPTを使いこなす人が今後市場価値が高まるだろう事を考えると、そういった便利ツールが使えるに越した事はないと思うので、いろんなツールを使えるようになりたいと思ってます。

あと、脅威情報なんかは、いろんな組織同士で共有できる方がメリットが大きく、すでにそういう組織やコミュニティが色々あると思うんですが、そういった組織やコミュニティとの接点はあった方が良いなと思いました。

※そういったコミュニティに属している方！誘ってほしいですmm

まとめ

まず、OSINTおもしろい！

（今回書いてはいないですが）普段触れる事が無いダークウェブのような領域があり、そこでは良くも悪くも色んな情報で溢れています。この「ダークウェブ」ってネーミングも含めて、普通の人はアクセスしない（厳密には誰でもできる）領域ってのが興味をそそる要因なのかなと思っています。ダークウェブにアクセスしてみた！ってのも時間あれば書こうと思います。

あと、今回自分の情報資産が漏洩していないかを調査してみましたが、第２弾、第３弾では（書きたい気持ちはある）

• 自社の脆弱性に関する情報を収集する
• 自社に影響を及ぼす脅威情報を収集する

というような事をやりたいと思っています。OSINTは活用できる事が色々あるので、しばらく継続して取り組んでいきます。

TryHarder!!