L’OSINT (Open Source INTelligence) désigne la collecte et l’analyse de données recueillies à partir de sources ouvertes. En français on parle également de Renseignement d’Origine Sources Ouverte (ROSO).
Les auditeurs vont donc récupérer le plus d’informations possibles sur une entreprise en se basant sur des sources de données diverses : sites web, réseaux sociaux, fuite de données publiées, utilisation de vulnérabilités ou encore magasin de certificats. De nombreuses informations peuvent être trouvées par ce moyen : URL, site cachés, nom de projet interne, adresses mails, nom de responsables, nom de filiales, mots de passe utilisés, etc.
Objectifs d’une prestation d’OSINT
Dans le cadre d’un test d’intrusion externe, l’OSINT désigne la phase de renseignement lors de laquelle les auditeurs collectent des informations sur l’entreprise et sur ses actifs.
Cette phase permet aux auditeurs de mieux connaitre leur cible sans pour autant interagir directement avec celle-ci. C’est également la méthode utilisée par les attaquants, car elle leur permet de récupérer des informations sur leur cible sans risquer de déclencher un système de détection ou de défense, pour ensuite concentrer leurs efforts sur les cibles les plus prometteuses.
Méthodologie
Afin de collecter des informations sur ses clients lors de la phase d’OSINT, MA Cyber utilise différentes approches :
Dans un premier temps, nos auditeurs vont collecter sur internet, les informations essentielles de l’entreprise. Pour ce faire, nos experts commencent par lister les informations disponibles sur le ou les site(s) de l’entreprise. Ils parcourent ensuite l’historique du ou des sites à l’aide de services d’archivage web (WayBackMachine, etc.).
À partir des informations récoltées, ils réalisent ensuite des recherches plus ciblées. Ces recherches incluent généralement des réseaux sociaux (Twitter, LinkedIn, etc.) et des plateformes de développement (GitHub, StackOverflow, Quora, etc.).
À l’issue de cette première étape, les auditeurs disposent du ou des nom(s) de domaine de l’entreprise. À partir de ces informations, ils collectent ensuite des identifiants à l’aide de services web comme hunter.io.
Par ailleurs, MA Cyber dispose d’un dictionnaire interne, élaboré au fur et à mesure des années, regroupant des compilations d’identifiants ayant fuités sur internet. Toutes ces informations d’identification peuvent ensuite être réutilisées dans le cadre de pentests internes ou externes. Elles peuvent également servir de base pour une prestation de cassage de mot de passe.
Nos auditeurs vont ensuite utiliser des moteurs de recherche permettant d’explorer les machines connectées à Internet dans le but de cartographier votre système d’information (Shodan, Onyphe, DNSdumpster, crt.sh, etc.).
Cette phase permet de découvrir des actifs non inventoriés ou des ports laissés ouverts sur des services vulnérables.
Cette méthodologie est circulaire. Cela signifie que l’accomplissement d’une étape peut potentiellement alimenter une autre étape.