Погружение в OSINT

AI в OSINT

2025-03-20T15:00:00.866Z

В современном мире объем онлайн-данных с каждым годом растет, что затрудняет работу OSINT (от англ. Open Source Intelligence – разведка на основе открытых источников) аналитиков. Именно здесь на помощь могут прийти технологии искусственного интеллекта (AI), которые способны не только автоматизировать рутинные процессы, но и строить прогнозы, писать рекомендации и предоставлять относительно глубокий анализ.

Ниже будут описаны лишь некоторые примеры того, как можно эффективно интегрировать AI в процессы разведки.

1. Анализ личности через текст

Распознавание авторства текста. Современные модели могут анализировать языковые паттерны, частотность слов, стиль написания, синтаксические конструкции и другие характеристики. Сравнение двух и более текстов позволяет определить, написаны ли они одним автором. При желании у модели можно запросить вероятность, с которой она уверена в своем ответе, и вывести обнаруженные признаки.

В качестве примера нейросети дали два отрывка из новостей разной направленности. Также запросили дать ответ: одним ли человеком написан текст, и по каким признакам он это определил.

Психологический портрет. Нейросети через анализ лексики и тональности могут выделить ключевые черты личности (например, уровень агрессии, эмпатии, склонности к манипуляциям, предпочтительный стиль общения). Это поможет составить профиль человека, например, для оценки влиятельности в социальных сетях.
Определение намерений. Также можно проанализировать текст на предмет скрытых мотиваций, например, запугивания или манипуляции. Об этом подробнее в пункте 2.

Конкретные примеры:

- Идентификация подозрительных личностей по авторству текста

- Изучение текста на предмет пропаганды и выявление ее авторов

- Составление психологического портрета типичного агрессора компании Х

2. Выявление признаков информационных атак

Нейросети могут отследить резкие всплески активности в социальных сетях и других информационных каналах. Также можно настроить анализ ключевых слов, общего тона/настроения (негативное, позитивное, нейтральное) и выявить признаки информационного давления.
Модели могут выявить координированное поведение, характерное для массовых информационных атак. Например, идентифицировать шаблонные сообщения от ботов.
Обнаружение дезинформации. Модели могут сравнивать опубликованную информацию с достоверными источниками для определения фальшивых данных сопоставляя факты. Чтобы исключить галлюцинации моделей, можно заранее предоставить список проверенных источников, где будут проверяться факты.

В качестве реально примера нейросети дали ознакомиться с постом:

По итогам работы получили вывод:

Конкретные примеры:

- Защита компаний или госведомств от информационных атак путем отслеживания информационного фона

- Выявление недостоверных публикаций в СМИ, социальных сетях и мессенджерах

3. Формирование дорков и других поисковых запросов

Google Dork — это конструкция поискового запроса, с использованием операторов, таких как site:, filetype:, intitle:, inurl: и других. Такие запросы позволяют указывать конкретные параметры, по которым фильтруются результаты.

Создание оптимальных запросов. Нейросети помогают находить наиболее релевантные запросы для конкретной задачи. Например, они могут искать чувствительные документы, изучить структуру домена, выявлять шаблоны в URL-адресах или названиях файлов и прочее.

В качестве примера запросили написать Google Dork для поиска всех поддоменов у компании с заданным доменом в Google.

Соответственно по итогам проверки в поисковике получили поддомены 3 и более уровня.

Интеграция с другими инструментами OSINT для построения более сложных запросов.

Конкретные примеры:

- Поиск чувствительной информации, доступной в открытых источниках

- Помощь в киберразведке и этическом хакинге

4. Анализ документов, репозиториев и прочего

Анализ структуры текста. Выделение важных моментов: ключевых идей, аргументов и прочее.
Извлечение данных и метаданных. Автоматическое получение контактной информации, авторства, дат публикации, используемых инструментов работы и даже отслеживание изменений в документах.

В качестве примера был взят журнал 2013 года, где требовалось найти все почтовые адреса.

При желании можно уточнить адреса с каким доменом нужно выводить, а с каким нет, в каком формате и так далее.

Оценка угроз. В документах и репозиториях можно искать элементы, которые могут нести угрозу для компании или лица. Например, информацию, связанную с уязвимостями, партнерами и поставщиками или используемыми системами.

Для анализа репозиториев можно использовать инструмент gitsummarize.com

Для быстрого перехода к результатам анализа можно в строке github.com/name/1234/ заменить hub на summarize. По итогам на странице вы получите скомпонованную по блокам информацию о репозитории и его работе.

Юридический анализ. Проверка содержания на соответствие правилам и требованиям законодательства, что особенно актуально для стран с жестким регулированием информации.

Конкретные примеры:

- Быстрый анализ больших отчетов и документов

- Просмотр репозиториев для выявления угроз

- Криминалистика документов

5. Автоматизация рутинных процессов

Все, что было описано выше тоже можно ~~и нужно~~ автоматизировать, используя AI.

Быстрая фильтрация шума. В больших объемах данных можно настроить автоматическое отбрасывание нерелевантных кусков, экономя время.
Повторяющиеся задачи. Например, автоматизировать поиск новых почтовых адресов, сайтов или постоянный мониторинг социальных сетей.
Интеграция в другие системы. Нейросеть можно использовать в качестве агентов, которые анализируют потоки данных без участия человека.
Поиск готовых инструментов для расследований.

Конкретные примеры:

- Отслеживание изменений в соц. сетях в режиме реального времени

- Проверка наличия сертификатов на сайтах

- Создание отчетов, статей об этом далее

6. Формирование итогового отчета

Автомасштабируемая сводка. Модели способны автоматически обобщать ключевую информацию из крупных массивов данных, выделяя только важные моменты
Автогенерация рекомендаций. Исходя из анализа, нейросети могут строить предположения о необходимых действиях для снижения рисков или возможных стратегиях реагирования. Если существуют конкретные примеры рекомендаций, то можно попросить модель выбирать их из заданного списка.
Структурирование и редактура отчета. Модель может помочь с таблицами, графиками и схемами, чтобы облегчить восприятие информации. Также можно попросить ее поработать в качестве редактора отчета.

Конкретные примеры:

- Написание статей

- Генерация аналитических справок

- Подготовка кратких выводов для принятия стратегических решений

7. GEOINT (геопространственная разведка)

Распознавание объектов на изображениях. Например, распознавание машин, оборудования, инфраструктуры и прочее. Также можно спросить у модели, в каких широтах/городах распространена та или иная растительность, дорожные знаки и так далее.

Например, можно использовать ресурс https://geospy.web.app

Анализ изменений. Нейросети могут сравнивать изображения за разные периоды, чтобы выявить изменения, например, при строительстве и уничтожении объектов.
Оценка рисков. Например, проверка территорий на уязвимость к природным катастрофам.

На мой взгляд, использование AI в GEOINT требует дополнительной проверки фактов аналитиком, потому что тут чаще всего возникают ложные ответы.

Конкретные примеры:

- Помощь в поиске местоположения с фото

- Анализ природных катастроф

8. Написание ловушек и тестирование сотрудников

Фишинговые письма. Генерация контексто-зависимых и убедительных фишинговых сообщений, чтобы протестировать безопасность внутри организации.
Honeypot. На самом деле этот пункт по большей части тоже относится к автоматизации. Модели могут написать, например, бота для получения ip адреса собеседника.

Конкретные примеры:

- Повышение качества киберзащиты, проводя фишинговые учения в компании

- Исследование атакующих

9. Создание личности и легенды для OSINT исследований

Генерация аватаров. Нейросети могут создавать реалистичные изображения людей, которые не существуют. На их основе можно генерировать и другие фотографии с данным лицом.
Проработка повествования. Можно сгенерировать связанные друг с другом детали легенды: место жительства, хобби, семейное положение, место учебы и т.д.

В качестве примера нейросеть попросили сгенерировать личность и легенду без дополнительных параметров (не было описано ни желаемого пола, ни возраста, ни образования и т.д.)

Автоматизация поведения. Создание "живых" профилей в социальных сетях, которые регулярно оставляют комментарии или публикуют контент. Данный пункт так же можно автоматизировать.

Конкретные примеры:

- Создание профиля для разведки в социальных сетях и на форумах

- Легендирование разведчика

10. Помощь в написании промта

На самом деле это уже бонусный пункт. Если вам сложно сформулировать задачу для модели, то можно попросить ее написать грамотный промт за вас.

Для получения наиболее точного ответа от модели достаточно описать 3 вещи:

Роль агента - психолог, специалист ИБ и др.
Саму суть задачи
Формат вывода (необходимые метрики оценки при желании) - таблица, нумерованный список и др.

Мой Telegram-канал

Фишинг: тренды, угрозы и меры противодействия

2024-11-14T07:44:53.389Z

53% хакерских группировок, нацеленных на российский сектор, достигают своих целей с помощью фишинга

Фишинг сам по себе привлекает мошенников экономической эффективностью, потому что создание и распространение некоторых схем не требует больших финансовых и трудовых затрат, а потенциальная прибыль может быть внушительной.

Так, во втором квартале 2024 года 72% фишинговых атак было запущено с использованием бесплатных почтовых сервисов, таких как Google - 72,4%, Microsoft - 16,3% и др. С таких почтовиков можно рассылать как массовые рассылки, так и целенаправленные, однако для последних могут потребоваться дополнительные затраты (создание фишингового сайта со страницей авторизации и т.д.).

При массовом фишинге помимо писем рассылаются также SMS, сообщения в мессенджерах и т.д., таким образом вредоносное ПО/ссылки распространяются в огромных количествах.

Достаточно одного пользователя, открывшего вложение из фишингового письма, для развития успешной атаки

Так, согласно исследованиям Fortra's Terranova Security от 2023 года, каждый 10 человек переходит по фишинговым ссылкам.

Fortra's Terranova Security проводит Gone Phishing TournamentTM (GPT) – ежегодное мероприятие по имитации фишинговых атак на разного рода деятельности и объема компании по всему миру.

У испытуемых организаций с численностью сотрудников от 100 до 499 человек выявили самый высокий показатель отправки паролей в поддельных формах на сайтах из писем - 7,3%.

Однако встретить вредоносные ссылки можно не только в письмах, но и даже в откликах с резюме. Такие ссылки могут перенаправить пользователя на фишинговый веб-ресурс, который будет, например, копией настоящего сайта агентства по подбору персонала, где предлагается ввести корпоративные учетные данные.

Кроме того, выросло число мошенничеств, осуществляемых через легитимные сервисы и ресурсы, например, сбор данных через Google Forms или Yandex Forms. Под разными предлогами мошенники предлагают заполнить анкеты, вопросы в которых подразумевают в том числе передачу персональных, финансовых и других личных данных пользователя.

При целенаправленном фишинге злоумышленникам необходима дополнительная подготовка, чтобы использовать более убедительную схему. Необходимо знать, от кого и кому писать или какие фишинговые ресурсы создавать. Поэтому, злоумышленники создают письма со знакомыми темами, такими как чеки, счета, или замаскированные под рассылки от Microsoft. Письма прорабатываются очень детально: имитируются QR-коды и цифровые подписи. Не все сотрудники компаний настолько подкованы в сфере информационной безопасности, что смогли бы, например, сверить дату DKIM-подписи (Domain Keys Identified Mail) с датой отправки самого письма.

7% сотрудников используют только корпоративные мессенджеры в работе, а 44% используют только общие (например, WhatsApp, Viber, Telegram) - статистика Superjob

Некоторые общаются в Telegram из-за привычки или чувства фантомной безопасности, забывая отключить банально автозагрузку медиа, в котором может находится вредоносное ПО. Если сотрудники компании используют открытые чаты, то злоумышленники могут проникнуть в них и отправить фишинговую ссылку или вложение с вредоносным ПО. Вдобавок к этому открытые чаты можно использовать как основу для создания базы аккаунтов для дальнейшей рассылки.

Не все неспециализированные мессенджеры защищены end-to-end шифрованием, например, Telegram предоставляет возможность создать обычный чат без шифрования. При регистрации сохраняются сведения о номере телефона и могут собираться метаданные: время отправки и получения сообщений, его длинна и др. Используя их, злоумышленники могут отслеживать пользователей, изучать их поведение и интересы. Такая информация поможет лучше подготовиться к целевой атаке. Также неизвестно, останутся ли в безопасности данные, хранящиеся на облачном сервере, при взломе или перекупе чувствительной информации злоумышленниками.

Если регулярно информировать сотрудников о новых видах фишинговых атак и новых уязвимостях в приложениях и ПО, то это поможет снизить вероятность попадания на мошеннические уловки в сети. Также можно разработать памятку для сотрудников по личной безопасности в мессенджерах

Так как одна из целей фишинга — это кража учетных данных, то внедрение многофакторной аутентификации поможет снизить риск проникновения в инфраструктуру компании. Также важно объяснить сотрудникам опасность регистрации на сторонних сайтах с указанием корпоративной почты. При утечке данных с сайта и отсутствии второго фактора защиты злоумышленники смогут направить фишинговое письмо с «легитимного» почтового адреса. Это возможно осуществить, если пароли от почтового сервиса и стороннего сайта с утечкой совпадают. Для придания еще большей правдоподобности атакующие могут отправить ответ на уже существующую ветку писем. В таком случае вероятность перехода по ссылке и скачивания вложений с вредоносным ПО очень высока.

Внутри компании можно периодически проводить учения, например, используя готовые фреймворки для создания фишинговых рассылок (Gophish) или GPT.

При организации фишинговых учений в первую очередь нужно определить, с кем необходимо их согласовать, чтобы информация о фейковой атаке не дошла до сотрудников заранее.

Для большей правдоподобности лучше отправлять письма в алфавитном порядке всем сотрудникам компании или департамента, если проводится проверка конкретного пласта людей.

Причем необходимо разработать письма различные по наполнению: с фишинговой ссылкой, с небезопасным файлом, с поддельного домена отправителя, с ошибками в оформлении письма/подписи сотрудника и т.д. После проведенной рассылки и подсчета (не)успешности прохождения тестирования, рекомендуется проводить разбор писем на моменты-маркеры, которые помогут сотрудникам в следующий раз увидеть злоумышленника.