Rozpoznanie zagrożeń oparte na OSINT w cyberoperacjach obronnych

Przeciwnicy państwowi nie ogłaszają swoich kampanii w sygnałach, które może dostrzec Państwa system SIEM. Omawiają wybór celów na zamkniętych forach, przygotowują infrastrukturę u dostawców hostingu, która pojawia się w dziennikach certyfikatów na tygodnie przed pierwszym użyciem, i wymieniają się narzędziami w podziemnych społecznościach, które w ogóle nie generują wewnętrznej telemetrii. Rozpoznanie ze źródeł otwartych — OSINT — to dyscyplina, która odpowiada na tę ślepą plamę: systematyczne gromadzenie i analiza informacji dostępnych publicznie lub półpublicznie w celu wytworzenia ostrzeżeń przed atakiem, map infrastruktury przeciwnika oraz profili behawioralnych, które zasilają bezpośrednio zdolność wykrywania i reagowania organizacji obronnej. Artykuł omawia, jak ten proces wygląda w praktyce — od pozyskiwania ze źródeł, przez monitorowanie dark webu, śledzenie infrastruktury złośliwego oprogramowania i profilowanie TTP, po zautomatyzowaną integrację z platformami SIEM i SOAR.

Dlaczego cyberobrona potrzebuje rozpoznania zagrożeń OSINT

Telemetria wewnętrzna — przepływy sieciowe, zdarzenia punktów końcowych, dzienniki uwierzytelniania — informuje o tym, co dzieje się wewnątrz Państwa perymetru. Nie informuje o tym, co jest planowane poza nim. Przeciwnicy państwowi prowadzą rozpoznanie celów, pozyskują poświadczenia dostępu, zlecają wytworzenie narzędzi i przygotowują infrastrukturę całkowicie w przestrzeniach, których czujniki wewnętrzne nigdy nie widzą. Zanim aktywność aktora zagrożeń pojawi się w Państwa logach wewnętrznych, włamanie jest często już w toku. Rozpoznanie zagrożeń OSINT adresuje lukę czasową między przygotowaniami przeciwnika a aktywnością widoczną w sieci.

W przypadku organizacji obronnych trzy kategorie zagrożeń zewnętrznych uzasadniają inwestycje w programy OSINT. Po pierwsze, śledzenie aktorów państwowych: trwałe grupy przeciwnika atakujące organizacje przemysłowej bazy obronnej, sieci rządowe i systemy wojskowe sojuszników działają nieprzerwanie, a ich aktywność — dyskusje na forach, przygotowywanie infrastruktury, aktualizacje złośliwego oprogramowania udostępniane w zamkniętych społecznościach — pozostawia ślady w źródłach otwartych na długo przed użyciem operacyjnym. Po drugie, wykrywanie wskaźników poprzedzających atak: zrzuty poświadczeń zawierające adresy e-mail pracowników sektora obronnego, ogłaszana sprzedaż dostępu do konkretnych sieci rządowych oraz rejestracje zestawów phishingowych naśladujące domeny wykonawców obronnych pojawiają się w źródłach OSINT, zanim zostaną wykorzystane jako broń, zapewniając okno ostrzegawcze, którego nie oferuje telemetria wewnętrzna. Po trzecie, monitorowanie zagrożeń w łańcuchu dostaw: ataki na łańcuch dostaw oprogramowania i sprzętu — jedne z najbardziej brzemiennych w skutki wektorów przeciwko organizacjom obronnym — często polegają na tym, że aktorzy zagrożeń kompromitują zewnętrznych dostawców, których kompromitacja staje się widoczna dopiero dzięki zewnętrznemu monitorowaniu wyciekłych poświadczeń tych dostawców, skompromitowanych repozytoriów kodu lub omawianego dostępu.

Wartość rozpoznawcza OSINT ma także przewagę operacyjną nad źródłami niejawnymi: można nim się dzielić. IOC i raporty TTP pochodzące ze źródeł otwartych można przekazywać do platform SIEM, udostępniać sojuszniczym dowództwom cybernetycznym i rozsyłać do wykonawców bez ograniczeń w postępowaniu z informacjami, jakie niesie rozpoznanie niejawne, co umożliwia szybsze i szersze zastosowanie obronne.

Źródła OSINT w cyberprzestrzeni

Krajobraz źródeł dla OSINT ukierunkowanego na cyberprzestrzeń jest szeroki, a różne kategorie źródeł dostarczają różnych rodzajów rozpoznania. Dojrzały program OSINT w obronności czerpie jednocześnie z kilku warstw.

Fora i rynki dark webu. Zamknięte społeczności hostowane w Tor i nielegalne rynki to miejsca, w których aktorzy zagrożeń ogłaszają dostęp początkowy do konkretnych sieci, wymieniają skradzione poświadczenia i tokeny dostępu, koordynują kampanie oraz sprzedają lub wynajmują narzędzia, w tym generatory złośliwego oprogramowania i zestawy exploitów. Dla organizacji obronnych najbardziej praktycznie użyteczne rozpoznanie pochodzi z postów na forach reklamujących dostęp do organizacji sektora obronnego — stanowią one bezpośredni, wrażliwy na czas wskaźnik poprzedzający atak. Dostęp do najcenniejszych for wymaga person prowadzonych przez ludzi zajmujących się pozyskiwaniem informacji, w ramach kontrolowanej polityki organizacyjnej; zautomatyzowane crawlery mogą pokryć szerszą powierzchnię, lecz pomijają kuratorowane społeczności dostępne wyłącznie na zaproszenie.

Serwisy typu paste i repozytoria zrzutów danych. Publicznie indeksowane usługi paste i wyspecjalizowane serwisy ze zrzutami danych są repozytoriami wyciekłych poświadczeń, plików konfiguracyjnych, kluczy API i okazjonalnie dokumentów wewnętrznych. Regularne monitorowanie świeżych treści paste pod kątem domen organizacji obronnych — adresów e-mail, wewnętrznych nazw hostów i konfiguracji VPN — zapewnia wczesne ostrzeżenie o ujawnieniu poświadczeń, zanim zostaną one użyte we włamaniu.

Repozytoria kodu. Otwarte repozytoria oprogramowania są źródłem zarówno rozpoznania zagrożeń — badacze publikujący analizy złośliwego oprogramowania, reguły YARA i kod exploitów typu proof-of-concept — jak i niezamierzonego ujawnienia sekretów, gdy programiści umieszczają w publicznych repozytoriach poświadczenia, prywatne certyfikaty lub wewnętrzną konfigurację. Monitorowanie sekretów organizacji w publicznych repozytoriach jest odrębnym, lecz ważnym przypadkiem użycia OSINT dla organizacji obronnych.

Media społecznościowe i komunikatory aktorów zagrożeń. Aktorzy zagrożeń powiązani z państwami oraz haktywiści korzystają z kanałów Telegram, weryfikowanych for i okazjonalnie platform społecznościowych jawnego internetu (surface web), aby ogłaszać kampanie, publikować deklarowane ofiary i wymieniać się narzędziami. Kanały te dostarczają operacyjnego rozpoznania w czasie rzeczywistym o aktywnych kampaniach i mogą dostarczać kontekstu atrybucyjnego w połączeniu z analizą infrastruktury technicznej.

Dzienniki przejrzystości certyfikatów. Każdy certyfikat TLS wydany przez uczestniczące urzędy certyfikacji jest publikowany w publicznych dziennikach CT. Grupy przeciwnika rutynowo uzyskują certyfikaty TLS dla domen phishingowych i infrastruktury C2 przed kampaniami, co czyni monitorowanie dzienników CT niemal rzeczywistoczasowym źródłem nowej infrastruktury przeciwnika. Dopasowywanie wzorców do znanych konwencji nazewnictwa aktorów, podejrzanych kombinacji TLD i czasu rejestracji domen pozwala obrońcom zidentyfikować infrastrukturę przygotowawczą na dni lub tygodnie przed jej uruchomieniem operacyjnym.

Śledzenie złośliwego oprogramowania i infrastruktury C2

Gdy aktor zagrożeń zostanie zidentyfikowany i znany jest pojedynczy element jego infrastruktury — domena C2, adres IP hostingu, certyfikat — celem jest wyliczenie pełnego klastra za pomocą technik pivotowania, które wykorzystują skróty w zakresie bezpieczeństwa operacyjnego, na jakie przeciwnicy pozwalają sobie przy przygotowywaniu infrastruktury i zarządzaniu nią na dużą skalę.

Analiza pasywnego DNS jest podstawową techniką pivotu. Bazy pasywnego DNS agregują historyczne rekordy rozwiązywania nazw DNS z resolwerów rekurencyjnych na całym świecie, zachowując odwzorowanie, które domeny były rozwiązywane do jakich adresów IP w czasie, i odwrotnie. Dla znanego złośliwego adresu IP zapytanie pDNS ujawnia każdą domenę, która kiedykolwiek była rozwiązywana do tego IP — często odsłaniając inne domeny C2 z tej samej kampanii, które nie zostały jeszcze zaobserwowane w aktywnym złośliwym oprogramowaniu. Dla znanej złośliwej domeny pDNS ujawnia wszystkie adresy IP, na które wskazywała, a odpytanie z kolei tych adresów IP rozszerza mapę infrastruktury. Grupy przeciwnika często współdzielą infrastrukturę hostingową w różnych kampaniach, więc pivot pDNS z pojedynczego potwierdzonego węzła C2 może odsłonić dziesiątki powiązanych punktów końcowych.

Analiza pivotu certyfikatów rozszerza tę samą logikę na certyfikaty TLS. Bazy certyfikatów indeksują certyfikaty według podmiotu, wystawcy, numeru seryjnego i pól organizacyjnych zawartych w certyfikacie. Aktorzy, którzy wystawiają certyfikaty samopodpisane dla infrastruktury C2, często ponownie wykorzystują te same nazwy organizacji, szablony certyfikatów lub wzorce alternatywnych nazw podmiotu (subject alternative name) w całej swojej infrastrukturze, co czyni pivotowanie po polach certyfikatów skuteczną techniką wyliczania, którą sam pDNS by pominął.

Śledzenie systemów autonomicznych (ASN) dodaje trzeci wymiar. Infrastruktura przeciwnika często koncentruje się u niewielkiej liczby dostawców hostingu lub w ASN typu bulletproof o minimalnej reakcji na nadużycia, ponieważ skalowanie infrastruktury C2 wymaga hostów, które nie zostaną wyłączone po pierwszym zgłoszeniu nadużycia. Śledzenie ASN i prefiksów sieciowych powiązanych ze znaną infrastrukturą aktora — oraz monitorowanie nowych rejestracji u tych samych dostawców zgodnych z wzorcami nazewnictwa aktora — zapewnia wczesne ostrzeżenie o przygotowywaniu infrastruktury, z którą nie jest jeszcze powiązana żadna znana jako złośliwa domena ani certyfikat.

Połączone, te trzy techniki pozwalają zespołowi rozpoznania zagrożeń utrzymywać żywą mapę zewnętrznej infrastruktury przeciwnika, stale aktualizowaną w miarę odkrywania nowych pivotów, zamiast reagować na pojedyncze IOC w miarę ich pojawiania się w danych o aktywnych incydentach.

Profilowanie TTP przeciwnika za pomocą MITRE ATT&CK

IOC — adresy IP, domeny, skróty plików — są wynikiem programu OSINT, który można wykorzystać najszybciej, ale jednocześnie żyją najkrócej. Kompetentny przeciwnik rotuje infrastrukturę C2 w cyklu liczonym w dniach lub tygodniach. Postawa obronna oparta wyłącznie na IOC jest zatem permanentnym wyścigiem reaktywnym, który obrońcy będą konsekwentnie przegrywać. Profilowanie TTP odpowiada na to, koncentrując się na zachowaniach przejawianych przez przeciwników, a nie na konkretnych artefaktach, których używają, ponieważ zachowania zmieniają się powoli, nawet gdy artefakty są rotowane.

MITRE ATT&CK dostarcza ustandaryzowaną taksonomię, która sprawia, że profilowanie TTP jest operacyjnie użyteczne. Każde zaobserwowane zachowanie przeciwnika — konkretna technika dostępu początkowego, metoda ruchu bocznego, określone podejście do dostępu do poświadczeń — odwzorowuje się na jeden lub więcej identyfikatorów technik ATT&CK. Gdy raport o aktorze zagrożeń opisuje kampanię spear phishingową z użyciem uzbrojonych dokumentów RTF z osadzonymi obiektami OLE, odpowiada to T1566.001 (Spearphishing Attachment) z podtechniką specyficzną dla metody eksploatacji. Gdy analitycy obserwują mechanizm utrzymania dostępu oparty na tworzeniu zaplanowanych zadań, odpowiada to T1053.005. Identyfikator techniki stanowi stabilne odniesienie, które przetrwa rotację infrastruktury: ten sam aktor zagrożeń używający sześć miesięcy później innych domen C2, ale tego samego mechanizmu utrzymania dostępu, jest nadal wykrywalny tą samą regułą detekcji opartą na ATT&CK.

Atrybucja grup przeciwnika wykorzystuje zgromadzony profil TTP do przypisywania zaobserwowanej aktywności do znanych grup aktorów zagrożeń z określonym poziomem pewności. Atrybucja w kontekstach OSINT opiera się na pokrywaniu się zachowań — kombinacji technik dostępu początkowego, wykonania, utrzymania dostępu i eksfiltracji, której współwystępowanie przypadkowe jest statystycznie mało prawdopodobne — w połączeniu z pokrywaniem się infrastruktury zidentyfikowanym dzięki analizie pivotu. Organizacje obronne rzadko potrzebują jednoznacznej atrybucji do konkretnej osoby; muszą wiedzieć, czy grupa, która je atakuje, jest tą samą, która wcześniej wykradła dane łańcucha dostaw z organizacji równorzędnej, ponieważ to decyduje o tym, które zdolności i które środki zaradcze są najbardziej istotne.

Priorytetyzacja obrony w oparciu o TTP jest operacyjnym wynikiem profilowania. Dysponując macierzą technik ATT&CK priorytetowego aktora zagrożeń, zespół cyberobrony może odpytać swoją bibliotekę reguł SIEM i mapę pokrycia detekcji względem każdego identyfikatora techniki. Techniki stosowane przez przeciwników o wysokim priorytecie, dla których zespół nie ma reguły detekcji, stanowią luki o najwyższym priorytecie do zamknięcia — nie dlatego, że techniki te są z konieczności najczęstsze, lecz dlatego, że są to konkretne metody, których — jak wiadomo — najbardziej istotny przeciwnik używa przeciwko organizacjom takim jak Państwa.

Automatyczna ekstrakcja i wzbogacanie IOC

Raporty o zagrożeniach, wpisy na forach, blogi analityków i treści serwisów typu paste zawierają IOC osadzone w języku naturalnym — adresy IP zapisane w notacji defanged, domeny z nawiasami wokół kropki, hashe wplecione w zdania, odwołania do CVE w tekście ciągłym. Ręczne wyodrębnianie i przetwarzanie ich przy wolumenie, z jakim mierzy się program OSINT w sektorze obronnym, jest niewykonalne. Zautomatyzowane potoki ekstrakcji zapewniają wymaganą przepustowość, a wzbogacanie zamienia surowe wskaźniki w użyteczne informacje wywiadowcze.

Ekstrakcja IOC oparta na NLP wykorzystuje rozpoznawanie wzorców i rozpoznawanie nazwanych encji, aby identyfikować i wyodrębniać typowane wskaźniki z tekstu nieustrukturyzowanego. Wzorce wyrażeń regularnych wychwytują standardowe formaty defanged (adresy IP w notacji z [.], domeny z podstawieniem [at] w miejsce @). Rozpoznawanie nazwanych encji radzi sobie z bardziej złożonymi przypadkami: identyfikacją hasha SHA-256 osadzonego w zdaniu, rozpoznaniem sygnatury reguły YARA lub wyodrębnieniem odwołania do CVE. Potok ekstrakcji wykonuje refanging wskaźników (przywraca oryginalną postać na potrzeby wyszukiwania, a do przechowywania zachowuje postać defanged, bezpieczną do wyświetlania), przypisuje klasyfikację typu i pakuje je do wzbogacenia.

Wzbogacanie odpytuje każdy wyodrębniony wskaźnik w wielu miarodajnych źródłach danych. Dla adresów IP i domen: bazy passive DNS z historią rozwiązywania nazw, dane ASN i geolokalizacyjne oraz historyczne raporty z piaskownic malware, pokazujące, jakie rodziny złośliwego oprogramowania łączyły się z danym adresem. Dla hashy plików: wyniki analizy w piaskownicach malware, wskaźniki wykrywalności przez oprogramowanie antywirusowe oraz raporty behawioralne. Dla domen: historia certyfikatów z logów CT, dane rejestracyjne domen oraz historia hostingu. Wzbogacanie obejmuje także zapytania do komercyjnych platform threat intelligence, które agregują własnościowe dane detekcyjne z rozległych sieci sensorów, dodając kontekst, jakiego same źródła publiczne nie są w stanie zapewnić.

Ocena wiarygodności (confidence scoring) syntetyzuje wyniki wzbogacania w jedną ocenę jakości wskaźnika. W modelu oceny wagę mają: liczba niezależnych źródeł zgłaszających wskaźnik jako złośliwy; aktualność ostatniej obserwacji złośliwej aktywności; szczegółowość kontekstu źródła (recenzowany raport o aktorze zagrożeń przeważa nad anonimowym wpisem w serwisie typu paste); oraz potwierdzenie przez dostawców w zapytaniach wzbogacających. Wskaźniki o wysokiej wiarygodności są automatycznie wczytywane do SIEM. Wskaźniki o średniej wiarygodności trafiają do kwarantanny w oczekiwaniu na przegląd analityka. Wskaźniki o niskiej wiarygodności są zachowywane na potrzeby korelacji, ale nie generują zautomatyzowanych alertów, co zapobiega zmęczeniu alertami, które wynikałoby z wczytywania każdego surowego IOC bez filtrowania.

Integracja z SIEM i SOAR

Wartość operacyjna wywiadu o zagrożeniach OSINT ujawnia się dopiero wtedy, gdy trafia on do platform detekcji i reagowania, na których pracują zespoły bezpieczeństwa. Architektura integracji, która to zapewnia, opiera się na dwóch standardach: STIX do reprezentacji informacji wywiadowczych i TAXII do ich zautomatyzowanego dostarczania.

STIX 2.1 (Structured Threat Information eXpression) koduje obiekty informacji wywiadowczych — wskaźniki, opisy złośliwego oprogramowania, profile aktorów zagrożeń, wzorce ataków oraz relacje między nimi — w ustandaryzowanym schemacie JSON, który potrafi przetworzyć każda zgodna platforma. Pakiet STIX (bundle) reprezentujący kampanię może zawierać obiekt Indicator (IOC), obiekt Attack Pattern (technikę ATT&CK), obiekt Threat Actor (grupę) oraz obiekty Relationship łączące je ze sobą. Taka struktura sprawia, że SIEM nie otrzymuje jedynie adresu IP do zablokowania — otrzymuje adres IP, kampanię, z którą jest on powiązany, grupę aktorów zagrożeń stojącą za kampanią oraz techniki ATT&CK, o których wiadomo, że grupa ta je stosuje, wszystko w jednym pakiecie możliwym do automatycznego sparsowania.

Serwery TAXII dystrybuują pakiety STIX do subskrybentów w trybie odpytywania cyklicznego (polling) lub wypychania (push). W sektorze obronnym centrum operacji bezpieczeństwa integruje funkcję klienta TAXII ze swoim SIEM i platformą threat intelligence, subskrybując odpowiednie kanały — kanały rządowych społeczności wymiany informacji, kanały dostawców komercyjnych i kanały dowództw cybernetycznych sojuszników — oraz automatycznie wczytując nowe pakiety. SIEM przekształca obiekty Indicator o wysokiej wiarygodności w reguły detekcji — albo jako reguły dokładnego dopasowania dla konkretnych IOC, albo jako reguły behawioralne powiązane z identyfikatorami technik ATT&CK z pakietu.

Automatyczne generowanie reguł detekcji na podstawie kanałów IOC wymaga dyscypliny, aby uniknąć rozrostu liczby reguł. SIEM wczytujący tysiące reguł opartych na IOC staje się wolny i generuje wysoki odsetek fałszywych alarmów w miarę starzenia się wskaźników. Model operacyjny, który się sprawdza, traktuje reguły behawioralne oparte na TTP — niezależne od konkretnych wartości IOC i niewygasające — jako trwałą warstwę detekcji, natomiast reguły oparte na IOC mają automatyczny termin wygaśnięcia dostosowany do oczekiwanego okresu użyteczności wskaźnika (zazwyczaj 30–90 dni dla domen i adresów IP, dłużej dla hashy złośliwego oprogramowania). Wygasłe reguły są automatycznie wycofywane lub przenoszone do trybu wyłącznie obserwacji, zamiast generować aktywne alerty.

Integracja z playbookami SOAR domyka pętlę reagowania. Gdy alert SIEM zostaje wyzwolony przez dopasowanie do danych TI, SOAR odbiera zdarzenie i uruchamia playbook wzbogacania danymi threat intelligence: odpytuje platformę TI o pełny kontekst STIX dopasowanego wskaźnika, pobiera wszelkie powiązane wskaźniki z pakietu tej samej kampanii, odpytuje passive DNS o bieżące powiązania infrastruktury i przygotowuje dla analityka gotową notatkę dochodzeniową. Notatka zawiera istotny kontekst dotyczący przeciwnika, dopasowanie do technik ATT&CK oraz zalecane działania powstrzymujące, przygotowane do zatwierdzenia przez człowieka. W przypadku dopasowań o wysokiej wiarygodności względem wskaźników powiązanych ze znanymi, aktywnymi kampaniami playbook może również z wyprzedzeniem przygotować reguły blokujące w mechanizmach kontroli sieci, oczekujące na potwierdzenie przez analityka, co skraca czas między wykryciem a powstrzymaniem.

Integracja wywiadu o zagrożeniach OSINT z reagowaniem na incydenty cybernetyczne staje się szczególnie krytyczna, gdy alert SIEM eskaluje do potwierdzonego incydentu: kontekst TI zgromadzony przez playbook SOAR dostarcza zespołowi reagowania na incydenty natychmiastowej atrybucji przeciwnika, istotnej historii kampanii oraz znanych TTP aktora, które wyznaczają zakres dochodzenia i priorytety zabezpieczania materiału dowodowego. Zespół reagowania na incydenty, który w ciągu kilku minut wie, że obserwowana aktywność odpowiada znanej grupie kompromitującej łańcuch dostaw, prowadzi dochodzenie w sposób zasadniczo inny i szybszy niż zespół zaczynający od surowych logów bez kontekstu dotyczącego przeciwnika.

Ograniczenia prawne i etyczne dla OSINT w sektorze obronnym

Pozyskiwanie informacji OSINT na potrzeby cyberobrony odbywa się w ramach prawnych i regulacyjnych, które istotnie różnią się od praktyki komercyjnego threat intelligence, a różnice te mają znaczenie operacyjne. Organizacje obronne — zwłaszcza rządowe jednostki cybernetyczne — czerpią uprawnienia do pozyskiwania informacji z ustawy, z decyzji władzy wykonawczej lub z uprawnień dowódczych, a uprawnienia te wiążą się z wyraźnymi ograniczeniami zakresu, które nie dotyczą firm komercyjnych.

Ograniczenia uprawnień w rządowym cyber OSINT. Większość demokratycznych systemów prawnych w obszarze obronności wyraźnie rozróżnia pozyskiwanie informacji za granicą i w kraju. Rządowy zespół cybernetyczny może mieć szerokie uprawnienia do monitorowania infrastruktury przeciwnika hostowanej za granicą, prowadzenia rozpoznania wobec społeczności zagranicznych forów aktorów zagrożeń oraz śledzenia zagranicznych sieci dystrybucji złośliwego oprogramowania — jednak pozyskiwanie tych samych informacji, gdy infrastruktura jest akurat hostowana w kraju lub gdy uczestnikami forum są osoby krajowe, może wymagać zupełnie odrębnej podstawy prawnej i mechanizmów nadzoru. Rozróżnienia oparte na położeniu geograficznym i obywatelstwie, które w teorii wydają się proste, w praktyce stają się złożone, gdy infrastruktura przeciwnika jest rozproszona globalnie u dostawców hostingu w wielu jurysdykcjach, a forum dark web, do którego uzyskuje się dostęp z systemu pozyskiwania informacji, jednocześnie angażuje serwery w krajach o różnych reżimach uprawnień.

Zasady zarządzania personami. Prowadzenie person online na potrzeby pozyskiwania informacji OSINT — kont na forach dark web, profili w mediach społecznościowych wykorzystywanych do obserwacji — podlega w większości organizacji obronnych szczegółowym regulacjom wewnętrznym. Typowe wymagania obejmują udokumentowane uprawnienia dowódcze do tworzenia persony, określony cel i zakres każdej persony, regularny przegląd i odnawianie oraz wyraźne zasady dotyczące tego, jakie działania persona może podejmować (obserwacja i pozyskiwanie informacji w odróżnieniu od aktywnego angażowania się wobec obserwowanych podmiotów lub wprowadzania ich w błąd). Persony, które przechodzą do aktywnego udziału w działalności przestępczej — nawet w celach wywiadowczych — mogą narażać osoby i organizacje na poważne ryzyko prawne i wymagają starannej analizy prawnej przed użyciem.

Postępowanie z danymi osobowymi (PII) w pozyskiwaniu ze źródeł otwartych. Pozyskiwanie informacji OSINT z forów dark web, zrzutów poświadczeń i serwisów typu paste nieuchronnie ujawnia dane osobowe — imiona i nazwiska, adresy e-mail, poświadczenia, a w niektórych przypadkach wrażliwe dane osobowe — należące do osób, które nie są celami wywiadowczymi. Obowiązki w zakresie ochrony danych w większości jurysdykcji dotyczą PII niezależnie od tego, w jaki sposób zostały one pierwotnie ujawnione; fakt, że zrzut poświadczeń jest publicznie dostępny, nie zwalnia z obowiązku odpowiedniego postępowania z zawartymi w nim PII. Programy OSINT w sektorze obronnym potrzebują jednoznacznych polityk postępowania z danymi dla incydentalnie pozyskanych PII: minimalnych okresów przechowywania, kontroli dostępu oraz procesów zgłaszania naruszeń dotyczących osób objętych właściwą jurysdykcją.

Pouczająca jest tu analogia z wykrywaniem zagrożeń wewnętrznych: tak jak programy przeciwdziałania zagrożeniom wewnętrznym muszą prowadzić detekcję w granicach wynikających z zasad rzetelnej procedury (due process), nawet jeśli istnieją techniczne możliwości szerszego pozyskiwania danych, tak programy OSINT muszą działać w granicach swoich uprawnień, nawet jeśli szersze pozyskiwanie informacji jest technicznie wykonalne. Granicę wyznacza nie to, co potrafią systemy techniczne, lecz to, na co pozwalają uprawnienia prawne, a operacje przekraczające tę granicę narażają program, organizację i poszczególne osoby na odpowiedzialność, która może podważyć cały wysiłek wywiadowczy.

Wbudowanie przeglądu uprawnień OSINT w projekt programu od samego początku — zdefiniowanie działań pozyskiwania informacji według kategorii uprawnień, ustanowienie wyzwalaczy przeglądu dla działań w obszarach o niejednoznacznych uprawnieniach oraz prowadzenie śladów audytowych decyzji dotyczących pozyskiwania — nie jest obciążeniem związanym ze zgodnością, lecz mechanizmem ochrony programu. Informacje wywiadowcze uzyskane w drodze nieuprawnionego pozyskiwania mogą nie zostać dopuszczone jako dowód, mogą zostać prawnie zakwestionowane i mogą narazić na szwank źródła i metody szerszego programu. Prawidłowe ukształtowanie architektury prawnej jest warunkiem koniecznym trwałego pozyskiwania informacji, a nie czymś, o czym myśli się na końcu.

Łączenie elementów w całość

Skuteczny program wywiadu o zagrożeniach OSINT w sektorze obronnym łączy cztery warstwy funkcjonalne, które muszą współdziałać, aby dostarczać wartość operacyjną. Warstwa pozyskiwania zbiera surowe informacje z rozmaitych obszarów źródeł otwartych, w których widać aktywność przeciwnika — forów dark web, logów certyfikatów, serwisów typu paste, repozytoriów kodu i kanałów komunikacji aktorów zagrożeń. Warstwa analizy wyodrębnia wskaźniki, wzbogaca je o dane kontekstowe, ocenia ich wiarygodność i odwzorowuje obserwowane zachowania na identyfikatory technik ATT&CK, budując stale aktualizowane profile TTP przeciwnika. Warstwa integracji pakuje gotowe informacje wywiadowcze jako obiekty STIX i dystrybuuje je przez TAXII do platform SIEM i SOAR, gdzie stają się regułami detekcji, kontekstem wzbogacania i wyzwalaczami playbooków. Z kolei warstwa uprawnień i zgodności zapewnia, że całość działa w ramach określonych uprawnień prawnych — chroniąc sam program w takim samym stopniu, jak sieci, których on broni.

Programy, które dostarczają trwałą wartość, to te, które traktują OSINT nie jako kanał do biernego konsumowania, lecz jako dyscyplinę wywiadowczą wymagającą zarządzania pozyskiwaniem informacji, oceny jakości źródeł i rygorystycznej integracji z architekturą detekcji i reagowania. Zewnętrzny krajobraz zagrożeń, który obejmuje OSINT — infrastruktura przeciwnika, wskaźniki poprzedzające atak, sygnały kompromitacji łańcucha dostaw — to dokładnie ten teren, którego nie widzi telemetria wewnętrzna, i to właśnie tam często znajdują się najistotniejsze wczesne ostrzeżenia.