Le renseignement de sources ouvertes (OSINT) est la collecte et l'analyse d'informations tirées de sources publiquement disponibles. Dans le renseignement sur les cybermenaces, c'est souvent la première discipline vers laquelle se tournent les analystes, car tant de contexte utile se trouve à découvert : sites web d'entreprises, actualités et recherche, réseaux sociaux, dépôts de code publics, enregistrements de noms de domaine et données DNS. L'OSINT transforme ce matériau public dispersé en un éclairage structuré sur les adversaires, l'exposition et le contexte.
En tant que discipline de collecte, l'OSINT se définit par sa source plutôt que par son sujet. Les analystes l'utilisent pour comprendre l'empreinte externe d'une organisation, pour enrichir des indicateurs de détails d'enregistrement et d'infrastructure, et pour corroborer les conclusions d'autres disciplines. Sa nature publique le rend largement accessible et en fait une base naturelle pour le travail de recherche et d'attribution. La visibilité publique n'équivaut cependant pas à une autorisation légale : les données personnelles, les contenus protégés par le droit d'auteur ou le droit des bases de données, les conditions d'utilisation des sites et les règles de confidentialité propres à chaque juridiction peuvent tous restreindre ce qui peut être collecté et la manière dont cela peut être utilisé ; l'accessibilité doit donc être appréciée séparément de la licéité.
L'OSINT est important parce qu'il est peu coûteux, extensible et continuellement renouvelé, et qu'il fournit souvent le tissu conjonctif qui relie les autres renseignements entre eux. Ses entrées typiques comprennent les enregistrements WHOIS et DNS, les informations sur l'entreprise et le personnel, les forums publics et les comptes rendus médiatiques. Ses limites méritent le respect : les données publiques peuvent être périmées, incomplètes ou délibérément trompeuses, et le volume peut submerger l'analyse. Une pratique saine de l'OSINT met l'accent sur l'évaluation et la corroboration des sources plutôt que sur le fait de traiter un enregistrement public isolé comme un fait.
Références#
- Ressources SANS sur l'OSINT et le Cyber Threat Intelligence
- Descriptions des techniques de reconnaissance de MITRE ATT&CK