OSINT (in Bezug auf Produkte)

Vielen Firmen ist nicht immer klar, dass die Informationen die sie online teilen, auch für Hacker überaus wertvoll sein können. Im Rahmen unseres Angebots “OSINT (in Bezug auf Produkte)” prüfen wir daher für Sie, welche Informationen ein Angreifer über die Produkte (physische Produkte, Software, Webservices etc.) Ihrer Firma sammeln kann. Zudem zeigen wir Ihnen, wie diese Informationen im Rahmen von Angriffen genutzt werden können.

Welche Daten können über Ihre Produkte öffentlich zugänglich sein?

Oft sind Firmen überrascht, welche Daten öffentlich über Ihre Produkte zugänglich sind. In der Regel finden wir die folgenden Arten von Daten bei unseren OSINT Überprüfungen:

• Daten die durch bewusst geteilt wurden, aber auch für Hacker nützlich sind
  • Beispielsweise Dokumentationen die Hinweise zu IT-Sicherheitsfunktionen wie Login Rate Limits enthalten
• Daten von denen die Firma nicht weiß, dass sie öffentlich zugänglich sind
  • Beispielsweise falsch konfigurierte GitHub Repositories die Zugriff auf Teile des Sourcecodes erlauben
• Daten die zwar bewusst geteilt wurden, aber dennoch sensible Informationen enthalten
  • Beispielsweise Fragen von Mitarbeitern auf Plattformen wie Stackoverflow die Hinweise auf Schwachstellen oder Fehlfunktionen eines Produkts liefern können

Zudem existieren in vielen Fällen Daten die nicht durch das Unternehmen selbst, sondern durch Dritte (Kunden, Blogger, Zulieferer) veröffentlich wurden.

Wie können Hacker OSINT Daten für Angriffe auf Ihre Produkte nutzen?

Öffentlich verfügbare Daten können auf vielfältige Weise durch Angreifer genutzt werden:

• Informationen über Sicherheitsfeatures von Produkten können im Rahmen von Angriffen genutzt werden (z.B. um bei Dictionary Angriffen immer genau unterhalb des gerade noch erlaubten Limits innerhalb einer bestimmten Zeitspanne zu bleiben um einen Lockout zu vermeiden)
• Informationen über Fehler und Problemquellen (z.B. GitHub Issues, Stackoverflow Posts) können helfen Schwachstellen eines Produkts bzw. einer Anwendung zu finden
• Informationen über verwendete Technologien und Softwareversionen können die gezielte Suche nach Exploits erleichern bzw. überhaupt erst ermöglichen

Welchen Umfang hat die OSINT Überprüfung für Produkte?

Das hängt in hohem Maße von der Komplexität und der Bekanntheit Ihres Produkts ab. Um hier eine Einschätzung abgeben zu können, benötigen wir dementsprechend Informationen zu Ihrem Produkt bzw. den von Ihnen angebotenen Services. Diesen können Sie uns entweder:

• Über das Textfeld beim Checkout zukommen lassen

Oder Sie treffen die Einschätzung über die Dauer der Überprüfung selbst und fragen direkt ein Angebot für eine bestimmte Anzahl an Tagen an:

• In diesem Fall bitte direkt auf dieser Seite die gewünschte Anzahl an Tagen wählen (neben dem “Zum Angebot hinzufügen” Button)

Anschließend erstellen wir dann für Sie ein individuelles Angebot.

Wie gehen Sie bei der OSINT Überprüfung für Produkte vor?

Um Informationen über Ihre Produkte zu finden, nutzen wir eine Vielzahl von Datenquellen. All diese Daten sind grundsätzlich öffentlich zugänglich, teilweise aber schwer zugänglich bzw. in solchen Mengen verfügbar (z.B. Videos auf YouTube), dass die eigentliche Kunst nicht im auffinden sondenr im Filtern und nutzbar machen der Informationen liegt. Darüber hinaus ergeben manche Daten auch erst in Kombination mit anderen einen Sinn für einen Angreifer.

Um an die ensprechenden Daten zu gelangen, nutzen wir sowohl Webservices, Open Source Tools als auch selbstprogrammierte Software.

Zudem nutzen wir Software um Daten gegebenenfalls einfacher zu verarbeiten (z.B. automatische Extraktion bestimmter Informationen aus Videos).

Kommt es bei der OSINT Überprüfung zu aktiven Hackingmaßnahmen?

Nein, bei der OSINT Überprüfung nutzen wir lediglich öffentlich verfügbare Daten. Es kommt dabei zu keinerlei aktiven Hackingmaßnahmen und auch nicht zu Social Engineering Angriffen auf Ihre Mitarbeiter. Je nach Art des Produkts kann es aber sinnvoll sein, wenn Sie uns einen Zugang einrichten, damit wir einige Funktionen genauer untersuchen können.

Was erhalten ich im Anschluss an die OSINT Überprüfung?

Im Anschluss an die Überprüfung erhalten Sie von uns einen Report mit allen Findings. Dort ist detailliert beschrieben:

• Welche Informationen wir gefunden haben, die für einen Hacker von Interesse sind
• Wo diese Informationen gefunden wurden
• Wie diese Informationen im Rahmen von Angriffen genutzt werden können
• Welche Schritte Sie unternehmen können, um sich vor entsprechenden Angriffen zu schützen

Diesen Report können Sie anschließend auch im Rahmen von Awareness Maßnahmen nutzen, beispielsweise um die Verfasser von technischen Dokumentation besser darin zu schulen, welche Information aus IT-Sicherheitssicht besser nicht in öffentlichen Dokumentationen enthalten sein sollten.