CHO NAM GI

개인 공부 블로그입니다.

visitor

1 분 소요

OSINT(공개 출처 정보)란?

OSINT(Open-Source Intelligence)는 말 그대로 누구나 접근할 수 있는 공개된 출처에서 데이터를 수집하는 과정을 의미한다. 사이버 보안 영역, 특히 레드팀(Red Team) 작전에서 OSINT는 공격 대상(타겟)과 직접적인 상호작용 없이 우회적으로 관련 정보를 끌어모으는 ‘초기 정보 수집’ 단계를 지칭한다.

이 단계에서 얻어낸 모든 데이터는 실제 초기 침투(Initial Access)를 위한 강력한 무기가 되므로 매우 꼼꼼하고 치밀하게 수집해야 한다.

레드팀 작전 시 수집하는 핵심 OSINT 정보

성공적인 공격 시나리오를 구성하기 위해 OSINT 단계에서는 대상의 기술적, 인적 자원 등 다방면의 정보를 파악한다. 주로 수집하는 5가지 항목은 다음과 같다.

1. 네트워크 인프라 식별

공격의 직접적인 표적이 될 수 있는 네트워크 범위를 찾는다.

  • 자율 시스템 번호(ASN) 및 할당된 IP 대역(Net Blocks)
  • 메인 도메인 및 관련 서브도메인(Subdomains)
  • 도메인과 매핑된 CNAME 및 호스트들의 실제 IP 주소

2. 인적 자원(Human Resources) 추적

사회공학적 기법(Social Engineering)이나 계정 탈취 공격에 활용될 수 있는 임직원 정보를 수집한다.

  • 사내 이메일 주소의 생성 규칙 (예: 이름.성@회사.com 등)
  • 기업의 부서 조직도
  • 임원진(C-Suite)의 이름, 직무, 전화번호 및 이메일
  • 일반 직원의 이메일 주소
  • 링크드인(LinkedIn) 등 비즈니스 목적의 SNS 활동
  • 채용 공고나 직무 관련 공개 문서 (내부에서 사용하는 기술 스택 유추)

3. 기술적 자산(Technical Assets) 파악

외부망에서 직접적으로 접근 가능한 시스템과 잠재적 취약점을 확인한다.

  • 외부에서 접근 가능한 호스트 IP 및 FQDN(Fully Qualified Domain Name, 전체 주소 도메인 이름)
  • 개방된 포트(Port)와 서비스 배너(Banner) 정보
  • 클라우드 환경에 노출된 호스트/포트 인프라 정보
  • 조직에서 사용 중인 외부 SaaS(Software as a Service) 플랫폼 정보

4. 다크웹 및 과거 유출 데이터

이미 인터넷 이면에 유출되어 돌아다니는 과거의 흔적을 재활용한다.

  • 과거 침해 사고(해킹) 발생 및 피해 이력
  • 다크웹 등에 유포된 임직원 계정 자격 증명(Credential) 및 데이터 덤프

5. 기타 디지털 흔적

웹상에 무방비로 남겨진 다양한 족적을 쫓는다.

  • 구글 해킹(Google Dorking)을 통해 검색되는 민감한 파일이나 사내 문서
  • 깃허브(Github), 깃랩(Gitlab), 빗버킷(Bitbucket) 등 오픈소스 저장소에 실수로 올라간 소스코드나 API 키
  • 웨이백 머신(Wayback Machine) 등 인터넷 아카이브에 남아있는 과거 웹사이트 구조 및 숨겨진 정보

이처럼 OSINT를 통해 모은 조각들은 하나하나가 초기 침투를 성공시키기 위한 중요한 단서가 된다. 대상의 시스템에 직접 핑(Ping) 한번 날리지 않고도 이렇게 방대한 정보를 모을 수 있다는 것이 OSINT의 가장 큰 매력이다.

댓글 남기기