现代攻击很少毫无预兆地发生。在攻击实施之前很久，攻击者就会留下数字痕迹：泄露的凭证、克隆的代码库、可疑的域名或重复使用的代码片段。正因如此，及早发现这些蛛丝马迹变得至关重要。这就是其背后的理念。 开源情报（OSINT） 原因 开源情报框架 以及一个不断发展的生态系统 开源情报工具 在当今网络安全领域，这一点至关重要。
通过学习如何收集、关联和自动化开源情报， 开发安全 团队和 CIS操作系统能够高效地发现隐藏风险。因此，它们可以加强软件供应链，并在事件升级之前做出响应。
什么是开源情报（OSINT）？简史及定义
开源情报 (OSINT) 指的是收集和分析公开信息，以识别潜在威胁、漏洞和风险。最初，政府和军事机构在 20 世纪 80 年代将这种方法用于政治和国防研究。随着时间的推移，网络安全专家意识到同样的概念也适用于数字生态系统，从而能够及早发现攻击。
安全研究人员很快发现，开放数据、域名记录、公共代码库或地下论坛等信息，可以在实际攻击发生之前就揭示攻击者的活动。实际上，开源情报（OSINT）如今已贯穿威胁生命周期的各个阶段，从侦察到响应。
如今，开源情报（OSINT）已成为现代威胁情报的重要组成部分，也是必须保护其代码的开发人员值得信赖的盟友。 pipeline以及依赖关系。换句话说，开源情报 (OSINT) 将代码可见性和威胁感知联系起来。然而，由于它依赖于公开数据，因此也可能产生噪声、缺乏内部上下文，或者暴露出难以确定优先级的信号。因此，开发人员和 CIS操作系统需要自动化方法来更快地过滤、丰富和利用开源情报信息，将开放数据转化为有意义的防御手段。
OSINT 利用来自网站、代码注册表和社交平台的公开数据来检测入侵迹象，并在攻击到达生产环境之前阻止攻击。
网络安全领域开源情报的演变
首先，了解开源情报（OSINT）的发展历程有助于解释为什么它现在至关重要。
- 第一阶段——早期开源情报（互联网出现之前）： 分析人员从报纸、广播和公共记录中收集信息，以解读地缘政治事件。当时，情报收集是人工的，速度很慢。尽管如此，它为结构化分析奠定了基础。
- 第二阶段——互联网开源情报（2000-2010 年）： 借助 WHOIS 数据库、DNS 记录和早期搜索引擎，调查人员开始绘制域名图谱并追踪网络钓鱼基础设施。此外，在线社区的扩展也创造了新的渠道，可以直接观察攻击者的行为。因此，, 开源情报变得更快、更广泛、更具协作性。
- 第三阶段——数字开源情报（2010年至今）： 现代情报已渗透到云服务、社交媒体以及GitHub、npm和Docker Hub等开发者平台。此外，自动化、机器学习和API实现了大规模关联分析。因此，开源情报（OSINT）已从缓慢的人工研究转向持续的数字化监控，这种能力对于应用安全和软件供应链保护至关重要。实际上，这种演变意味着在威胁进入生产环境之前就将其检测出来。
OSINT框架的工作原理
简单来说， 这个 开源情报框架 作为一个 工具结构化索引 以及 数据源分组 按类别划分，例如 领域情报, 社交网络、暗网监控 以及 代码分析通过这种方式组织信息，分析师和开发人员可以快速找到适合每项任务的开源情报工具。
通常，安全团队在应用该框架时会遵循一个可重复的流程：
- 收集数据： 从存储库、注册表或开放数据源收集指标。
- 关联信号： 跨多个来源链接域名、哈希值或泄露的凭据。
- 快速行动： 优先处理补救措施或直接通过以下方式自动发出警报 CI/CD 工作流程。
实际上，开源情报（OSINT）框架并非单一工具，而是一种结构化的方法，用于组织数百个开源情报资源。安全团队无需进行手动搜索，而是利用该框架整合来自 SpiderFoot、Shodan 或 TheHarvester 等各种工具的数据，并将分散的信息转化为可执行的洞察。
举个例子, DevSecOps工程师可以通过将来自不同来源的API连接到他们的系统中来自动化这个过程。 CI/CD 环境。因此, 潜在的泄漏或暴露的资产会在部署前自动触发警报。
总而言之，开源情报框架提供了一种将公共情报转化为可重复、自动化工作流程的模型，而这在以前是不可想象的。cisely Xygeni 将这一概念进一步发展。
创新中心 CIS操作系统和开发者利用开源情报
对于 CIS操作系统和安全领导者
- 监控品牌曝光、泄露的凭证和克隆的存储库。
- 将开源情报调查结果与漏洞数据库进行交叉比对，以指导补丁优先级。
- 将外部情报与内部遥测数据相结合，以实现准确的风险评分。
- 报告可衡量的结果，例如关闭的漏洞或减少的攻击面，以证明投资回报率。
面向开发人员和DevSecOps团队
- Scan 扫描 commit用于硬编码密钥和令牌。
- 检测 npm、PyPI 或 Maven 中的拼写错误或恶意依赖项。
- 当组织名称或存储库出现在外部威胁情报源中时，接收警报。
- 将开源情报查找集成到 CI/CD pipeline用于自动可见性。
最终，开源情报（OSINT）为所有利益相关者提供了一个共同的视角来审视威胁形势，从高层管理人员到普通员工。 dashboards 到开发者终端。
开源情报对安全团队的益处
| 好处 | 如何帮助 |
|---|---|
| 早期发现 | 在攻击者利用漏洞、泄露信息或冒充行为之前，将其识别出来。 |
| 提升品牌曝光性 | 绘制传统扫描仪无法覆盖的外部资产图。 |
| 相关性 | 利用外部威胁背景信息丰富警报，以便优先修复。 |
| 省时提效 | 安排 OSINT 查询或连接 API pipelines. |
| 合作 | 与更广泛的安全社区分享经过验证的情报。 |
重点外卖：
开源情报能够提高可见性和速度，帮助团队专注于真正的威胁，而不是无关信息。
顶级开源情报工具以及 Xygeni 如何应用其原理
开源情报工具帮助安全团队将公共数据转化为可操作的背景信息。例如，Maltego、SpiderFoot 和 Shodan 等工具长期以来一直支持分析师绘制基础设施图并检测暴露的资产。然而，这些解决方案通常需要手动设置和持续维护，这在现代安全环境中难以扩展。 CI/CD 环境。
- Maltego：支持可视化链接分析，以绘制域、IP 和组织之间的关系。
- 蜘蛛足：自动扫描数百个公共资源和 API。
- 收割者：收集子域名、电子邮件和横幅广告——非常适合侦察和资产发现。
- 初段扫描互联网，查找暴露的设备、开放的端口和过时的软件。
- 森思：大规模搜索和分析联网主机和证书。
- 吉特罗布：检测 Git 仓库中泄露的密钥和令牌。
- 松露猪：查找 Git 历史记录中的高熵字符串和泄露的凭据。
这些工具共同展示了开源情报如何揭示攻击者经常利用的外部可见性。然而， 对于注重速度和交付的开发人员来说，单独管理它们可能会很耗时。
Xygeni 如何将开源情报引入 DevSecOps
与传统的开源情报工具相比， Xygeni 将这些相同的智能技术直接嵌入到开发工作流程中。 而不是运行单独的脚本或 dashboards, 球队获得 他们持续的洞察力 CI/CD pipelines、存储库和 IDE。
特别：
- Xygeni 的 预警系统 按照 OSINT 风格的威胁监控，监控开放注册表（npm、PyPI、Maven）中的恶意或拼写错误软件包。
- 它的 秘密探测 该引擎能够识别公共代码中暴露的令牌和凭证，其原理与 Gitrob 和 TruffleHog 相同，但完全自动化。
- 异常检测 持续关联存储库行为、依赖项变更和工作流程修改，以便在攻击升级之前标记可疑活动。
- 通过 可达性和可利用性分析, Xygeni 优先考虑真正重要的发现，将 OSINT 上下文与运行时可见性相结合。
此外，所有这些情报都与外部数据源、CVE 信息和注册表遥测数据相结合，从而在开放情报和内部安全态势之间形成完整的反馈回路。
简而言之：
Xygeni 将 OSINT 从手动研究模式转变为自动化防御层，直接在 DevOps 内部提供持续、可操作的情报。 pipelines.
将开源情报框架集成到DevSecOps工作流程中
手动情报收集无法规模化。因此，需要将基于开源情报框架的自动化集成到…… pipeline确保安全智能随着代码更改而自动更新。
逐步集成示例：
- 监控存储库： 运行秘密扫描 hooks 对每个组件进行依赖性检查 commit.
- 关联研究结果： 使用上下文 OSINT 数据将结果转发到 SIEM、Slack 或 Jira。
- 设置警报： 当新指标与内部资产匹配时，触发自动响应。
- 优先修复： 结合 SCA 以及 SAST 通过可达性和可利用性分析，实现更智能的补救措施。
此外，Xygeni 的集成功能使这些步骤无缝衔接，无需手动关联或外部资源。 dashboard因此，开源智能默认成为每次构建、合并和部署的一部分。
挑战和伦理考虑
虽然开源情报功能强大，但必须始终负责任地使用。 出于这样的原因， 团队应该：
- 验证信息来源： 交叉核对情报，防止误报。
- 尊重隐私： 遵守GDPR、CCPA和内部安全规则。
- 避免过度收集： 只收集获取可操作安全洞察所需的信息。
- 保持诚信： 在不进行未经授权的访问的情况下观察和分析系统。
小型案例研究：利用开源情报原理检测泄露的令牌
- 第1周： DevOps工程师启用Xygeni的早期预警集成功能，以监控GitHub上的公司引用和潜在泄露。
- 第2周： 系统会自动标记暴露测试中使用的 AWS 密钥的公共存储库。 pipeline.
- 第3周： 通过 CI/CD 自动化过程中，令牌被撤销，这是一个安全的过程。 pull request 将其替换，并将该事件记录在案以供审计。
结果： 暴露窗口期从 24 小时缩短至不到 15 分钟。换句话说，开源情报驱动的可见性与 Xygeni 自动化相结合，将潜在的安全漏洞转化为一场零事件。
因此，这个例子展示了如何在DevOps中应用开源情报（OSINT）原则。 pipeline使团队能够获得以前只有专门的威胁情报分析师才能获得的相同意识。
开源情报与传统威胁情报
| 方面 | OSINT（社区驱动型） | 传统饲料（供应商主导） |
|---|---|---|
| 数据源 | 公开的信息 | 专有数据或订阅数据 |
| 成本 | 通常免费/开放 | 通常为商业用途 |
| 更新频率 | 通过 API 和社区实现实时性 | 供应商定期更新 |
| 定制 | 完全适用于DevSecOps pipelines | 仅限供应商 API |
| 适用范围 | 范围广泛——涵盖代码、基础设施和社会数据 | 专注于已知的恶意软件或IOC信息源 |
因此，开源情报是对传统威胁情报的补充，而不是取代，它填补了可见性空白，并为开发团队增加了灵活性。
结论：开源情报在应用安全领域的未来
随着数字攻击面的扩大，上下文信息与检测本身变得同等重要。开源情报框架和现代开源情报工具能够提供这种上下文信息，展现攻击者眼中的你的组织是什么样子。
结合自动化和关联引擎，开源情报 (OSINT) 能够提供传统扫描器无法实现的实时感知。同时，现代入侵检测和防御系统保护您环境内部发生的事件，而 OSINT 则保护环境外部所有可见信息，从公共代码到被遗忘的域名。
简而言之，开源情报将被动监控转变为主动防御。
