ハッキングせずにハッキングする

最高のハッキングは、ハッキングしないことから始まる。

システムに侵入する前に、まず「知る」ことが大切だ。ターゲットは誰か。どんなシステムを使っているか。どんな人が働いているか。メールアドレスは何か。

これらすべてが、公開情報から手に入る。

OSINT（Open Source Intelligence）。公開情報を使った諜報活動。違法なことは何もしていない。ただ、公開されている情報を集めているだけだ。

Maltego — 情報の蜘蛛の巣

一つのドメイン名から始める。

Maltegoは、そのドメインに関連するすべてを掘り出す。サブドメイン、メールアドレス、IPアドレス、それらに関連する人物。

すべてがグラフで表示される。点と線。情報と情報のつながり。蜘蛛の巣のように、全体像が浮かび上がる。

南アフリカのPaterva社が開発したこのツールは、ジャーナリスト、法執行機関、セキュリティ専門家に愛用されている。

一つの糸を引けば、全体が見える。

Googleは、Webページを検索する。

Shodanは、インターネットに接続されたデバイスを検索する。

Webカメラ、ルーター、サーバー、産業制御システム。インターネットに露出しているすべてのデバイスを、Shodanはインデックス化している。

2009年、John Matherly氏がこのツールを公開したとき、多くの人が衝撃を受けた。

「こんなに多くのデバイスが、無防備にインターネットに接続されているのか」

デフォルトパスワードのままのルーター。認証なしでアクセスできるWebカメラ。パッチが当たっていないサーバー。Shodanで検索するだけで、これらが見つかる。

攻撃者は、Shodanで脆弱なターゲットを探す。

防御者は、Shodanで自社のシステムが露出していないか確認する。

フィッシング攻撃を仕掛けるには、メールアドレスが必要だ。

theHarvesterは、ドメイン名を入力するだけで、そのドメインに関連するメールアドレスを大量に収集する。Google、Bing、LinkedIn。あらゆるソースから情報を集める。

攻撃者は、これを使って標的型フィッシングのターゲットリストを作る。

CEOのメールアドレス、財務担当者のメールアドレス、IT管理者のメールアドレス。それぞれに最適化された詐欺メールを送る。

Googleは、世界最強のハッキングツールだ。

特殊な検索演算子を使えば、普通は見つからないものが見つかる。

Johnny Long氏がこの技術を体系化し、「Google Hacking Database」として公開した。何千もの検索クエリが、脆弱性を見つけるために使われている。

「site:example.com filetype:pdf confidential」

この検索だけで、驚くほど多くの機密文書が見つかることがある。

攻撃者は、これらのツールで偵察を行う。ターゲットを理解し、最適な攻撃方法を考える。

防御者も、同じことをするべきだ。攻撃者の目で自社を見る。何が見えているか。何が漏洩しているか。

知られる前に、自分で知る。