Passive Recon & OSINT: Τι Αποκαλύπτει το Ίντερνετ για Εσάς

Το passive recon και το OSINT είναι η τέχνη του να μαθαίνεις όσα περισσότερα γίνεται για έναν στόχο χωρίς να τον «αγγίξεις» — μόνο από δημόσια διαθέσιμες πηγές. Σε αυτόν τον οδηγό για αρχάριους βλέπεις τι αποκαλύπτει πραγματικά το ίντερνετ για έναν οργανισμό (DNS, WHOIS, subdomains, emails, πιστοποιητικά), με ρεαλιστικά terminal παραδείγματα μέσα σε απομονωμένο εργαστήριο — και, κυρίως, πώς να μειώσεις αυτό το αποτύπωμα από την πλευρά της άμυνας.

Γιατί έχει σημασία

Πριν ένας επιτιθέμενος στείλει έστω και ένα πακέτο προς έναν στόχο, έχει συνήθως ήδη μάθει πολλά γι’ αυτόν — απλώς διαβάζοντας ό,τι είναι δημόσια διαθέσιμο. Ονόματα υπαλλήλων, διευθύνσεις email, subdomains ξεχασμένων test servers, εκδόσεις λογισμικού, ακόμη και εσωτερικά ονόματα υποδομής μπορούν να «διαρρεύσουν» χωρίς κανένας να το καταλάβει. Αυτό το στάδιο ονομάζεται passive reconnaissance (παθητική αναγνώριση) και η μεθοδολογία του είναι το OSINT — Open Source Intelligence, δηλαδή πληροφορίες από ανοιχτές πηγές.

Αν ξεκινάς τώρα στην κυβερνοασφάλεια, το OSINT είναι από τα πρώτα πράγματα που πρέπει να καταλάβεις — και από τα πιο υποτιμημένα. Δεν χρειάζεται καμία «εισβολή»: το μεγαλύτερο μέρος του ψηφιακού αποτυπώματος ενός οργανισμού είναι ήδη εκεί έξω, ορατό στον καθένα. Ο στόχος αυτού του άρθρου είναι διπλός: να καταλάβεις τι αποκαλύπτεται και πώς — ώστε ως αμυνόμενος να μπορείς να το εντοπίσεις και να το περιορίσεις. Όλα τα παραδείγματα προέρχονται από ένα απομονωμένο εργαστήριο (isolated lab) με ουδέτερες, ιδιωτικές διευθύνσεις IP — κανένας πραγματικός στόχος.

Βασικές έννοιες

Η αναγνώριση χωρίζεται σε δύο μεγάλες κατηγορίες, και η διαφορά τους είναι κρίσιμη:

• Passive recon (παθητική): Συλλέγεις πληροφορίες χωρίς άμεση αλληλεπίδραση με τα συστήματα του στόχου. Ρωτάς τρίτες πηγές — DNS servers, βάσεις WHOIS, μηχανές αναζήτησης, δημόσια αρχεία πιστοποιητικών. Ο στόχος συνήθως δεν αντιλαμβάνεται τίποτα.
• Active recon (ενεργητική): Αλληλεπιδράς άμεσα με τον στόχο — π.χ. σαρώνεις θύρες με Nmap. Αυτό αφήνει ίχνη στα logs του στόχου και ανήκει σε επόμενο στάδιο.

Το OSINT ανήκει σχεδόν εξ ολοκλήρου στην παθητική πλευρά. Οι βασικές «πηγές» που θα συναντήσεις ως αρχάριος είναι:

• WHOIS: Δημόσια στοιχεία καταχώρισης ενός domain ή ενός εύρους IP — ποιος το κατέχει, πότε λήγει, ποιοι είναι οι name servers.
• DNS: Το «τηλεφωνικό κατάλογο» του ίντερνετ. Εγγραφές όπως A, MX (mail servers), NS, TXT (συχνά SPF/DKIM) αποκαλύπτουν υποδομή.
• Subdomains: Ονόματα όπως dev., vpn., test. που δείχνουν ξεχασμένα ή λιγότερο προστατευμένα συστήματα.
• Certificate Transparency (crt.sh): Δημόσια αρχεία όλων των TLS πιστοποιητικών — μια χρυσωρυχείο για την ανακάλυψη subdomains.
• Emails & ονόματα: Χρήσιμα για κατανόηση της δομής (π.χ. onoma.epitheto@) και, δυστυχώς, για phishing.
• robots.txt & metadata: Αρχεία που, θέλοντας να «κρύψουν» διαδρομές, συχνά τις αποκαλύπτουν.
• Search engine dorking: Στοχευμένα ερωτήματα σε μηχανές αναζήτησης (π.χ. site:, filetype:) που φέρνουν στην επιφάνεια εκτεθειμένα έγγραφα ή πίνακες διαχείρισης.

Το κοινό στοιχείο όλων είναι ότι κάθε πληροφορία μόνη της μοιάζει αθώα — μαζί όμως συνθέτουν έναν λεπτομερή «χάρτη» του οργανισμού. Ένας έμπειρος αναλυτής δεν ψάχνει ένα «μυστικό»· συνδυάζει δεκάδες μικρές, δημόσιες λεπτομέρειες μέχρι να σχηματίσει την εικόνα που θέλει.

Πρακτικό κομμάτι σε lab

Ας δούμε πώς μοιάζει αυτό στην πράξη. Όλες οι εντολές τρέχουν από ένα Kali μηχάνημα εναντίον ενός τοπικού, ουδέτερου domain acme.lab στο απομονωμένο δίκτυο 10.10.10.x — ποτέ πραγματικό σύστημα. Ξεκινάμε με τα κλασικά: whois και dig.

Ήδη με δύο εντολές έχουμε: τον κάτοχο του domain, τους name servers, τον mail server (MX) και μια TXT εγγραφή SPF που φανερώνει ότι ο οργανισμός στέλνει email μέσω συγκεκριμένης υποδομής. Καμία από αυτές τις πληροφορίες δεν χρειάστηκε «επίθεση» — απλώς ρωτήσαμε δημόσιους servers.

Στη συνέχεια, το theHarvester αυτοματοποιεί τη συλλογή emails, ονομάτων και hosts από πολλαπλές ανοιχτές πηγές ταυτόχρονα.

Παρατήρησε πώς με μία εντολή προκύπτει ένα μοτίβο διευθύνσεων email και μια λίστα hosts. Αυτό το μοτίβο είναι ακριβώς ό,τι χρειάζεται ένας επιτιθέμενος για μια στοχευμένη καμπάνια phishing — γι’ αυτό και ως αμυνόμενοι θέλουμε να ξέρουμε τι είναι εκτεθειμένο.

Για την ανακάλυψη subdomains, συνδυάζουμε δύο προσεγγίσεις: το Sublist3r (που ρωτά μηχανές αναζήτησης και βάσεις) και το crt.sh, το δημόσιο αρχείο Certificate Transparency. Κάθε φορά που εκδίδεται ένα TLS πιστοποιητικό, το όνομα καταγράφεται δημόσια — οπότε ακόμη και ένα «κρυφό» internal-vpn.acme.lab μπορεί να εμφανιστεί εκεί.

Τέλος, ένα από τα πιο απλά αλλά αποκαλυπτικά αρχεία: το robots.txt. Προορίζεται να λέει στις μηχανές αναζήτησης ποιες διαδρομές να αγνοήσουν — αλλά στην πράξη συχνά δείχνει σε έναν άνθρωπο ακριβώς πού να κοιτάξει (π.χ. /admin/, /backup/).

Μέσα σε λίγα λεπτά, χωρίς να «χτυπήσουμε» καν τον στόχο επιθετικά, έχουμε συνθέσει μια πλήρη εικόνα: υποδομή, subdomains, emails, mail servers και ενδιαφέρουσες διαδρομές. Αυτή είναι η δύναμη — και ο κίνδυνος — του OSINT.

Πρόσεξε ιδιαίτερα τη διαφορά ανάμεσα στα δύο εργαλεία ανακάλυψης subdomains: το Sublist3r βρήκε ένα internal-vpn.acme.lab που δεν εμφανίζεται πουθενά αλλού, ενώ το crt.sh πρόσθεσε ένα staging.acme.lab από παλιό πιστοποιητικό. Κανένα από τα δύο δεν θα το γνώριζες κοιτώντας μόνο την κεντρική ιστοσελίδα. Ακριβώς εδώ κρύβονται τα πιο συχνά «ξεχασμένα» συστήματα — και γι’ αυτό, από την πλευρά της άμυνας, η καταγραφή όλων των assets (asset inventory) είναι το πρώτο βήμα προστασίας.

Το εργαστηριακό περιβάλλον (isolated lab)

Για να εξασκηθείς με ασφάλεια, στήνεις ένα απομονωμένο εργαστήριο στον υπολογιστή σου, χωρίς σύνδεση στο internet. Τα βασικά συστατικά:

1. Ένα λογισμικό εικονικοποίησης (VirtualBox ή VMware) με μια επιτιθέμενη μηχανή Kali Linux.
2. Μια μηχανή-στόχο που τρέχει έναν τοπικό DNS server (π.χ. dnsmasq) και έναν web server, ώστε το acme.lab να «λύνει» μέσα στο lab.
3. Host-only ή internal δικτύωση σε εύρος όπως 10.10.10.0/24, ώστε οι μηχανές να βλέπουν μόνο η μία την άλλη.
4. Στιγμιότυπα (snapshots) πριν από κάθε πείραμα, για εύκολη επαναφορά.

Έτσι μπορείς να τρέξεις εργαλεία όπως whois, dig, theHarvester και sublist3r εναντίον ενός δικού σου, ελεγχόμενου domain και να δεις πώς μοιάζει το output — χωρίς να αγγίξεις κανέναν πραγματικό οργανισμό. Για εξάσκηση σε ρεαλιστικά σενάρια υπάρχουν επίσης νόμιμες πλατφόρμες όπως το TryHackMe και το HackTheBox, καθώς και προγράμματα bug bounty με ρητά καθορισμένους κανόνες.

Ηθικό και νομικό πλαίσιο

Το OSINT δίνει μια ψευδαίσθηση ότι «αφού είναι δημόσιο, επιτρέπεται τα πάντα». Δεν είναι έτσι. Η συλλογή δημόσιων πληροφοριών είναι γενικά νόμιμη, αλλά το τι κάνεις μετά — και το πλαίσιο μέσα στο οποίο το κάνεις — έχει σημασία.

• Εξουσιοδότηση (Authorization): Σε ένα εξουσιοδοτημένο penetration test, το OSINT γίνεται εντός γραπτής σύμβασης και συμφωνημένου scope. Χωρίς αυτό, μη στοχεύεις οργανισμούς — εξασκείσαι μόνο στο δικό σου lab.
• Όρια στην ενεργητική δράση: Το να διαβάσεις WHOIS είναι παθητικό· το να ξεκινήσεις σάρωση θυρών ή απόπειρες σύνδεσης είναι ενεργητικό και απαιτεί ρητή άδεια.
• Προσωπικά δεδομένα & GDPR: Η μαζική συλλογή προσωπικών στοιχείων (emails, ονόματα) εγείρει ζητήματα προστασίας δεδομένων. Χειρίσου τα υπεύθυνα και μόνο για τον νόμιμο σκοπό της αξιολόγησης.
• Καμία εκμετάλλευση: Το OSINT σταματά στη συλλογή πληροφοριών. Δεν είναι άδεια για phishing, social engineering σε πραγματικά άτομα ή πρόσβαση σε συστήματα.

Αν κρατήσεις μία πρόταση: δημόσιο δεν σημαίνει «ελεύθερο για κάθε χρήση» — η άδεια και η πρόθεση είναι πάντα αυτό που ορίζει τη νομιμότητα.

Η οπτική της άμυνας

Αφού είδες τι αποκαλύπτεται, το πιο χρήσιμο μάθημα είναι πώς να το περιορίσεις: χρησιμοποίησε WHOIS privacy protection, μην αφήνεις εσωτερικά ονόματα σε δημόσιο DNS, παρακολούθησε τα Certificate Transparency logs για ύποπτα subdomains, καθάρισε ξεχασμένους test/dev servers, μην αποκαλύπτεις ευαίσθητες διαδρομές μέσω robots.txt και εκπαίδευσε το προσωπικό ώστε τα δημόσια emails να μη γίνονται εύκολος στόχος phishing.

Βασικά συμπεράσματα

• Το passive recon / OSINT συλλέγει πληροφορίες από δημόσιες πηγές χωρίς άμεση αλληλεπίδραση με τον στόχο — συχνά τελείως «αόρατα».
• Ένας οργανισμός αποκαλύπτει πολλά χωρίς να το ξέρει: WHOIS, DNS, subdomains, emails, πιστοποιητικά (crt.sh) και αρχεία όπως το robots.txt.
• Εργαλεία όπως whois, dig, theHarvester, sublist3r και το crt.sh δίνουν γρήγορα μια πλήρη εικόνα του ψηφιακού αποτυπώματος.
• Η γνώση του τι αποκαλύπτεται είναι κυρίως εργαλείο άμυνας: μειώνεις το αποτύπωμα, παρακολουθείς τα CT logs και καθαρίζεις ό,τι δεν χρειάζεται.
• «Δημόσιο» δεν σημαίνει «επιτρέπονται τα πάντα»: πάντα γραπτή εξουσιοδότηση, ξεκάθαρο scope και σεβασμός στα προσωπικά δεδομένα.
• Εξασκείσαι μόνο σε δικά σου συστήματα ή σε νόμιμα, απομονωμένα εργαστήρια — ποτέ σε τυχαίους στόχους στο internet.

Από τη θεωρία στην πράξη. Η Audax Cybersecurity προσφέρει επαγγελματικές υπηρεσίες offensive security — penetration testing & offensive validation — ενώ για όσους ξεκινούν το ταξίδι τους στο ethical hacking, το #1 ελληνικό βιβλίο «Ethical Hacking — Η Κρυφή Γνώση» είναι ο ιδανικός οδηγός.