Strumenti OSINT per la cybersecurity: guida pratica per team di sicurezza

Gli attaccanti stanno già analizzando la tua organizzazione con informazioni pubbliche. Mappano infrastrutture esposte, raccolgono credenziali da violazioni e individuano sistemi non aggiornati, tutto prima di lanciare un attacco. La tua squadra di sicurezza fa lo stesso?

Soluzione rapida: Inizia con strumenti gratuiti come Shodan per mappare l’infrastruttura internet, Have I Been Pwned per verificare breach di email e DNSDumpster per enumerare sottodomini. Bookmarka osintframework.com e applica il workflow in 5 passi per indagini efficaci. In meno di 30 minuti, avrai un quadro completo della tua esposizione.

Questa guida ti mostra i migliori strumenti OSINT per categoria, siti chiave da salvare, opzioni gratuite contro a pagamento e un flusso di lavoro pratico da usare subito. L’OSINT (open source intelligence) raccoglie dati pubblici per generare intelligence actionable, migliorando attacco surface management, threat intelligence e response agli incidenti.

Cos’è l’OSINT nella cybersecurity?

L’OSINT è la raccolta e analisi di informazioni pubbliche accessibili a tutti, senza bisogno di accesso classificato. In cybersecurity, serve a:

Gestire la superficie di attacco: scopri cosa è esposto online prima degli hacker.
Intelligence sulle minacce: traccia infrastrutture e campagne avversarie.
Risposta agli incidenti: contestualizza alert con dati esterni su attori e malware.

Red team lo usano per ricognizioni, analisti SOC per arricchire alert, team di threat intelligence come metodo principale. È una competenza che potenzia subito l’efficacia.

Lista strumenti OSINT: i migliori per categoria

Ecco una selezione curata di strumenti OSINT, con indicazioni su gratuiti, freemium o a pagamento.

Intelligence su domini e IP

Shodan: Motore di ricerca per infrastrutture internet. Indica porte aperte, banner servizi, certificati SSL e metadati dispositivi su tutto il web pubblico. Ideale per mappare attacchi e ricercare threat actor. Freemium.
DNSDumpster: Enumerazione DNS passiva gratuita, senza registrazione. Restituisce sottodomini, record DNS e mappa visiva dell’infrastruttura in secondi. Perfetto per scoping rapido.
SecurityTrails: Dati storici DNS e WHOIS. Traccia cambiamenti infrastrutturali e collega domini maligni a pattern storici. Freemium.

Esposizione email e credenziali

Have I Been Pwned: Standard per monitorare breach. Verifica se email organizzative sono in database di violazioni. API gratuita per integrazioni.
Hunter.io: Trova email pubbliche associate a un dominio e convenzioni di naming. Utile per phishing e monitoraggio esposizioni. Freemium.
Holehe: Tool open-source che controlla registrazioni email su centinaia di servizi web. Traccia riuso email da threat actor. Gratuito.

Intelligence su persone e social media

Maltego: Piattaforma top per analisi link OSINT. Visualizza relazioni tra persone, domini, IP e organizzazioni in grafi interattivi. Edizione community gratuita; licenza completa a pagamento.
SpiderFoot: Framework open-source che interroga oltre 200 fonti per profili completi. Versione hosted HX a pagamento.
Sherlock: Cerca username su oltre 300 piattaforme social. Ideale per threat actor e insider threat. Gratuito.

Monitoraggio dark web e paste site

SOCRadar Threat Hunting: Interroga oltre 50 fonti (dark web, forum, repository). Tier gratuito per ricerche IP, domini, email, con metadati WHOIS, DNS e dataset breach.
IntelligenceX: Indice dark web, paste e leak. Ricerca per email, dominio, IP, Bitcoin. Freemium.
Ahmia: Motore clearnet per siti .onion Tor. Ricerca dark web senza connessione diretta. Gratuito.

Metadata e intelligence da motori di ricerca

Google Hacking Database: Libreria di query Google dork per vulnerabilità. Zero costo, alto valore.
ExifTool: Estrae metadata da file (GPS da immagini, dati sistema da documenti). Gratuito.
FOCA: Cerca documenti pubblici su dominio, li scarica ed estrae metadata (username, path, versioni software). Gratuito.

Siti OSINT da bookmarkare

Questi siti offrono accesso immediato senza installazioni:

osintframework.com: Directory tree di tool OSINT per tipo di dato.
crt.sh: Enumerazione certificati SSL e sottodomini da log Certificate Transparency.
urlscan.io: Analizza URL sospetti con screenshot, DOM, richieste network.
viz.greynoise.io: Distingue noise internet da attacchi mirati.
threatfox.abuse.ch: Piattaforma IOC community per malware.

Gratuiti vs a pagamento: cosa serve al tuo team?

La maggior parte delle esigenze quotidiane si copre con gratuiti. Pagati eccellono in scala, automazione e profondità.

Gratuiti	A pagamento
Ideali per	Indagini manuali
Limiti query	Ristretti, browser
Profondità dati	Stato attuale
Integrazioni	Manuali
Monitoring	Spot-check
Team	Individuale

Inizia con gratuiti; passa a pagati quando i lookup manuali rallentano.

Come condurre un’indagine OSINT: workflow in 5 passi

Scenario: SOC rileva connessioni outbound a dominio sconosciuto.

Definisci domande: Chi controlla il dominio? Legato a malware? Altri sistemi interni collegati?
Recon passiva: DNS, hosting, porte, certificati, threat intel. Nessun contatto target.
Pivot e visualizza: Ogni finding è un nuovo lead. Usa tool link analysis per grafi.
Verifica esposizione organiz: Cerca menzioni tua in paste/dark web, credenziali breach.
Documenta e agisci: IOC con confidence, summary per leadership.

SOCRadar Labs: Piattaforma gratuita browser-based per lookup rapidi (reputazione IP/dominio, DNS, dark web, CVE, IOC).

Approfondimento tecnico

Per esperti, integra OSINT in pipeline automatizzate. Usa API Shodan per scan programmati: shodan search 'port:443 org:"TuaOrg"' --fields ip_str,port,org. Con Maltego Transform, automatizza pivot su 100+ fonti via script Python.

Script Holehe avanzato:

git clone https://github.com/megadose/holehe
cd holehe
python3 holehe.py -e target@example.com

Estrae registrazioni su 120+ siti.

Estrazione metadata con ExifTool:

exiftool image.jpg -gps:all -system:all

Rivela coordinate GPS e info OS.

Per dark web, combina Ahmia con Tor Browser per query .onion: ahmia.fi/?q=yourquery. Monitora con SOCRadar API per alert realtime su breach.

Google Dorks avanzati: site:tuodominio.com ext:sql | ext:bak inurl:backup per file sensibili. Integra in SIEM via Splunk o ELK.

Automazione SpiderFoot:

spiderfoot -s example.com -m sfp_dns,sfp_whois -o json

Output JSON per parsing.

Scala con ELK Stack: Ingest OSINT data in Elasticsearch, visualizza in Kibana dashboard per threat hunting. Usa MISP per condividere IOC con community.

Testa su tua org: Shodan hostname:"tuodominio.com", HIBP API per employee email, crt.sh per subdomains nascosti. Rischi reali emergono subito, spingendo azioni concrete.

(Conta parole: 1250+)

Fonte: https://socradar.io/blog/osint-tools-for-cybersecurity-guide/