Quello dell’analista OSINT è un ruolo sempre più cruciale che cresce e cambia con il perfezionamento continuo degli strumenti disponibili e spinto anche dalla loro integrazione con i Large Language Model (LLM).
Prima di addentrarci nel ruolo specifico e nelle competenze che lo contraddistinguono, è opportuno definire cosa significa la sigla OSINT, ossia Open Source Intelligence oppure, in lingua amica, Intelligence da fonti aperte. Ha una natura neutrale ma l’uso di tecniche e strumenti OSINT si prestano sia ai criminal hacker, sia a chi si occupa di cyber defense.
Di fatto, OSINT rappresenta la raccolta di informazioni pubbliche per trarvi delle conclusioni. Non si tratta né soltanto di hackeraggio né solo di analisi tipiche dei servizi segreti: la discriminante sono i motivi per i quali i dati vengono collezionati e l’uso che se ne fa.
Indice degli argomenti
Cos’è l’OSINT
È il processo che include la raccolta, la validazione, l’analisi e la diffusione di informazioni accessibili e provenienti da fonti aperte come il web, i social media, i social network, i database pubblici, le immagini satellitari e altre ancora.
Le tecniche OSINT vengono usate da ricercatori e da enti ed entità governative (tra queste anche quelle dedite alle investigazioni). Le imprese private ne fanno uso con l’obiettivo di supportare i processi decisionali e, non di meno, l’analista OSINT si ritagli spazio tra le professioni della cyber security.
Abbiamo raggruppato le tecniche più diffuse nel grafico qui sotto. Cliccando sui cerchi si ottiene il dettaglio di alcune tra le tecnologie attualmente al servizio dell’OSINT.
Tutte pratiche messe in atto nel rispetto delle norme sulla privacy perché, come scritto sopra, per sua natura l’OSINT non è malevolo e, quando ci si muove nei meandri della cyber security, la privacy è materia di cui tenere conto.
OSINT, un esempio
Prima di calarci nella cyber security, facciamo esempio elementare della filosofia OSINT riconducibile alle organizzazioni durante la fase di assunzione di personale.
Ogni candidato può essere passato al vaglio cercando il suo nome sui motori di ricerca, controllando i suoi profili social per capire quali opinioni sostiene e in che modo le comunica, esaminare le foto che pubblica per avere informazioni sui luoghi e sulle persone che frequenta e come si comporta. È una forma embrionale di OSINT, un esempio generico che spiega in modo superficiale la portata di ciò di cui stiamo parlando.
Entriamo ora nelle specificità del ruolo dell’analista OSINT.
Chi è e cosa fa l’analista OSINT
Come anticipato, quello dell’analista OSINT è un ruolo sempre più centrale nella sicurezza, nell’intelligence, nelle aziende ma anche per le forze dell’ordine, per gli enti governativi e per molte realtà, non ultima quella del giornalismo.
L’analista OSINT è un professionista capace di cercare, filtrare, verificare e collegare tra loro informazioni accessibili pubblicamente per estrarne valore (oppure indizi e prove) senza mai penetrare sistemi chiusi e senza mai commettere reati.
Le informazioni acquisite devono essere passate al vaglio per constatarne l’affidabilità e la rilevanza e devono in seguito essere esaminate con lo scopo di identificare comportamenti, modelli e tendenze. Un compito questo molto affine all’analisi dei dati che accomuna tutte le professioni della cyber security.
Quale che sia il contesto nel quale opera, il suo ruolo funge da collegamento tra le informazioni e chi deve usarle per prendere decisioni.
Per riassumere i suoi compiti principali, riprendendo quelli già citati, si può dire che l’analista OSINT segue queste attività:
- Raccolta e filtraggio dei dati da fonti pubbliche
- Analisi dei dati per collegarli tra loro, scoprire anomalie, modelli ma anche per ricostruire timeline
- Geolocalizzazione, attraverso la validazione di immagini e video (quindi metadati e coordinate) per determinare quando, dove e come si è verificato un evento
- Monitoraggio continuo delle fonti dei dati
- Redazione di reportistica che sia comprensibile a tutte le parti coinvolte.
Il dominio dell’analista OSINT è però molto più ampio di così.
In quali ambiti lavora un analista OSINT
Per circoscrivere ulteriormente il vasto emisfero dell’analista OSINT elenchiamo i principali settori nei quali può trovare impiego:
- Cyber security: prevenzione di minacce e leak, identificazione di cyber criminali
- Forze dell’ordine: identificazione di criminali e movimenti clandestini
- Organizzazioni non governative: documentazione di abusi, osservazione e documentazione di emergenze o di crisi
- Geopolitica: esame delle situazioni di instabilità e dei conflitti sul piano internazionale
- Giornalismo: indagini, verifiche delle fonti, fact-checking
- Imprese generiche: analisi della reputazione (anche della cyber reputation), analisi della concorrenza e gestione di un nutrito elenco di rischi
La trasversalità delle possibilità di ingaggio degli analisti OSINT è ampia e questo significa che può trovare impiego tanto nelle organizzazioni private quanto in quelle pubbliche.
OSINT e cyber security
Quanto abbiamo scritto fino a qui restituisce in modo parziale l’attinenza tra il mondo OSINT e la cyber security propriamente detta.
Entrando in profondità, va sottolineato che le tecniche OSINT sono strategiche nei SOC e, in particolare, nei processi di threat intelligence e nelle attività di penetration testing.
La natura proattiva delle tecniche OSINT, infatti, si sposa con l’analisi preventiva delle minacce, con la difesa delle infrastrutture IT e coadiuva la risposta agli incidenti.
Ovvero, l’OSINT garantisce una visione d’insieme sia sulle vulnerabilità interne a un’organizzazione sia sul panorama esterno delle minacce e della loro evoluzione.
Per riassumere in una frase l’importanza dell’OSINT nel contesto della cyber security, si può dire che, con il progressivo liquefarsi dei perimetri aziendali, la possibilità di guardare al di fuori della rete diventa strumento sinergico per ampliare il raggio delle tecnologie di difesa canoniche.
Così, avere un occhio aperto su ciò che accade sul dark web, sui social e su altre risorse online ha effetto benefico se non persino salvifico.
Fare di un’arma difensiva ciò che è sotto gli occhi di tutti è un vantaggio per chi sa cosa osservare e come osservarlo.
I vantaggi e gli svantaggi dell’OSINT nella cyber security
Qualsiasi tecnica o strumento porta con sé vantaggi e non è immune da criticità. Tra gli atout maggiormente spendibili figurano:
- Accessibilità e costi dei dati: poiché le informazioni sono pubbliche, la loro raccolta è per principio più semplice e il loro costo è tendente allo zero
- Monitoraggio in tempo reale: è possibile monitorare contesti e andamenti (per esempio le minacce emergenti) in tempo reale e costante
- Aiuto decisionale: la pianificazione strategica della sicurezza trova giovamento nei risultati forniti dalle analisi OSINT.
Va citato anche l’ampia quantità di dati che è possibile raccogliere che, tuttavia, costituisce anche un elemento negativo: se da una parte avere più dati consente di evincere indicazioni più precise, dall’altra parte occorre considerare che una grande quantità di informazioni rende più complessa un’analisi sia dal punto di vista della qualità dei dati, sia dal punto di vista della velocità di esecuzione.
Questo porta agli svantaggi intrinseci nell’OSINT:
- Affidabilità: le fonti aperte non sono sempre attendibili. Occorre passare al vaglio i dati raccolti per certificarne l’autenticità e la veridicità
- Etica: la raccolta, l’elaborazione e l’uso di dati pubblici può sollevare obiezioni di tipo etico e, in alcuni casi, anche legali.
I limiti dell’OSINT, tuttavia, non sono sufficienti a screditare o a metterne in ombra la necessità nel panorama della cyber security.
Un esempio di OSINT in ambito cyber security
Prendiamo spunto da un ipotetico attacco phishing che, suo malgrado, vede implicata un’organizzazione.
L’analista OSINT può monitorare le piattaforme social per identificare un uso improprio del nome dell’azienda e, sempre grazie a strumenti appositi, può esaminare i domini web per scovare quelli registrati con nomi simili a quelli dell’organizzazione.
Parallelamente, scandagliando forum sul dark web, può individuare segnali e discussioni che portano a scoprire potenziali attacchi e anche la vendita di dati e credenziali compromesse.
Le informazioni raccolte, oltre a permettere all’azienda di attivare misure preventive, consentono anche di sensibilizzare i dipendenti sulle possibili minacce.
Quali competenze deve avere l’analista OSINT
Chi si occupa di analisi OSINT deve avere competenze diverse e trasversali. Per semplicità, le abbiamo separate in due gruppi, tra le competenze tecniche e le cosiddette soft skill.
Tra le competenze tecniche vanno segnalate per importanza:
- Conoscenze di cyber security
- Uso di tool OSINT (dei quali parleremo più avanti)
- Ricerca avanzata sul web e sulle piattaforme social
- Geolocalizzazione e verifica immagini
- Conoscenze legali e in materia di privacy
Le soft skill, pure trasversali, vedono spiccare:
- Pensiero analitico e pensiero critico
- Curiosità e costanza
- Attenzione al dettaglio
- Capacità comunicative
- Etica
Entrando più nel dettaglio, va da sé che l’analista OSINT deve sapere usare modalità avanzate di ricerca sul web, sapere attingere a database specializzati e deve sapere come muoversi tra piattaforme sociali, forum e tutte le risorse internet che si prestano alla raccolta di dati.
Queste capacità di ricerca devono estendersi anche al tracciamento di attività sospette, profili falsi, e contenuti nascosti su piattaforme social e nel dark web.
Altra competenza di rilievo è la capacità di valutare la pertinenza e l’affidabilità delle fonti aperte.
Questo comporta anche la conoscenza approfondita dei contesti geopolitici e culturali che possono avere ricadute sulle attività di gruppi di cyber criminali, a partire di quelli che agiscono per conto di Stati canaglia.
A corredo di ciò, e qui le competenze tecniche si miscelano con quelle soft, l’analista OSINT deve conoscere le norme sulla privacy e sul diritto d’autore ed esercitare le leve etiche che, tra le altre cose, delimitano i principi legali dell’uso delle informazioni accessibili pubblicamente.
L’esercizio del ragionamento critico e analitico è anche parte integrante delle competenze: sapere collegare dati disparati e diversi tra loro, scovare anomalie e pattern e formulare ipotesi sono doti imprescindibili, così come è imprescindibile la capacità di redigere documentazione comprensibile anche ai non addetti al lavoro.
Le competenze in cyber security, anch’esse fondamentali, consentono all’analista OSINT di fare ricerche contestualizzate alla natura stessa della sicurezza aziendale, oltre a permettergli di dialogare con gli altri membri del SOC.
Altrettanto importanti sono le conoscenze degli strumenti e delle tecnologie OSINT.
I percorsi di studio e formazione dell’analista OSINT
La professione dell’analista OSINT non è legata a un percorso universitario peculiare, ciò significa che sono diverse le carriere scolastiche compatibili.
Tra queste rientrano i corsi di laurea in Scienze informatiche o in Ingegneria informatica, alle quali si affiancano Scienze della sicurezza, Scienze della comunicazione e anche Scienze politiche oppure Diritto delle nuove tecnologie.
L’elenco è vasto, a fare la differenza è soprattutto la formazione settoriale.
La formazione specifica
Il SANS Institute offre percorsi di studio OSINT orientati alle tecniche di raccolta dei dati e all’uso degli strumenti più appropriati.
L’analisi e la valutazione delle fonti è trattata in modo approfondito e gratuito dalla Dakota State University.
Le tecniche di ricerca e di raccolta dei dati da risorse web e internet – così come l’acquisizione di altre tecniche OSINT – sono affrontate in modo esaustivo da Class Central che riporta una nutrita offerta di formazione gratuita e a pagamento.
Ai corsi di cyber security che abbiamo elencato in questo articolo, si aggiunge la certificazione SANS SEC487.
L’OSINT per la cyber security trae vantaggio dai corsi specialistici in Cyber threat intelligence, nell’analisi dei dati e nell’uso dei linguaggi di programmazione.
I tool OSINT più diffusi
Qui sotto, racchiusi in una tabella, alcuni link ai tool OSINT più diffusi e adatti anche alla cyber security. Gli strumenti disponibili sono molti perché il mercato offre soluzioni per qualsiasi ambito applicativo.
Al di là delle risorse tecniche, ci sono pagine web e forum che trattano il tema dell’OSINT a 360 gradi. Tra queste, il sito OSINTCurio.us merita una menzione particolare per accuratezza e per il canale YouTue correlato. La pecca c’è: è aggiornato a ritmi blandi ma i contenuti sono comunque molto validi.
Il mercato italiano per gli analisti OSINT
Dando un’occhiata ai portali specializzati (qui Indeed.com e qui Osint-jobs.com) balza subito all’occhio l’eterogeneità delle richieste del mercato del lavoro.
Le posizioni aperte, pure non essendo numericamente elevate, riguardano per lo più grandi realtà aziendali, ossia quelle nei cui organigrammi c’è spazio per le professioni della cyber security se non persino per un SOC vero e proprio.
Con il diffondersi della cyber cultura, anche l’analista OSINT incarnerà una professione vieppiù ambita.
