labOPSEC. Что уходит с машины расследователя
Запрос к источнику сообщает ему предмет интереса. Безопасность расследования начинается с учета того, кто и что узнает при каждом действии.
OPSEC - безопасность операций: порядок, при котором противник не узнает из ваших действий больше, чем вы готовы ему отдать.
В расследовании по открытым источникам противником может оказаться не только тот, о ком расследование. Им может быть и поставщик данных, и хостинг, и сеть, и любой, кто читает журналы запросов.
Главное правило: запрос называет предмет интереса. Владелец открытого реестра видит, какую компанию искали, когда и с какого адреса. Этого хватает, чтобы посторонний узнал, чем занято расследование, даже если его выводы никто не видел.
Что уходит при каждом действии
- Запрос к источнику. Имя, адрес, идентификатор - все, что введено в поиск, остается у того, кто отвечает. По серии запросов восстанавливаются район и предмет работы.
- Запрос плитки карты. Запрос называет квадрат земли и масштаб. По серии плиток читается местность, которую рассматривали.
- Запрос к модели. Текст расследования целиком уходит поставщику модели. Это больше, чем квадрат карты или строка поиска.
- Ключ. Ключ доступа к источнику связывает все запросы в одну историю и привязывает ее к учетной записи.
- Сетевой адрес. По нему видны время, место и постоянство работы.
Порядок работы
- Ничего не включено по умолчанию. Каждый внешний источник включается отдельно, по каждому расследованию, и при включении названо последствие: что именно уйдет наружу.
- Данные остаются на машине. Записи, документы и состояние проверки хранятся локально. Наружу уходит только то, что включили.
- Кэш вместо повтора. Один и тот же вопрос поставщику не задается дважды. Повторный запрос - повторное сообщение о предмете интереса.
- Узкое окно. Глубина и срок запроса выбираются под задачу. Широкий запрос «на всякий случай» сообщает поставщику больше и возвращает шум.
- Свой узел, где это возможно. Собственный источник данных не сообщает о предмете интереса никому.
- Ключи не доходят до браузера и до журнала. Они лежат в файле окружения, не попадают в репозиторий и не печатаются.
- Сервис без аутентификации слушает только свою машину. Вынесенный на сетевой адрес, он отдает список адресов, которыми интересовались, любому, кто откроет страницу.
Что дает порядок работы
- Меньше сведений у поставщиков. При правильном порядке каждый поставщик узнает о предмете расследования меньше.
- Закрытый файл. Файл, переданный другому, закрывается парольной фразой, и прочитать его может только тот, кому ее сказали.
- Решение до начала работы. От кого защищаемся и чем готовы за это платить, решается заранее, и порядок работы выводится из этого решения.
Что пишется в отчет
У каждого внешнего источника, которым пользовались, в отчете названо, кто он, что получил и когда. Читатель отчета имеет право знать, какая часть расследования известна третьим лицам.