定向攻击往往始于一次搜索。黑客会搜寻员工职位、点名贵公司所用工具的招聘帖、暴露的电子邮件地址或旧子域名等信息。孤立来看，这些细节似乎并不危险。但攻击者会有意收集许多细小的线索和信息碎片，用来构建一封令人信服的网络钓鱼电子邮件活动、虚假登录页面或冒充电话。

开源情报（OSINT）能将公开信息转化为更具针对性的攻击准备。您的 OSINT 企业安全策略就是企业保护自身的方式。对企业而言，挑战是双重的：既要审计已经公开的信息，又要首先了解哪些信息已经存在，然后判断哪些公开细节有助于客户、候选人和合作伙伴，哪些则在暗中帮助攻击者摸清您的人员、工具、凭证和访问点。

OSINT 在网络安全中的含义

在网络安全语境中，OSINT 是指利用公开可获取的信息来识别可能的攻击路径。这些信息可能来自搜索引擎、社交媒体、公司网站、招聘网站、公共代码仓库，以及其他无需侵入系统即可获取的来源。

攻击者利用 OSINT 来回答关于企业的实际问题，例如：

  • 这里有哪些人工作？
  • 谁负责审批付款？
  • 公司使用哪些工具？
  • 电子邮件格式是什么样的？
  • 哪些供应商或客户是可信的？
  • 哪些帐户可能已经暴露？
  • 哪些系统面向互联网？

OSINT 为黑客提供了让攻击显得可信的详细信息。普通的诈骗只是要求采取行动，而经过调研的诈骗则针对特定个人，由他们认识或有理由信任的人发送，并提及真实的工作项目或非公开信息。

英国《2024 年网络安全违规调查》（新窗口）⁠发现，半数英国企业报告称在过去 12 个月内发现了网络安全违规或攻击。网络钓鱼仍然是受影响企业中最常见的违规或攻击类型。OSINT 与网络钓鱼并不相同，但它是黑客可以用来让网络钓鱼更具说服力、更难被员工忽视的一项资产。

攻击者能了解到关于您企业的哪些信息

黑客使用各种不同的方法来收集信息。以下是一些最常见且最有效的路径。

成员

LinkedIn、公司简介页面、会议议程、播客、网络研讨会和媒体报道可以泄露姓名、职位、汇报关系、资历、位置和职责范围。这有助于攻击者选择冒充谁、向谁施压。

例如，攻击者如果知道 CFO 的姓名、公司的电子邮件格式以及财务团队当前使用的软件，就能构建一条比普通垃圾邮件显得不那么泛泛的消息。该请求可能会提及真实供应商、提到企业内部存在的付款流程，或在团队正期待与发票相关沟通的时机发出。这些信息都不需要访问私有系统。

工具

招聘信息通常会提到候选人需要了解的平台：CRM、薪资工具、帮助台软件、分析平台、协作工具和开发者环境。公开评价、案例研究、集成和员工档案可以泄露更多信息。

工具暴露有助于攻击者量身定制网络钓鱼借口。一封写着“您的帐户已被标记”的网络钓鱼电子邮件并不令人信服，但一条点名团队所用确切 CRM、HR 系统或协作工具的消息则很有说服力。

技术足迹

子域名、暴露的服务、证书记录、旧测试环境和配置错误的登录页面可以泄露企业在线系统所在的位置。攻击者还可能寻找包含旧凭证、API 密钥、内部网址或开发期间意外提交的配置文件的公共仓库。

违规数据

在以往违规事件中暴露的电子邮件地址、用户名、密码、电话号码以及其他个人或业务详细信息，都可能成为后续攻击的原材料。Proton 的数据泄露观察站⁠展示了泄露数据在原始事件之后如何继续产生风险，尤其是当凭证、联系人详情和员工信息可以被关联回企业时。

OSINT 如何助长定向攻击

当攻击者利用收集到的数据构建可信故事时，OSINT 就变得危险了。设想一家企业发布了员工简介、列出了客户标识、在招聘广告中提到了近期的 CRM 迁移，并使用可预测的电子邮件格式。一名财务员工随后收到一条看似来自高层领导的消息，提及真实供应商，并要求紧急付款支持。这封电子邮件只需包含足够多的熟悉细节，就能降低怀疑。

同样的模式也适用于凭证攻击。攻击者在违规数据中发现了某员工的业务电子邮件，在 LinkedIn 上看到此人从事运营工作，并从招聘信息中得知公司使用某一特定的 SaaS 平台。接下来的网络钓鱼消息可以模仿该平台，并使用与员工角色相符的语言。

电话诈骗也可能受 OSINT 影响。来电者如果知道公司的 IT 服务商、某部门负责人的姓名或项目的时机，听起来就很可信。这就是 OSINT 与社会工程交织在一起的原因：公开信息为攻击者提供了实时操纵他人所需的信心和细节。

企业可能将最终攻击体验为网络钓鱼、语音钓鱼、帐户接管、发票欺诈或凭证窃取。而铺垫工作可能自始至终都是 OSINT。

泄露的凭证也是 OSINT

违规数据常常被讨论为直接的帐户接管风险：当密码泄露时，攻击者可以在多个入口点尝试使用。这仍然是一个严重问题，尤其当员工在多个服务中重复使用密码时。

但泄露的凭证还可以帮助攻击者了解帐户背后的企业。暴露的电子邮件地址可能确认员工使用过哪些服务，而旧密码、电话号码和重复出现的公司域名可以为未来的网络钓鱼、语音钓鱼或帐户接管尝试增添背景信息。违规可能发生在别处，但这些信息仍能帮助攻击者更准确地描绘您的团队。

Proton 的数据泄露观察站强调了暴露数据如何助长网络钓鱼、凭证攻击和更广泛的社会工程。它还强调，在首次违规被报告后，泄露数据并不会对攻击者失去用处。这些数据可以被重复使用、组合和重塑，用于未来的定向攻击。

监控暴露的企业电子邮件和凭证，可以帮助组织看到比需要更改的密码更多的东西。它可以揭示员工在何处使用了工作地址、哪些服务可能与企业相连，以及同一身份是否出现在多个泄露事件中。

这一点至关重要，因为攻击者可以重复利用信息，不仅用来尝试旧密码，还能让未来的网络钓鱼、语音钓鱼或冒充尝试显得更具体。泄露的凭证很少只是孤立的凭证。它可以成为使下一次攻击更有效的背景调研的一部分。

减少攻击者能从公开来源了解到的信息

没有企业能将自身从公众视野中完全移除，这也不应是任何人的目标。客户、候选人和合作伙伴仍需要足够的信息来了解您是谁以及如何与您合作。

风险在于发布超出这一目的的详细信息：内部工具名称、直接联系方式、审批工作流或技术线索，这些都会让攻击者更清晰地了解企业的运作方式。

  • 从面向公众的信息入手。审查公司页面、团队简介、新闻稿、案例研究、帮助中心文章、招聘信息、社交媒体帖子和公开文档。寻找那些泄露内部系统、审批流程、访问路径或敏感工作流的细节。
  • 招聘信息值得特别关注。候选人可能需要了解他们将使用的工具的大致类别，但公开广告并不总需要点名每一个 SaaS 平台、安全产品、CRM、支付工具、云提供商或内部工作流。工具列表越具体，就越容易伪造登录提示、支持消息或供应商请求。
  • 员工信息也需要平衡。资历、角色和专业知识可能适合分享，但直线电话号码、个人详细信息、出行规律、内部项目名称或不必要的汇报结构细节，会给攻击者提供更多可乘之机。
  • 公共代码仓库应定期审查。旧项目、测试文件、文档或配置示例可能包含本不应公开的机密。即使凭证已过期，内部网址、命名惯例和服务引用仍能帮助攻击者了解环境。

降低攻击者所发现信息的价值

OSINT 将始终存在，因为企业需要保持可见。目标是减少可获取的不必要信息量，并限制攻击者利用所发现细节能做的事情。

公开信息是减少不必要暴露的第一道防线。招聘广告、公司简介、员工页面、仓库、子域名和旧文档应给人们提供足够的背景来信任和了解企业，而不是详细展示其幕后的运作方式。当内部工具名称、技术线索或流程细节不需要公开时，最好不让它们出现在视野中。

凭证控制同样重要。暴露的电子邮件地址和泄露的密码是最容易转化为行动的 OSINT 信号之一。唯一密码、MFA、通行密钥、安全共享、违规监控和受控访问都能让侦察变得不那么有用。

在不发布路线图的情况下审查您的技术足迹

技术暴露面也是 OSINT 的一部分。域名、子域名、登录门户、云服务、开发环境、应用程序接口端点以及公共代码库，都能帮助攻击者了解企业如何在线构建其架构。

定期审查有助于区分哪些是有意公开的信息，哪些是发布后又被遗忘的内容。旧的暂存页面、未使用的子域名、默认服务界面、过时的文档、暴露的配置说明，以及包含内部引用的公共代码库，可能看起来并不紧急，但它们会让侦察变得更容易。

许多修复措施很简单：移除旧页面、限制访问、更新文档、轮换已暴露的机密，或将内部详细信息移出公共代码库。其他发现可能只需要明确负责人，并给出继续保持可见的理由。公开暴露就成为一种决策，而不是疏忽。

将 OSINT 检查纳入安全常规流程

OSINT 暴露并非一成不变。每当企业发布新内容、改变工作流程、招聘某个职位、启动项目、出现在供应商页面上，或员工数据在泄露事件中暴露时，它都会增长。每次更新单独来看似乎无害，但随着时间推移，它可以让攻击者更清楚地了解公司的人员、工具、关系和访问点。

一套简单的检查和审查流程会有所帮助：

  • 每季度审查面向公众的业务信息
  • 在发布招聘信息前，检查其中是否包含不必要的工具或工作流程详细信息
  • 监控企业电子邮件地址的泄露暴露情况
  • 审查公共代码库和暴露的服务
  • 询问部门负责人，是否有任何公开信息泄露了敏感流程或访问模式。

在信息公之于众前，总应该有人问：这是否会帮助攻击者制造更有说服力的消息、电话或登录尝试？

使用别名，让凭证更难被关联

电子邮件别名有助于减少攻击者跨服务关联的信息量。当每项服务都使用同一个电子邮件地址时，就更容易关联帐户、搜索泄露数据、猜测登录门户，并建立员工或企业的画像。

对于某些业务流程，标准电子邮件地址是必要的。员工需要稳定的身份来开展工作、服务客户和协作。但别名可用于注册、新闻通讯、试用、供应商测试、活动，或不需要个人主要企业地址的服务。

电子邮件别名很有用，因为它们可以将攻击者原本会关联到同一名员工、团队或企业地址的帐户分隔开。它们还可以让暴露更容易追踪。当为某个供应商创建的别名开始收到不相关的登录尝试或网络钓鱼消息时，企业就能更清楚地判断该地址可能在哪里暴露。

别名与企业密码管理器（例如 Proton Pass for Business）搭配使用时效果最佳。每个帐户仍然需要唯一的密码、受控的存储空间和明确的归属。没有这种结构，别名就会变成员工需要自行管理的另一种手动习惯。

使用 Proton Pass for Business 管理 OSINT

像 Proton Pass for Business 这样的企业密码管理器，可以通过凭证健康状况功能帮助您监控泄露并保护网络。使用 Proton Pass for Business⁠，团队可以创建唯一密码，将它们存储在已加密的密码保险库中，使用自动填充，安全分享凭证，管理通行密钥，并使用内置的双因素身份验证 (2FA)。

管理员功能（例如策略、报告、日志、基于角色的访问控制，以及SCIM 预配和 SSO 集成）可帮助企业在发展过程中更可控地管理凭证访问。

企业密码管理器并不能消除 OSINT 暴露，但它可以让攻击者找到的信息变得没那么有用。当凭证唯一、存储在已加密的保险库中、通过经批准的共享空间分享，并受到双重验证或通行密钥保护时，泄露的密码或令人信服的虚假登录页面就更难转化为更广泛的访问权限。它还为员工提供了一条更清晰的规则：企业凭证应保留在密码管理器内，而不是电子邮件、聊天、电子表格或电话交谈中。

攻击者仍然会研究你的企业。问题在于他们能了解到多少、掌握的情况有多准确，以及能利用这些信息走多远。

使用企业密码管理器⁠，降低企业凭证暴露。