Open source intelligence (OSINT)

Open source intelligence (OSINT) is het verzamelen, verwerken en analyseren van informatie uit openbaar toegankelijke bronnen om bruikbare inlichtingen te produceren voor beveiligingsdoeleinden. Deze bronnen omvatten sociale media, publieke databases, nieuwssites, overheidsregisters, domeinnaam-registraties, technische metadata en alles wat zonder speciale toegang of hacking beschikbaar is op het publieke internet. In cybersecurity wordt OSINT zowel defensief ingezet, om de eigen digitale footprint en kwetsbaarheden in kaart te brengen, als offensief, bij penetratietesten en red team-operaties om aanvalsscenario's voor te bereiden. Volgens onderzoek is 43% van alle OSINT-gebruik gerelateerd aan cybersecurity, gevolgd door overheidsinlichtingen (27%) en bedrijfsbeveiliging (20%). Voor Nederlandse organisaties is OSINT relevant omdat aanvallers deze technieken gebruiken om doelwitten te verkennen voordat ze een gerichte aanval uitvoeren.

Waarom is OSINT belangrijk?

OSINT is belangrijk omdat aanvallers het actief gebruiken in de verkennningsfase van vrijwel elke gerichte cyberaanval. Voordat een aanvaller een phishing-campagne lanceert of een netwerk probeert binnen te dringen, verzamelt hij publiek beschikbare informatie over de doelorganisatie: namen en rollen van medewerkers via LinkedIn, technische infrastructuur via DNS-records en Shodan, e-mailformaten via websites en vacatureteksten, en organisatorische details via jaarverslagen en persberichten. Hoe meer informatie publiek beschikbaar is, hoe gerichter en overtuigender de aanval kan worden vormgegeven.

Defensief OSINT stelt organisaties in staat om te zien wat aanvallers over hen kunnen vinden en deze informatie te beperken of te beveiligen. Door regelmatig je eigen organisatie te onderzoeken met OSINT-technieken, ontdek je welke medewerkersinformatie publiek beschikbaar is, welke servers en services zichtbaar zijn op het internet, of er gevoelige documenten gelekt zijn, en of er onbekende subdomeinen of vergeten testomgevingen bereikbaar zijn die een aanvaller als ingangspunt kan gebruiken.

Voor compliance en risicomanagement is OSINT eveneens waardevol. Organisaties gebruiken OSINT voor het beoordelen van de beveiligingshouding van leveranciers en partners (supply chain risk assessment), het monitoren van mentions op het dark web waar gestolen credentials en bedrijfsdata worden verhandeld, en het vroegtijdig detecteren van dreigingen die specifiek gericht zijn op hun sector of industrie. Onder NIS2 wordt van organisaties verwacht dat ze hun dreigingslandschap actief monitoren, en OSINT is een effectief middel om aan deze verwachting te voldoen zonder afhankelijk te zijn van dure commerciële threat intelligence feeds.

Hoe pas je OSINT toe?

OSINT-onderzoek volgt een gestructureerd proces dat begint met het definiëren van de onderzoeksvraag: wat wil je weten en waarom? Zonder een duidelijke vraagstelling verdwaal je in de enorme hoeveelheid beschikbare data. Vervolgens identificeer je de relevante bronnen, verzamel je de data, analyseer je de resultaten op patronen en bruikbare inzichten, en rapporteer je de bevindingen aan de relevante stakeholders die actie moeten ondernemen op basis van je bevindingen.

Technische OSINT-bronnen voor cybersecurity omvatten DNS-registraties via WHOIS en DNS-lookup tools, certificaattransparantiebronnen die SSL-certificaten en bijbehorende domeinen tonen, Shodan en Censys die internetgekoppelde apparaten en services indexeren, en code repositories zoals GitHub waar ontwikkelaars soms per ongeluk API-sleutels, wachtwoorden of interne configuraties publiceren. Google dorking, het gebruik van geavanceerde zoekoperatoren, is een effectieve techniek om specifieke bestandstypen, inlogpagina's of gevoelige informatie te vinden die per ongeluk publiek toegankelijk is gemaakt op webservers.

Populaire OSINT-tools zijn Maltego voor het visualiseren van relaties tussen entiteiten zoals personen, domeinen en IP-adressen, Shodan voor het ontdekken van internetgekoppelde apparaten en hun kwetsbaarheden, TheHarvester voor het verzamelen van e-mailadressen en subdomeinen, en SpiderFoot voor geautomatiseerde verkenning die meerdere bronnen tegelijk bevraagt. Het OSINT Framework biedt een gestructureerd overzicht van honderden tools en bronnen, georganiseerd per categorie, dat OSINT-onderzoekers als startpunt gebruiken om de juiste tools te selecteren voor hun specifieke onderzoeksvraag en doelstelling.

Bij het uitvoeren van OSINT is het belangrijk om ethische en juridische grenzen te respecteren. OSINT beperkt zich tot publiek beschikbare informatie en mag nooit worden gecombineerd met hacking, social engineering of het omzeilen van toegangsrestricties om bij informatie te komen. In Nederland gelden aanvullende privacyregels onder de AVG die het verzamelen en verwerken van persoonsgegevens reguleren, ook als die gegevens publiek beschikbaar zijn op sociale media of andere platforms.

OSINT in de praktijk

Een concreet voorbeeld van defensief OSINT is het regelmatig scannen van je eigen organisatie op gelekte credentials. Tools zoals Have I Been Pwned en gespecialiseerde dark web monitoring services controleren of e-mailadressen en wachtwoorden van je medewerkers voorkomen in bekende datalekken. Als dat het geval is, kun je getroffen medewerkers direct instrueren om hun wachtwoorden te wijzigen en multi-factor authenticatie te activeren, voordat een aanvaller de gelekte credentials gebruikt om in te loggen op bedrijfssystemen.

Bij penetratietesten begint het verkenningsproces vrijwel altijd met uitgebreid OSINT-onderzoek. Een ethical hacker verzamelt via publieke bronnen informatie over de technische infrastructuur van de opdrachtgever: welke webservers draaien er, welke softwareversies worden gebruikt, welke e-mailadressen en telefoonnummers zijn te vinden, en welke medewerkers een interessant doelwit vormen voor een social engineering-aanval. Deze verkenning vormt de basis voor het ontwikkelen van realistische aanvalsscenario's die de werkelijke dreiging voor de organisatie zo goed mogelijk simuleren.

Threat intelligence teams gebruiken OSINT om dreigingen vroegtijdig te detecteren door dark web-fora, Telegram-kanalen en ondergrondse marktplaatsen te monitoren op vermeldingen van hun organisatie, sector of specifieke systemen. Als een aanvaller op een forum aankondigt dat hij credentials van een bepaalde organisatie te koop heeft, of als er een nieuwe exploit wordt besproken voor software die de organisatie gebruikt, kan het security-team proactief maatregelen nemen voordat de aanval daadwerkelijk wordt uitgevoerd en schade veroorzaakt.

Veelgestelde vragen over OSINT

Is OSINT legaal?

Ja, OSINT is legaal omdat het zich beperkt tot het verzamelen en analyseren van publiek beschikbare informatie. Het wordt pas problematisch wanneer de grenzen worden overschreden richting hacking, social engineering of het schenden van privacywetgeving. In Nederland gelden aanvullende regels onder de AVG voor het verwerken van persoonsgegevens, ook als deze publiek toegankelijk zijn.

Welke OSINT-tools zijn gratis beschikbaar?

Er zijn veel gratis OSINT-tools beschikbaar. Shodan biedt een gratis basistoegang, TheHarvester is volledig open source, het OSINT Framework is een gratis online overzicht van honderden bronnen, en Google dorking vereist alleen kennis van geavanceerde zoekoperatoren. Maltego heeft een gratis Community Edition met beperkte functionaliteit die voldoende is voor basisonderzoek.

Hoe bescherm je je organisatie tegen OSINT-verkenning?

Beperk de hoeveelheid gevoelige informatie die publiek beschikbaar is. Verwijder onnodige technische details van websites, beperk medewerkersinformatie op LinkedIn tot het noodzakelijke, gebruik privacy-beschermde domeinregistraties en scan regelmatig je eigen organisatie met OSINT-technieken om te zien wat aanvallers kunnen vinden.

Wat is het verschil tussen OSINT en threat intelligence?

OSINT is een verzamelmethode die publiek beschikbare bronnen gebruikt om informatie te verzamelen. Threat intelligence is breder en omvat ook niet-publieke bronnen zoals informatie van inlichtingendiensten, commerciële feeds en informatie uit incident response-onderzoeken. OSINT is een belangrijke input voor threat intelligence maar niet het hele plaatje.

Hoe lang duurt een OSINT-onderzoek?

Dat varieert sterk afhankelijk van de scope en diepgang. Een snelle verkenning van een organisatie duurt enkele uren. Een grondige analyse van de digitale footprint inclusief dark web monitoring, technische infrastructuur en medewerkersinformatie kan dagen tot weken in beslag nemen. Geautomatiseerde tools versnellen het proces aanzienlijk.

Breng je digitale footprint in kaart. Vergelijk Pentesting aanbieders op IBgidsNL.