Domain-OSINT: verkkotunnuksen tutkiminen vastuullisesti

Verkkotunnus on hyödyllinen lähtöpiste organisaation digitaalisen ympäristön tutkimiseen. Sen kautta voi tarkastella verkkopalvelun teknisiä riippuvuuksia, julkista historiaa ja yhteyksiä muihin verkkotunnuksiin. Samalla vastaan tulee helposti harhaanjohtavia yhtäläisyyksiä: yhteinen IP-osoite tai nimipalvelin ei vielä tarkoita yhteistä omistajaa.

Domain-OSINT tarkoittaa verkkotunnuksiin liittyvien julkisten tietojen järjestelmällistä tutkimista. Hyvä lopputulos ei ole mahdollisimman suuri lista osoitteita, vaan rajattu vastaus tutkimuskysymykseen. Tässä oppaassa käydään läpi työnkulku, jolla tekniset havainnot pysyvät erillään omistajuutta ja toimintaa koskevista päätelmistä.

1. Rajaa domain-OSINT selkeään kysymykseen

Aloita päättämällä, mitä haluat selvittää. Verkkotunnuksen tausta, sähköpostin tekniset riippuvuudet ja historiallisen verkkosivun sisältö ovat eri tutkimustehtäviä. Niihin tarvitaan osittain eri lähteet ja erilaiset varaukset.

Käyttökelpoisia tutkimuskysymyksiä ovat esimerkiksi:

• Mitkä julkiset palvelut liittyvät organisaation ilmoittamaan verkkotunnukseen?
• Onko verkkotunnuksen teknisessä ympäristössä tapahtunut olennainen muutos?
• Mitä verkkotunnuksessa on julkaistu tiettynä ajankohtana?
• Tukeeko julkinen aineisto kahden verkkotunnuksen välistä yhteyttä?

Kirjaa myös rajaukset. Päätä etukäteen, ettet esimerkiksi etsi työntekijöiden henkilökohtaisia yhteystietoja tai testaa palveluiden haavoittuvuuksia. Julkisen aineiston tutkiminen ei itsessään anna lupaa kirjautumisyrityksiin, käyttörajoitusten kiertämiseen tai tekniseen tunkeutumiseen.

Määritä lopuksi lopetusehto. Kun tutkimuskysymykseen on riittävä vastaus tai lähteet eivät enää tuota olennaista lisätietoa, keruuta ei tarvitse jatkaa varmuuden vuoksi.

2. Varmista tutkittavan verkkotunnuksen muoto

Ennen taustahakuja tarkista, mitä osoitetta todella tutkit. Verkkotunnus, aliverkkotunnus ja kokonainen URL eivät tarkoita samaa asiaa. Osoitteessa `https://shop.example.com/polku` palvelimen nimi on `shop.example.com`, ja `example.com` on varatun esimerkkiverkkotunnuksen nimi.

Huomioi erityisesti samannäköiset merkit, kirjoitusvirheet ja kansainvälistetyt verkkotunnukset. Unicode-muotoinen nimi voi näyttää tutulta, vaikka sen tekninen ASCII-esitys on toinen. Tallenna tarvittaessa molemmat muodot, jotta myöhemmät haut kohdistuvat samaan nimeen.

Älä myöskään oleta, että rekisteröitävä verkkotunnus koostuu aina nimen kahdesta viimeisestä osasta. Julkisten päätteiden rakenne vaihtelee. Public Suffix List auttaa tunnistamaan rajan, mutta ei kerro verkkotunnuksen omistajaa.

Jos alkuperäinen URL sisältää tunnisteita tai käyttöoikeusavaimia, älä lähetä sitä sellaisenaan ulkopuoliseen analyysipalveluun. Pelkkä verkkotunnus riittää moniin taustahakuihin.

3. Tarkastele rekisteröintitietoja oikein

RDAP-palvelut ja saatavilla olevat WHOIS-tiedot voivat kertoa verkkotunnuksen rekisteröinnistä, rekisterinpitäjästä, tilakoodeista ja nimipalvelimista. Tietojen kattavuus riippuu verkkotunnuspäätteestä, rekisteristä ja tietosuojakäytännöistä.

Erota toisistaan rekisteri, verkkotunnusvälittäjä ja rekisteröijä. Tekninen tai hallinnollinen palveluntarjoaja ei välttämättä ole verkkosivustoa ylläpitävä organisaatio. Yksityisyyspalvelun yhteystiedot eivät puolestaan osoita varsinaista taustatahoa.

Päivämäärät vaativat huolellista tulkintaa:

• Luontipäivä ei välttämättä kerro palvelun tai organisaation perustamishetkeä.
• Päivityspäivä voi liittyä hallinnolliseen muutokseen, ei omistajan vaihtumiseen.
• Päättymispäivä ei yksin osoita, milloin verkkotunnus vapautuu rekisteröitäväksi.

Puuttuva rekisteröijätieto ei ole epäilyttävyyden merkki. Tietojen rajoittaminen voi johtua tavanomaisista tietosuojakäytännöistä. Myöskään uusi verkkotunnus ei yksin osoita haitallista toimintaa: ikä on taustatieto, ei luotettavuustuomio.

4. Lue DNS-tietoja teknisinä riippuvuuksina

DNS kertoo, miten verkkotunnuksen palveluita ohjataan. Tavallinen DNS-kysely on rajattu tapa selvittää nykyistä teknistä tilannetta, mutta se ei paljasta koko infrastruktuuria tai sen hallinnollisia vastuita.

Keskeisiä tietuetyyppejä ovat:

• A ja AAAA: nimeen liittyvät IPv4- ja IPv6-osoitteet.
• MX: verkkotunnuksen sähköpostin vastaanottoon osoitetut palvelimet.
• NS: verkkotunnuksen auktoritatiiviset nimipalvelimet.
• CNAME: nimen alias toiseen DNS-nimeen.
• TXT: tekstimuotoisia tietoja, kuten sähköpostikäytäntöjä ja palveluvahvistuksia.

Tallenna kyselyn aika ja käyttämäsi lähde. Välimuistit, maantieteellinen ohjaus ja kuormantasaus voivat vaikuttaa vastauksiin. TTL-arvo kertoo välimuistissa säilyttämisestä, ei tietueen iästä.

MX-tietue voi viitata ulkoiseen sähköpostipalveluun. CNAME voi osoittaa julkaisu- tai verkkokauppa-alustaan. Nämä ovat havaintoja palveluriippuvuuksista, eivät todisteita siitä, että palveluntarjoaja omistaisi tutkittavan verkkotunnuksen.

TXT-tietueen palveluvahvistus voi antaa vihjeen käytetystä palvelusta. Vanhentunut vahvistus saattaa kuitenkin jäädä näkyviin käyttösuhteen päätyttyä, joten nykyistä käyttöä ei pidä päätellä siitä yksin.

5. Hyödynnä varmennehistoriaa aliverkkotunnusten löytämiseen

Certificate Transparency -lokit voivat tuoda esiin nimiä, joita on sisällytetty julkisesti luotettuihin TLS-varmenteisiin. Niistä voi löytyä esimerkiksi palvelu-, ympäristö- tai aluekohtaisia aliverkkotunnuksia.

Lokimerkintä kertoo varmenteeseen liittyvästä tapahtumasta. Se ei todista, että nimessä olisi juuri nyt toimiva verkkopalvelu. Nimi voi olla poistunut käytöstä, varmenne vanhentunut tai palvelu tarkoitettu rajatulle käyttäjäjoukolle.

Myös jokerivarmenteet rajoittavat päätelmiä. Merkintä `*.example.com` ei luettele kaikkia olemassa olevia aliverkkotunnuksia. Vastaavasti yhden nimen puuttuminen hakutuloksista ei osoita, ettei nimeä olisi olemassa.

Käsittele löydettyjä nimiä tutkimusvihjeinä. Jos tutkimuksen rajaus sallii nykytilan tarkastamisen, aloita DNS-tiedoista. Älä siirry automaattisesti porttiskannaukseen, hakemistojen arvailuun tai kirjautumissivujen testaamiseen. Ne ovat eri toimintoja kuin julkisten lokien lukeminen.

6. Rakenna historiasta aikajana, älä yhtä tarinaa

Verkkoarkistot ja historialliset DNS-aineistot auttavat hahmottamaan muutoksia. Verkkotunnuksessa on voinut toimia eri aikoina kokonaan eri palveluita. Nykyinen sisältö ei siksi selitä automaattisesti menneitä tapahtumia.

Pidä erillään ainakin kolme aikaa: lähteen ilmoittama tapahtuma-aika, arkiston tallennusaika ja oma havaintoaikasi. Arkistokuva kertoo ensisijaisesti siitä, mitä arkistointipalvelu tallensi kyseisellä hetkellä. Sivulla näkyvä julkaisupäivä voi olla eri asia.

Historiallisen DNS-palvelun ensimmäinen havainto ei välttämättä ole tietueen todellinen käyttöönottopäivä. Se kertoo, milloin kyseinen aineistonkeruu havaitsi tietueen. Samoin viimeinen havainto voi heijastaa keruun kattavuutta eikä palvelun sulkemista.

Merkitse aikajanaan myös aukot. Jos aineistoa ei ole tietyltä jaksolta, älä täytä puuttuvaa osuutta oletuksella toiminnan jatkuvuudesta. Omistajuuden tai käyttötarkoituksen vaihtuminen on mahdollinen vaihtoehtoinen selitys.

7. Vältä yhteisen infrastruktuurin aiheuttamat väärät osumat

Domain-OSINTin tavallinen virhe on tulkita tekninen läheisyys organisatoriseksi yhteydeksi. Jaettu webhotelli, sisällönjakeluverkko ja nimipalvelu voivat palvella suurta joukkoa toisistaan riippumattomia asiakkaita.

Yhteinen IP-osoite on siksi yleensä heikko peruste omistajuuspäätelmälle. Sama koskee yhteistä verkkotunnusvälittäjää, sähköpostipalvelua tai valmista sivupohjaa. Usean tällaisen osuman yhdistäminen ei välttämättä vahvista päätelmää, jos kaikki johtuvat samasta alustavalinnasta.

Arvioi löydöksiä kysymällä:

• Voiko yhteys selittyä yleisesti käytetyllä palvelulla?
• Koskevatko havainnot samaa ajanjaksoa?
• Ovatko lähteet toisistaan riippumattomia?
• Löytyykö organisaation oma, selkeä ilmoitus suhteesta?

Kirjoita johtopäätös havaintojen vahvuisena. Ilmaus ”verkkotunnukset käyttivät havaintohetkellä samaa palveluntarjoajaa” on tarkempi kuin ”verkkotunnuksilla on sama omistaja”, jos aineisto osoittaa vain teknisen yhtäläisyyden.

8. Huomioi GDPR ja ulkopuoliset hakupalvelut

Verkkotunnuksen tutkimuksessa voi tulla vastaan henkilötietoja, kuten nimellisiä sähköpostiosoitteita tai yhteystietoja. Julkinen saatavuus ei poista GDPR:n vaatimuksia. Jos käsittelet henkilötietoja, arvioi käsittelyn tarkoitus, soveltuva oikeusperuste, tarpeellisuus ja säilytysaika.

Kerää vain tutkimuskysymyksen kannalta välttämättömät tiedot. Organisaation teknisten riippuvuuksien selvittäminen ei yleensä edellytä kaikkien löydettyjen henkilöyhteystietojen kopioimista. Rajoita myös aineiston käyttöoikeuksia ja huolehdi asianmukaisesta suojauksesta.

Selvitä lisäksi, mitä ulkopuolinen hakupalvelu tallentaa. Haut voivat paljastaa tutkimuskohteen, ja lähetetty URL tai tiedosto voi sisältää luottamuksellista tietoa. Osa analyysipalveluista voi julkaista lähetyksiä tai jakaa niitä muiden käyttäjien kanssa.

Pidä mielessä myös menetelmien näkyvyys. Kolmannen osapuolen tietokannan lukeminen eroaa suorasta vierailusta kohteen palveluun. DNS-kyselytkään eivät kaikissa tilanteissa ole kohteelle tai välittäville palveluille näkymättömiä. Valitse menetelmät tietoisesti tutkimuksen riskien mukaan.

Yhteenveto

Domain-OSINT on tehokkainta, kun verkkotunnusta tarkastellaan ajassa muuttuvana teknisenä kohteena. Rajaa kysymys, tarkista nimen muoto ja tutki rekisteröinti-, DNS-, varmenne- ja historiatietoja niiden omien rajoitusten puitteissa.

Älä muuta yhteistä infrastruktuuria omistajuusväitteeksi tai tiedon puuttumista epäilyksi. Hyvä lopputulos kertoo selvästi, mitä verkkotunnuksesta havaittiin, mitä siitä voidaan päätellä ja mikä jäi avoimeksi.