OSINT e Cyber Intelligence: dal dato all’intelligence utilizzabile
L’OSINT non è semplicemente cercare informazioni su Internet. La Cyber Intelligence non consiste nell’accumulare indicatori, alert e dashboard.
Il valore nasce quando le informazioni vengono verificate, correlate e contestualizzate fino a diventare conoscenza utile per comprendere una minaccia, ricostruire uno scenario o supportare una decisione.
È nel punto in cui la ricerca finisce e comincia l’analisi che lavoro.
Mi occupo di OSINT, Cyber Intelligence e Threat Intelligence applicate all’analisi delle minacce, alla ricostruzione di identità e infrastrutture digitali, all’esposizione informativa, ai contesti cybercriminali e alla valutazione del rischio.
L’obiettivo non è raccogliere più dati.
È capire quali dati contano, quanto sono affidabili e cosa significano insieme.
In breve
OSINT (Open Source Intelligence) è il processo di raccolta, verifica e correlazione di informazioni provenienti da fonti aperte e legittimamente accessibili. La Cyber Intelligence integra questi dati con indicatori tecnici, infrastrutture, identità digitali, comportamenti e contesto per trasformarli in informazioni utili alla comprensione di minacce e scenari.
Michaela Odderoli applica OSINT, Cyber Intelligence e Threat Intelligence all’analisi delle minacce, alla ricostruzione di identità e relazioni digitali, all’analisi di infrastrutture, data leak, credential exposure, dark web e rischio cyber. Il metodo distingue evidenze, correlazioni, assessment e ipotesi, attribuendo alle conclusioni un livello di affidabilità utile a supportare decisioni tecniche e strategiche.
OSINT: dalla ricerca alla raccolta strutturata
L’Open Source Intelligence utilizza informazioni provenienti da fonti aperte e legittimamente accessibili.
Motori di ricerca, registri pubblici, social network, domini, infrastrutture Internet, repository, archivi web, documenti, immagini, metadata e fonti geografiche possono restituire frammenti apparentemente indipendenti.
Trovarli è soltanto il primo passaggio.
Occorre stabilire se siano autentici, aggiornati, indipendenti tra loro e realmente collegati all’oggetto dell’analisi.
Per questo un’attività OSINT strutturata comprende:
- definizione della domanda investigativa;
- individuazione dei requisiti informativi;
- selezione e raccolta delle fonti;
- verifica e cross-validation;
- correlazione temporale e relazionale;
- analisi delle anomalie e delle incongruenze;
- formulazione dell’assessment;
- attribuzione di un livello di affidabilità alle conclusioni.
Una fonte può essere vera ma irrilevante.
Due fonti apparentemente indipendenti possono derivare dalla stessa informazione originaria.
Un’identità digitale può esistere senza appartenere alla persona alla quale sembra riferirsi.
È la correlazione a trasformare il dato in intelligence.
Cyber Intelligence: comprendere il contesto della minaccia
Nel dominio cyber gli indicatori tecnici rappresentano soltanto il primo livello dell’analisi.
Un indirizzo IP, un dominio, un hash, un account, una vulnerabilità, una credenziale compromessa o un’infrastruttura esposta raccontano qualcosa.
Presi singolarmente, raramente raccontano abbastanza.
La Cyber Intelligence cerca quindi di rispondere alle domande successive:
A quale attività appartiene questo indicatore?
Quali altri elementi sono collegati?
Si tratta di un evento isolato o di una campagna?
Quali capacità mostra l’attore?
Quale potrebbe essere l’obiettivo?
Quanto è concreta la minaccia per il perimetro analizzato?
L’analisi mette in relazione infrastrutture, identità, cronologie, comportamenti, tecniche operative, campagne precedenti e informazioni provenienti da ecosistemi differenti.
Il passaggio fondamentale è quello dall’indicatore al contesto e dal contesto alla decisione.
Threat Intelligence: comprendere come opera l’avversario
La Threat Intelligence approfondisce tecniche, modalità operative ed evoluzione delle minacce.
L’analisi può riguardare:
- Indicator of Compromise;
- domini e infrastrutture ostili;
- phishing e social engineering;
- credential exposure;
- data leak;
- ransomware e cyber extortion;
- malware e infrastrutture di distribuzione;
- impersonificazione;
- threat actor;
- tattiche, tecniche e procedure;
- evoluzione delle campagne nel tempo.
Framework come MITRE ATT&CK consentono di organizzare e confrontare tattiche e tecniche osservate.
Ma classificare una tecnica non equivale a produrre intelligence.
Un framework descrive ciò che è stato osservato.
L’analisi deve ancora stabilire perché quell’elemento è rilevante, con cosa è correlato e quali conseguenze può avere.
Dal livello tecnico a quello strategico
Non tutta l’intelligence risponde alla stessa domanda.
A livello tecnico interessano indicatori, artefatti, infrastrutture e comportamenti osservabili.
A livello operativo interessano campagne, attori, modalità d’azione, obiettivi e possibili evoluzioni.
A livello strategico interessa comprendere come una minaccia possa modificare il rischio per un’organizzazione, un settore o uno scenario.
Lo stesso dato può quindi assumere significati differenti.
Un IoC può consentire a un SOC di individuare un evento.
Una correlazione tra infrastrutture può contribuire alla ricostruzione di una campagna.
L’evoluzione della stessa campagna può diventare informazione strategica per chi deve decidere dove concentrare risorse e difese.
L’intelligence utile è costruita per una decisione, non per riempire un report.
Identità digitali e analisi relazionale
Nickname, indirizzi email, domini, profili social, immagini, metadata, registrazioni pubbliche, cronologie e comportamenti online possono lasciare tracce apparentemente scollegate.
L’analisi deve stabilire se quelle tracce siano realmente correlate.
La coincidenza di un nickname non dimostra un’identità.
La presenza di una fotografia non prova automaticamente luogo, data o autore.
Un account riconducibile a un indirizzo email non dimostra da solo chi lo abbia controllato in un determinato momento.
Le attribuzioni richiedono quindi indicatori indipendenti, coerenza temporale e verifica di ipotesi alternative.
Un errore di attribuzione può essere più dannoso di un’informazione mancante.
Dark web: una fonte, non una scorciatoia
Il dark web è una componente dell’ecosistema informativo e può diventare rilevante nell’analisi di cybercrime, ransomware, data leak, credential exposure e attività criminali.
Forum, leak site, marketplace e canali di comunicazione possono fornire informazioni importanti.
Ma una fonte nel dark web rimane una fonte.
Una rivendicazione non dimostra automaticamente una compromissione.
Un database pubblicato non prova necessariamente la provenienza dichiarata.
Un nickname non identifica automaticamente chi lo utilizza.
Le informazioni raccolte devono quindi essere verificate e correlate con fonti provenienti da altri ambienti.
Il fattore umano nella Cyber Intelligence
Non tutte le superfici di attacco sono tecniche.
Ruoli aziendali, relazioni professionali, esposizione sui social network, tecnologie utilizzate e informazioni organizzative possono fornire a un attaccante il materiale necessario per costruire campagne di social engineering molto credibili.
Osservare un’organizzazione dall’esterno permette di comprendere anche ciò che potrebbe vedere un avversario:
chi prende determinate decisioni;
quali relazioni possono essere sfruttate;
quali informazioni sono pubblicamente esposte;
quali tecnologie vengono utilizzate;
quale pretesto potrebbe risultare credibile.
La sicurezza protegge ciò che conosce.
L’intelligence cerca anche ciò che il perimetro non sa di esporre.
Dall’evidenza all’assessment
Un’analisi deve rendere chiaramente distinguibile ciò che è stato osservato da ciò che viene dedotto.
Per questo separo:
Evidenze
Elementi direttamente osservabili e verificabili.
Correlazioni
Relazioni sostenute da più indicatori coerenti.
Assessment
Valutazioni costruite sull’insieme delle informazioni disponibili.
Ipotesi
Spiegazioni plausibili che necessitano ancora di conferme.
A questi elementi si aggiunge il livello di confidence attribuito alla valutazione.
Possibile, probabile e dimostrato non sono sinonimi.
L’intelligence deve consentire a chi decide di comprendere anche quanto sia solida una conclusione.
Dove può essere applicata
OSINT e Cyber Intelligence possono supportare, tra gli altri:
- threat assessment;
- due diligence;
- ricostruzione di identità e relazioni digitali;
- analisi dell’esposizione aziendale;
- impersonificazione e frodi;
- credential exposure e data leak;
- campagne ransomware;
- analisi di infrastrutture;
- supporto durante incidenti informatici;
- analisi reputazionale;
- valutazione di minacce rivolte a persone o organizzazioni;
- ricostruzione di scenari complessi.
Il punto di partenza rimane sempre lo stesso:
qual è la domanda alla quale dobbiamo rispondere?
Senza una domanda definita, anche una quantità enorme di informazioni rimane rumore.
Il mio approccio
Sono Michaela Odderoli, cybersecurity specialist, analista di Cyber Intelligence e consulente forense.
Da 36 anni lavoro nella sicurezza informatica e nelle investigazioni digitali, occupandomi di OSINT, threat intelligence, incident response, social engineering, digital forensics e AI security.
Il mio metodo parte dal dato tecnico senza fermarsi al dato tecnico.
Un log racconta un evento.
Un’infrastruttura racconta una capacità.
Una persona lascia comportamenti e relazioni.
Una cronologia racconta un’evoluzione.
L’intelligence nasce quando questi elementi vengono letti insieme.
Sono inoltre CEO di Pragmat AI S.r.l., società attiva nello sviluppo di sistemi di intelligenza artificiale predittiva e intelligence.
Approfondimenti OSINT e Cyber Intelligence
Alcuni contenuti del sito approfondiscono tecniche e fenomeni direttamente collegati a questa area:
Google Dorks e DorkGPT per OSINT e cybersecurity
Ricerca avanzata, Google Dorking, automazione e utilizzo nell’OSINT e nella threat intelligence.
Non solo OSINT, ma anche Dark Web
Fonti, investigazione e correlazione delle informazioni provenienti dal dark web.
Steganografia: il segreto nascosto nel mondo digitale
Occultamento delle informazioni, utilizzi offensivi e analisi di contenuti nascosti.
Interventi tecnici, pubblicazioni e partecipazioni sono raccolti anche nella pagina Pubblicazioni e Riconoscimenti.
Capire prima di intervenire
Non tutte le situazioni richiedono più strumenti.
A volte richiedono una lettura migliore di ciò che è già davanti a noi.
Quando esistono informazioni frammentarie, identità da verificare, infrastrutture da correlare, esposizioni da comprendere o minacce delle quali ricostruire origine e contesto, OSINT e Cyber Intelligence permettono di trasformare elementi dispersi in un quadro utilizzabile.
Per analisi, investigazioni o collaborazioni professionali puoi contattarmi direttamente.