1
P opues a pa a la in eg ación de la he amien a
OSINT Spide Foo con el Sis ema de Ges ión de
E en os e In o mación de Segu idad OSSIM.
Da iel González Robinson
Angel Alejand o Gue a
Vilches
Heidy Rod íguez Mal a ez
Uni e sidad de las Ciencias
In o má icas
Uni e sidad de las Ciencias
In o má icas
Uni e sidad de las Ciencias
In o má icas
Cuba
Cuba
Cuba
dgonzalez @es udian es.uci.cu
angelag @es udian es.uci.cu
heidy m@es udian es.uci.cu
Resumen- OSSIM Alien aul (Open Sou ce Secu i y In o ma ion
Manage ) es una pla a o ma de Adminis ación de E en os e
In o mación de Segu idad (SIEM po sus siglas en inglés),
g a ui a y de código abie o que pe mi e la de ección de amenazas
y anomalías en la segu idad de las edes y de las compu ado as.
Spide Foo es una he amien a de au oma ización OSINT (Open
Sou ce In elligence, po sus siglas en inglés) que se in eg a con
di e sas uen es de da os y o ece a ios ipos de escaneos pa a
ecopila in o mación. El obje i o de es a in es igación es
p opone una posible in eg ación de la he amien a Spide Foo
con OSSIM pa a au oma iza el p oceso de ecopilación de
in o mación, u ilizando la in o mación ecopilada an o de
uen es in e nas, como ex e nas.
Palab as cla es- OSINT, Spide Foo , SIEM, OSSIM, in eg ación.
Tipo de con enido: In es igación en desa ollo.
I. INTRODUCCIÓN
Los a aques cibe né icos se han uel o más se e os y
ecuen es, lo que equie e una nue a línea de de ensas de
segu idad pa a p o ege se con a ellos. En opinión de [1], la
na u aleza dinámica de las amenazas de nue a gene ación, que
son e asi as, esis en es y complejas, hace que los sis emas de
segu idad adicionales engan di icul ades pa a de ec a las. El
obje i o de las o ganizaciones es ecopila y compa i
in o mación sob e amenazas cibe né icas en iempo eal y
luego con e i la en in eligencia de amenazas pa a p e eni
a aques o, al menos, esponde ápidamen e de mane a
p oac i a.
La mine ía de In eligencia de Amenazas Cibe né icas (CTI po
sus siglas en inglés) que descub e, p ocesa y analiza
in o mación aliosa sob e amenazas cibe né icas, es á en auge.
La can idad de da os gene ados po el mundo in e conec ado
ac ual es inconmensu able y g an pa e de es os es án
disponibles públicamen e, lo que signi ica que son accesibles
pa a cualquie usua io, en cualquie momen o, desde cualquie
luga de In e ne . En es e sen ido, la In eligencia de Fuen e
Abie a (OSINT) es un ipo de in eligencia que ealmen e se
bene icia de esa na u aleza abie a al ecopila , p ocesa y
co elaciona pun os de odo el Cibe espacio pa a gene a
conocimien o [2].
1
Disponible en h ps://gi hub.com/smicalle /spide oo
Mien as que el uso manual de écnicas OSINT puede se
su icien e pa a búsquedas básicas, he amien as como
Spide Foo au oma izan el p oceso de ecopilación de
in o mación pe mi iendo a los usua ios ealiza
in es igaciones más p o undas y comple as sin la necesidad de
ealiza a eas manuales ediosas.
Al ap o echa es a as a uen e de in o mación abie a, los
sis emas SIEM se des acan como una pode osa he amien a de
segu idad que ayuda a las o ganizaciones a de ec a y analiza
amenazas, así como a esponde a ellas an es de que a ec en las
ope aciones del negocio. OSSIM (Open Sou ce Secu i y
In o ma ion Manage ) es una solución in eg al.
Ac ualmen e, al ealiza los análisis o enses an e un inciden e
epo ado en OSSIM, se oman los da os y se ealizan
búsquedas más p o undas de o ma manual. Es e p oceso es
len o y poco e ec i o ya que se ealiza de o ma eac i a e
implica la p esencia de pe sonal especializado, po an o, la
in eg ación de he amien as OSINT al SIEM OSSIM, pe mi e
que se ecopile in o mación de o ma ápida y e icien e a a és
de di e sas uen es en línea.
An e la p oblemá ica an e io men e expues a se plan ea como
obje i o de la in es igación: P opone una posible in eg ación
de la he amien a Spide Foo en el SIEM OSSIM pa a la
ecopilación de in o mación ex e na desde uen es de da os
abie as.
II. CONTENIDO
He amien a OSINT (Spide Foo ):
Spide Foo
1
es una he amien a de au oma ización de
In eligencia de Fuen e Abie a (OSINT) esc i a en Py hon 3.
Se in eg a con a ias uen es de da os disponibles y u iliza una
a iedad de módulos pa a el análisis de da os. Tiene un
se ido web in eg ado pa a p opo ciona una in e az limpia e
in ui i a basada en la web, pe o ambién se puede u iliza
comple amen e a a és de la línea de comandos.
Las ca ac e ís icas cla e de la he amien a Spide Foo son:
• Mo o de co elación con igu able po YAML con 37
eglas p ede inidas.
• Más de 200 módulos.
• Expo ación CSV/JSON/GEXF.
JNIC 2024
ISBN:978-84-09-62140-8 606
2
• Expo ación/impo ación de cla es API.
• Back-end de SQLi e pa a consul as pe sonalizadas.
• In eg ación de TOR pa a la búsqueda en la Da k Web.
• Docke ile pa a implemen aciones basadas en
Docke .
• Puede llama a o as he amien as como DNSTwis ,
Wha web, Nmap y CMSeeK.
Spide Foo e isa au omá icamen e a ias uen es de da os
públicos pa a ecopila in o mación. Toma como posibles
en adas una di ección IP, una sub ed, un nomb e de dominio,
una di ección de co eo elec ónico, un nomb e de hos , un
nomb e eal o un núme o de elé ono. Basándose en la en ada
del usua io pa a ealiza un econocimien o e ec i o,
selecciona los módulos a usa .
Dependiendo del ni el de búsqueda seleccionado po el
usua io, Spide oo o ece cua o ipos de escaneos:
• Passi e: ecopila in o mación sin in e ac ua con el
obje i o.
• In es iga e: ealiza un escaneo básico pa a de ec a
malicia.
• Foo p in : iden i ica la opología de ed del obje i o y
ecopila in o mación su icien e pa a in es igaciones
es ánda .
• All: ealiza un escaneo exhaus i o consul ando odos
los ecu sos posibles. Es ideal pa a in es igaciones
de alladas, pe o equie e más iempo.
He amien a SIEM (OSSIM):
OSSIM es una pla a o ma de so wa e SIEM, g a ui a y de
código abie o, desa ollada po AlienVaul y basada en la
dis ibución Debian Linux de 64 bi s. In eg a un conjun o de
he amien as como Nmap, Nagios, Su ica a, Nessus,
OpenVAS, en e o as que le pe mi en ejecu a unciones
como:
• Descub imien o de ac i os
• Escaneo de ulne abilidades
• De ección de amenazas y anomalías
• Moni o eo de ed
• In eligencia de segu idad
OSSIM iene cua o componen es p incipales como se mues a
en la Fig 1: senso , se ido , ma co de e e encia, y base de
da os.
Fig. 1: Modelo de la a qui ec u a OSSIM. Fuen e [3]
Cada componen e se desc ibe [3]:
El Senso iene dos pa es. El se icio syslog ecibe y
almacena egis os de disposi i os de ed. El agen e OSSIM
analiza y no maliza es os egis os y los en ía al se ido .
El Se ido ealiza unciones esenciales de SIEM como la
ag egación, e aluación de iesgos y co elación de e en os.
También en ía in o mación de e en os a la base de da os pa a
su almacenamien o.
El Ma co de e e encia (F amewo k) conec a y ges iona los
componen es OSSIM y las he amien as de segu idad.
También p opo ciona la in e az web de adminis ación del
sis ema.
La base de da os almacena e en os y da os de con igu ación
del sis ema.
In eg ación:
La solución p opues a se diseña con el obje i o de au oma iza
el p oceso de ecopilación de in o mación, ap o echando la
in o mación de uen es in e nas ecopilada po los senso es de
OSSIM, como de las uen es ex e nas ecopiladas po
Spide Foo . Se conside a una uen e in e na a los componen es
y sis emas den o de la p opia in aes uc u a de la emp esa y
una uen e ex e na a las uen es públicas disponibles en línea.
El modelo es uc u al de la he amien a esul an e se expone
en la Fig 2. La he amien a Spide Foo se ins ala jun o con los
componen es del se ido y el ma co de abajo del OSSIM.
Fig. 2: Modelo de in eg ación OSSIM-Spide Foo .
Pa a el uncionamien o au oma izado de la ecopilación de
in o mación en uen es abie as se iene que ejecu a los
siguien es pasos:
1. La c eación de polí icas en OSSIM pa a de ini
eglas y acciones especí icas que se aplican a los
e en os de segu idad.
2. La c eación de acciones en OSSIM pa a
au oma iza espues as especí icas a e en os de
segu idad.
OSSIM ecopila egis os de e en os de se ido es y
disposi i os de ed, da os de á ico de ed de los swi ches y
ou e s, y esul ados de escaneo de ulne abilidades de
he amien as como Nessus o OpenVAS.
Una ez que OSSIM ha ecopilado los da os, los co elaciona
pa a iden i ica pa ones y anomalías. Po ejemplo, si OSSIM
de ec a un g an núme o de in en os de inicio de sesión allidos
seguidos en un co o pe íodo de iempo que p o ienen de la
misma di ección IP o del mismo ango de di ecciones IP,
co elaciona es os e en os y los econoce como un posible
a aque de ue za b u a.
Basándose en la co elación de e en os, OSSIM gene a ale as
pa a in o ma a los adminis ado es de segu idad sob e
posibles amenazas. Es as ale as incluyen di ecciones IP que se
en ían a a és de la línea de comandos de o ma au oma izada
a la he amien a Spide Foo a a és de las polí icas y acciones
c eadas.
Spide Foo ecibe las di ecciones IP y ealiza su p opio
análisis. Es o puede inclui la ecopilación de in o mación
adicional sob e las di ecciones IP, la co elación de las
di ecciones IP con o as uen es de da os y la gene ación de
in o mes o ale as basados en los esul ados del análisis.
Los esul ados se mues an a a és de la in e az web donde se
expo an en o ma os CSV y JSON. Dependiendo de los
P opues a pa a la in eg aci´on de la he amien a OSINT Spide Foo con el Sis ema de
Ges i´on de E en os e In o maci´on de Segu idad OSSIM
607
3
esul ados del análisis de la he amien a OSINT, se oman
medidas adicionales como inclui la in es igación más a ondo
de las di ecciones IP, la implemen ación de medidas de
segu idad adicionales o la no i icación a las au o idades
pe inen es.
P ueba de campo:
Pa a e ec ua la in eg ación de la he amien a Spide oo con
OSSIM, se c eó un en o no de p ueba con una es uc u a
simple como se mues a en la Fig. 3.
Fig. 3: Modelo del en o no de p ueba.
La he amien a Spide oo se ins aló en el sis ema de OSSIM,
especí icamen e en la u a /us /sha e/ossim/sc ip s/ donde se
ubican los sc ip s que u iliza OSSIM.
Pos e io men e se c eó y con igu ó una acción en OSSIM pa a
au oma iza la espues a especí ica a los e en os de segu idad.
Es o es posible accediendo ía web a: Con igu a ion >
Th ea In elligence > Ac ions. La acción pe mi e ejecu a la
he amien a Spide oo median e la especi icación del
comando a u iliza en el campo Command, solo si el e en o
su gido es conside ado una ala ma. En la Fig. 4 se mues a la
con igu ación de la acción c eada.
Fig. 4: Con igu ación de una acción en OSSIM.
Po úl imo, se c eó y con igu ó una polí ica en OSSIM pa a
de ini las eglas y la acción especí ica que se aplica a los
e en os de segu idad. Es a con igu ación se ealiza ía web
accediendo a: Con igu a ion > Th ea In elligence > Policy >
De aul Policy G oup > New. La polí ica pe mi e especi ica la
di ección IP y pue o an o del o igen como el des ino de los
e en os a los que se le aplica á es a polí ica. Además, pe mi e
ag ega una acción con igu ada con an e io idad. En es a
sección de la con igu ación es donde se elacionan la polí ica
y la acción c eada. En la Fig. 5 se mues a la con igu ación de
la polí ica c eada.
Fig. 5: Con igu ación de una polí ica en OSSIM.
Ambas con igu aciones se ealizan de acue do a las
necesidades y obje i os del en o no en que se ejecu a, po lo
que las con igu aciones ealizadas pueden a ia en dis in os
escena ios.
Resal a que la in eg ación de ambas he amien as de
Cibe segu idad que se mues a, solo ga an iza la ejecución de
Spide oo desde la línea de comandos. Se ecomienda
ins alación de Spide oo jun o con los componen es del
se ido OSSIM pa a con a en una de sus secciones con es a
he amien a. Es o pe mi i ía ealiza búsquedas con Spide oo
de mane a manual ía web en caso de que la emp esa o en idad
lo necesi e.
III. CONCLUSIONES
La aplicación de écnicas de In eligencia de Fuen e Abie a
(OSINT) en la segu idad cibe né ica, como se demues a en
es a in es igación, ab e un nue o ho izon e en la lucha con a
las amenazas cibe né icas.
Al ecopila , p ocesa y co elaciona in o mación de odo el
Cibe espacio, se puede gene a un conocimien o alioso que
puede se u ilizado pa a p e eni y esponde a amenazas
cibe né icas de mane a más e ec i a.
Es a in es igación ambién des aca la impo ancia de la
au oma ización en la segu idad cibe né ica. Al au oma iza el
p oceso de ecopilación de in o mación, las o ganizaciones
pueden libe a ecu sos aliosos que pueden se u ilizados en
o as á eas c í icas de la segu idad cibe né ica.
Po o a pa e, el alo de la colabo ación en e di e en es
he amien as y pla a o mas en la segu idad cibe né ica es muy
impo an e. Al in eg a Spide Foo con OSSIM, se demues a
cómo di e en es he amien as pueden abaja jun as pa a
p opo ciona una solución de segu idad más comple a y
obus a.
IV. Re e encias
[1]
N. Sun, M. Ding, J. Jiang, W. Xu, X. Mo, Y. Tai y J.
Zhang, «Cybe Th ea In elligence Mining o P oac i e
Cybe secu i y De ense: A Su ey and New Pe spec i es,»
IEEE Communica ions Su ey & Tu o ial, ol. 25, p. 28,
05 mayo 2023.
[2]
J. Pas o -Galindo, P. Nespoli, F. Gómez Má mol y G.
Ma ínez Pé ez, «The no ye exploi ed goldmine o
OSINT: oppo uni ies, open challenges and u u e
ends,» IEEE ACCESS, ol. 8, p. 23, 9 Ene o 2020.
[3]
M. Alamanni, «OSSIM: a ca e ul, ee and always
a ailable gua dian o you ne wo k,» Linux Jou nal, ol.
2014, nº 242, 02 junio 2014.
[4]
In el 471, «A ack su ace documen a ion,» 2024. [En
línea]. A ailable: h ps://in el471.com/a ack-su ace-
documen a ion.
D. Gonz´alez Robinson, A. Gue a Vilches and H. Mal a ez
608