OSINT у процесах кіберрозвідки (Cyber Threat Intelligence CTI)

Abstract

У тезах досліджено теоретичні, методологічні та практичні аспекти застосування розвідки на основі відкритих джерел (OSINT) у процесах кіберрозвідки загроз (Cyber Threat Intelligence, CTI) для превентивного виявлення й нейтралізації кібератак. Розглянуто широкий спектр відкритих джерел інформації, зокрема технічні ресурси (бази даних вразливостей CVE, платформи IOC, репозиторії VirusTotal, пошуковики Shodan), а також комунікаційні майданчики (форуми даркнету, Telegram-канали). Виокремлено роль вітчизняного досвіду, зокрема публічних бюлетенів CERT-UA щодо активності АРТ-груп, та використання спеціалізованих платформ (MISP, OpenCTI) для агрегації і візуалізації даних. Проаналізовано інтеграцію OSINT у цикл кіберрозвідки, від пасивної розвідки DNS та аналізу SSL/TLS-сертифікатів до моніторингу фішингових доменів і витоків облікових даних. Окреслено ключові обмеження методології: високий рівень інформаційного шуму, правові ризики у «сірих зонах» мережі, а також загрозу хибної атрибуції через використання зловмисниками тактики false-flag. Наголошено, що системне впровадження OSINT забезпечує перехід правоохоронних органів та організацій від реактивного до проактивного підходу в забезпеченні кібербезпеки.

This paper examines the theoretical, methodological, and practical aspects of using open-source intelligence (OSINT) in cyber threat intelligence (CTI) processes for the preventive detection and neutralization of cyberattacks. A wide range of open-source information is considered, including technical resources (CVE vulnerability databases, IOC platforms, VirusTotal repositories, and Shodan search engines), as well as communication platforms (darknet forums and Telegram channels). The role of domestic experience is highlighted, particularly CERT-UA’s public bulletins on the activity of APT groups, as well as the use of specialized platforms (MISP, OpenCTI) for data aggregation and visualization. The integration of OSINT into the cyber intelligence cycle is analyzed, ranging from passive DNS intelligence and SSL/TLS certificate analysis to the monitoring of phishing domains and credential leaks. Key limitations of the methodology were identified: a high level of information noise, legal risks in the “gray areas” of the network, and the threat of false attribution due to attackers’ use of false-flag tactics. It is emphasized that the systematic implementation of OSINT enables law enforcement agencies and organizations to transition from a reactive to a proactive approach to cybersecurity.