OSINT CTF
Исследуйте. Проверяйте. Фиксируйте результат.
Как устроена практика ↗Тренинг
Методика · реальный объектgoogle.com: проверка доменной записи через RDAPВоспроизводимый разбор текущей регистрационной записи: от запроса к полям, которые можно цитировать в отчёте.Открыть кейс
Задача проверки
Получить регистрационные данные из авторитетного RDAP-сервиса, сохранить исходный JSON и отделить наблюдаемые поля от предположений о владельце.
curl -sS "https://rdap.verisign.com/com/v1/domain/google.com" \
+ -o google.com-rdap.jsonjq '{handle, ldhName, status, events, nameservers: [.nameservers[].ldhName]}' \
+ google.com-rdap.jsonshasum -a 256 google.com-rdap.jsonЧто фиксируем
- handle
- Идентификатор записи реестра
- events
- События и даты, указанные в ответе
- status
- Статусы домена
- nameservers
- Серверы имён из текущей записи
Граница вывода
RDAP подтверждает состояние регистрационной записи в момент запроса. Он не доказывает, кто фактически управляет сайтом, и не восстанавливает исторические значения без отдельного источника.
Официальные источники
Разбор · официальные материалыGenesis Market: как проверить масштаб операцииРазбираем, какие утверждения подтверждает пресс-релиз Минюста США от 5 апреля 2023 года и где заканчивается его доказательная сила.Открыть кейс
Задача проверки
Зафиксировать официальный материал, проверить заявленные дату, характер операции и масштаб, затем сформулировать вывод без переноса обвинений на неустановленных лиц.
curl -L --fail --silent --show-error \
+ "https://www.justice.gov/archives/opa/pr/criminal-marketplace-disrupted-international-cyber-operation" \
+ -o genesis-market-doj.htmlshasum -a 256 genesis-market-doj.htmlgrep -Eio "Genesis Market|April 5, 2023|1\.5M|international operation" \
+ genesis-market-doj.html | sort -uЧто фиксируем
- Дата
- 5 апреля 2023 года
- Заявленный масштаб
- Данные более чем с 1,5 млн заражённых компьютеров
- Действие
- Международная операция и изъятие доменов
- Статус источника
- Официальное сообщение обвиняющей стороны
Граница вывода
Допустимый вывод: DOJ сообщил о международной операции против Genesis Market и описал заявленный масштаб площадки. Пресс-релиз сам по себе не заменяет судебные материалы и не подтверждает виновность каждого пользователя рынка.
Официальные источники
Разбор · кибератрибуцияSolarWinds: факт компрометации и пределы атрибуцииСопоставляем раннее предупреждение CISA и совместное заявление об атрибуции, не смешивая техническое наблюдение с выводом государства.Открыть кейс
Задача проверки
Сохранить официальные публикации, разделить подтверждённую эксплуатацию продукта, рекомендации защитникам и последующую публичную атрибуцию.
curl -L --fail --silent --show-error \
+ "https://www.cisa.gov/news-events/alerts/2020/12/13/active-exploitation-solarwinds-software" \
+ -o cisa-solarwinds-alert.htmlcurl -L --fail --silent --show-error \
+ "https://www.cisa.gov/news-events/alerts/2021/04/15/nsa-cisa-fbi-joint-advisory-russian-svr-targeting-us-and-allied" \
+ -o cisa-svr-advisory.htmlshasum -a 256 cisa-solarwinds-alert.html cisa-svr-advisory.htmlЧто фиксируем
- 13.12.2020
- CISA сообщила об активной эксплуатации SolarWinds Orion
- Технический уровень
- Наблюдение о компрометации и защитные действия
- 15.04.2021
- Совместная публикация связала кампанию с российской СВР
- Аналитическое правило
- Атрибуцию цитируем с указанием автора оценки
Граница вывода
Корректная запись разделяет два слоя: CISA наблюдала активную эксплуатацию SolarWinds Orion; позднее власти США публично атрибутировали кампанию российской СВР. Самостоятельно выполненные здесь команды сохраняют источники, но не воспроизводят разведывательную базу атрибуции.