■anond:20211202122148

OSINTというやつやね。

OSINTは、公開されている（登録や認証が不要な）アクセス可能なソースからターゲット企業に関する情報を受動的に収集することだけを行います。能動的にスキャンをしたり攻撃をしたりしてはいけません。以下はOSINTの対象内と対象外の行為の例をまとめたものです。

• OSINTの対象行為 (OK)
  • SNSで従業員情報を探す
  • 企業のウェブサイトを閲覧する
  • WebサイトからSSL/TLS証明書を取り出して証明書の透明性からサブドメインを見つける
  • 第三者がスキャンツールを使って収集した企業情報などを公開しているサイトから情報を見つける
• OSINTの対象外 (NG)
  • 企業のウェブサイトに対するディレクトリブルートフォース
  • 企業のサブドメインブルートフォース
  • ターゲットとメールなどで連絡をやりとりして情報を収集する
  • スキャンツールを使って直接ターゲット企業から情報を収集する

OSINTの対象外にある行為を許可なく実行した場合は違法（犯罪）になります。

https://tex2e.github.io/blog/security/osint

「そいつを上手いこと煽ったりして聞き出したりした情報をプロファイリング」の部分が怪しいんとちゃうかな。

Permalink | 記事への反応(0) | 12:26

ツイートシェア