Footprinting: az etikus hackelés technikájának célja és folyamata

A kiberbiztonság rendkívül dinamikus és folyamatosan fejlődő területén a footprinting az etikus hackelés, illetve a behatolás tesztelés (pentesting) egyik legelső és talán legkritikusabb fázisa. Ez a folyamat a célrendszerrel kapcsolatos minél több információ gyűjtését jelenti, mielőtt bármilyen aktív támadási kísérletre sor kerülne. A cél nem más, mint a lehetséges támadási felület teljes feltérképezése, a célpont gyenge pontjainak, sebezhetőségeinek és potenciális behatolási útvonalainak azonosítása. Ez a mélyreható felderítés adja meg az alapot a későbbi, célzottabb és hatékonyabb tesztekhez, minimalizálva a felesleges erőfeszítéseket és maximalizálva a felfedezések esélyét. Egy jól elvégzett footprinting fázis az egész biztonsági audit sikerének záloga, hiszen anélkül, hogy ismernénk az ellenfél erejét és gyengeségeit, vakon próbálkoznánk a védelem áttörésével.

Az etikus hackelés kontextusában a footprinting nem csupán technikai feladat, hanem egyfajta digitális nyomozás. A kiberbiztonsági szakember, azaz a „fehér kalapos hacker” célja, hogy a lehető legátfogóbb képet kapja a célpontról, mintha ő maga lenne egy rosszindulatú támadó, de természetesen a megbízó explicit engedélyével és a törvényi keretek szigorú betartásával. Ez az előkészítő szakasz a precizitásról, a türelemről és a részletekre való odafigyelésről szól. A sikeres felderítés során nem csupán technikai adatok kerülnek napvilágra, hanem szervezeti struktúrák, alkalmazotti információk, sőt akár üzleti folyamatok is. Mindezek az adatok együttesen rajzolják ki azt a térképet, amely elvezeti a szakembert a rendszer legsebezhetőbb pontjaihoz.

Mi is az a footprinting pontosan?

A footprinting, más néven felderítés vagy információgyűjtés, az a folyamat, amelynek során egy támadó (vagy etikus hacker) a lehető legtöbb információt gyűjti össze egy célrendszerről, hálózatról vagy szervezetről. Ez az adatgyűjtés történhet diszkréten, anélkül, hogy a célpont tudomást szerezne róla (passzív footprinting), vagy közvetlen interakcióval, ami észlelhető lehet (aktív footprinting). A cél az, hogy a támadás megkezdése előtt átfogó képet kapjunk a célpont infrastruktúrájáról, technológiáiról, alkalmazottairól és működési szokásairól.

A footprinting során gyűjtött információk rendkívül sokrétűek lehetnek. Ide tartoznak például a tartománynévvel kapcsolatos adatok (WHOIS rekordok, DNS bejegyzések), az IP-cím tartományok, a hálózati topológia, a használt operációs rendszerek és alkalmazások verziói, a nyitott portok, a tűzfalak és behatolásérzékelő rendszerek (IDS/IPS) jelenléte, de akár a cég alkalmazottainak nevei, e-mail címei és közösségi média profiljai is. Ezek az adatok önmagukban még nem jelentenek fenyegetést, de együttesen értékes bepillantást nyújtanak a célpont sebezhetőségeibe és a lehetséges támadási vektorokba.

A footprinting nem egy egyszeri tevékenység, hanem egy folyamatosan ismétlődő fázis, különösen a hosszú távú behatolás tesztek során. Mivel a szervezetek infrastruktúrája és konfigurációja folyamatosan változik, a felderített információk is frissítésre szorulnak. Egy sikeres etikus hackelési projekt alapköve a naprakész és pontos információbázis, amely lehetővé teszi a szakember számára, hogy a legrelevánsabb és legkifizetődőbb támadási stratégiákat dolgozza ki.

„A felderítés nem arról szól, hogy megtaláljuk a tűt a szénakazalban, hanem arról, hogy megtaláljuk a szénakazlat, mielőtt a tűt keresnénk benne.”

Miért elengedhetetlen a footprinting az etikus hackelésben?

A footprinting az etikus hackelés vagy behatolás tesztelés első és egyben legfontosabb lépése, amely megalapozza az egész projekt sikerét. Enélkül a fázis nélkül a biztonsági szakember vakon tapogatózna, céltalanul próbálkozna, ami rendkívül ineffektív és időpazarló lenne. A felderítés célja, hogy a lehető legátfogóbb képet kapjuk a célrendszerről, mintha egy rosszindulatú támadó lennénk, de természetesen a megbízó explicit engedélyével és a törvényi keretek szigorú betartásával.

Az információgyűjtés több kulcsfontosságú előnnyel jár:

1. A támadási felület feltérképezése: A footprinting segít azonosítani a célpont összes elérhető rendszerét, szolgáltatását, hálózati komponensét és az azokon futó alkalmazásokat. Ezáltal pontosan meghatározható, hogy melyek azok a pontok, amelyeken keresztül egy támadó behatolhat.
2. Célzottabb támadások: Az összegyűjtött információk alapján a biztonsági szakember sokkal célzottabb és hatékonyabb támadási stratégiákat dolgozhat ki. Például, ha tudjuk, hogy egy adott szerveren egy bizonyos verziójú szoftver fut, akkor célzottan kereshetünk ehhez a verzióhoz ismert sebezhetőségeket, ahelyett, hogy általános támadásokat indítanánk.
3. Kockázatértékelés: A felderített adatok alapján pontosabb kockázatértékelés végezhető. Megállapítható, mely területek a legkritikusabbak, és mely sebezhetőségek jelentenek a legnagyobb veszélyt a szervezet számára.
4. Erőforrás-hatékonyság: Az előzetes információgyűjtés segít elkerülni a felesleges erőfeszítéseket. Nincs értelme olyan rendszereket tesztelni, amelyek nem relevánsak a cél szempontjából, vagy amelyekről már tudjuk, hogy jól védettek. A footprinting optimalizálja a behatolás tesztelésre fordított időt és erőforrásokat.
5. Social Engineering alapja: Az alkalmazottakról gyűjtött információk (nevek, pozíciók, e-mail címek, közösségi média aktivitás) alapul szolgálhatnak social engineering támadásokhoz. Bár az etikus hackelés során ezeket a technikákat is engedéllyel és kontrolláltan alkalmazzák, a felderítés elengedhetetlen a hiteles csalások kidolgozásához.
6. Védelmi stratégiák megértése: A footprinting során nem csak a sebezhetőségeket, hanem a célpont védelmi mechanizmusait (tűzfalak, IDS/IPS, stb.) is fel lehet mérni. Ez segít megérteni, hogyan reagálhat a rendszer egy támadásra, és hogyan lehet kikerülni vagy kijátszani a védelmeket.

Összességében a footprinting a behatolás tesztelés gerince. Nélküle a folyamat sokkal kevésbé lenne hatékony, és a felfedezett sebezhetőségek száma is jelentősen alacsonyabb lenne. Ez az a fázis, ahol a „hacker” a leginkább a „felderítő” szerepét tölti be, gondosan gyűjtve és elemezve minden apró információmorzsát, ami a célpontról elérhető.

Az etikai és jogi keretek szerepe a footprinting során

Az etikus hackelés alapvető pillére a megbízó explicit engedélye és a törvényi keretek szigorú betartása. Ez különösen igaz a footprinting fázisra, ahol a kiberbiztonsági szakember nagy mennyiségű információt gyűjt, amelyek egy része érzékeny, vagy akár személyes adat is lehet. Míg egy rosszindulatú támadó figyelmen kívül hagyja ezeket a korlátokat, az etikus hacker számára a jogi és etikai normák betartása elengedhetetlen.

Először is, minden footprinting tevékenységnek egyértelműen meghatározott scope-on (hatókörön) belül kell maradnia, amelyet a megbízóval előzetesen írásban rögzítettek. Ez a scope pontosan meghatározza, mely rendszerek, IP-tartományok, alkalmazások és adatok vizsgálhatók. A scope-on kívüli információgyűjtés illegálisnak minősülhet, és súlyos jogi következményekkel járhat.

Másodszor, a személyes adatok védelme (például a GDPR az Európai Unióban) kiemelt fontosságú. Bár a footprinting során gyakran kerülnek napvilágra alkalmazotti nevek, e-mail címek vagy pozíciók, ezeket az adatokat kizárólag a behatolás tesztelés céljára, a legszigorúbb adatvédelmi előírások betartásával szabad kezelni. Az etikus hackernek gondoskodnia kell arról, hogy az összegyűjtött személyes adatok ne kerüljenek illetéktelen kezekbe, és a projekt befejezése után megfelelően törlésre kerüljenek.

„Az etikus hackelés nem a „mit tehetünk”, hanem a „mit szabad tennünk” kérdése körül forog, szigorúan a megbízó engedélyének és a jogszabályoknak megfelelően.”

Harmadszor, a passzív és aktív footprinting közötti különbség etikai szempontból is releváns. A passzív felderítés során nyilvánosan elérhető információkat gyűjtünk, amelyekhez bárki hozzáférhet. Ez általában kevésbé aggályos jogi szempontból, bár a gyűjtött adatok felhasználása továbbra is korlátozott. Az aktív footprinting azonban közvetlen interakciót jelent a célrendszerrel (pl. port szkennelés), ami a célpont rendszerén naplóbejegyzéseket hagyhat. Ezért az aktív technikák alkalmazásához még inkább szükséges a megbízó egyértelmű engedélye és a pontosan meghatározott időkeret.

Végezetül, az átláthatóság és a bizalom elengedhetetlen az etikus hackelésben. A megbízóval való folyamatos kommunikáció, a felderített információk kezelésének tisztázása és a tevékenység dokumentálása mind hozzájárulnak a bizalmi viszony fenntartásához. Az etikus hacker nem egy „fekete kalapos” támadó, hanem egy megbízható partner, aki a szervezet biztonságának megerősítésén dolgozik, szigorúan a megállapodás és a jogszabályok keretein belül.

A footprinting típusai: passzív és aktív felderítés

A footprinting két fő kategóriába sorolható, attól függően, hogy a felderítés során a szakember közvetlenül interakcióba lép-e a célrendszerrel, vagy sem. Ez a megkülönböztetés kritikus fontosságú a kockázatok, a detektálhatóság és a jogi/etikai keretek szempontjából.

Passzív footprinting: a diszkrét információgyűjtés művészete

A passzív footprinting során a kiberbiztonsági szakember olyan információkat gyűjt, amelyek nyilvánosan elérhetők, és nem igényelnek közvetlen interakciót a célrendszerrel. Ez azt jelenti, hogy a célpont valószínűleg nem is fogja észlelni, hogy információgyűjtés zajlik róla. Ez a módszer rendkívül diszkrét, és gyakran az első lépés egy behatolás teszt során, mivel minimális kockázattal jár és nem sérti a célrendszer integritását.

A passzív felderítés fő forrásai az Open Source Intelligence (OSINT) technikákra épülnek, amelyek a nyílt forrású adatok elemzését jelentik. Ezek az adatok magukban foglalhatják a következőket:

• Keresőmotorok és weboldalak: A Google, Bing vagy DuckDuckGo használata, speciális keresési operátorokkal (ún. Google Dorking) lehetővé teszi a célpontról szóló nyilvános információk, elfelejtett fájlok, érzékeny adatok, hibás konfigurációk vagy akár belső hálózati struktúrák felderítését. A cég weboldalának, blogjának, sajtóközleményeinek és karrieroldalainak alapos átvizsgálása is rengeteg információt adhat az alkalmazottakról, technológiákról és üzleti partnerekről.
• WHOIS és DNS adatok: A WHOIS adatbázisok a tartománynév-regisztrációval kapcsolatos információkat tartalmazzák, mint például a regisztráló neve, címe, e-mail címe és a technikai kapcsolattartó adatai. A DNS adatok (pl. MX rekordok, NS rekordok, TXT rekordok) felfedhetik a levelező szervereket, a tartományhoz tartozó aldomaineket és egyéb hálózati konfigurációkat.
• Közösségi média platformok: A LinkedIn, Facebook, Twitter (X), Instagram és egyéb platformok rendkívül gazdag forrásai lehetnek az alkalmazotti információknak, a cég kultúrájának, az aktuális projekteknek és a technológiai stackre vonatkozó utalásoknak. Az alkalmazottak gyakran posztolnak olyan információkat, amelyek akaratlanul is segíthetik a támadókat.
• Archivált weboldalak: Az Internet Archive (Wayback Machine) lehetővé teszi, hogy megtekintsük egy weboldal korábbi verzióit. Ez segíthet felderíteni elavult tartalmakat, korábbi alkalmazottakat, vagy olyan információkat, amelyeket azóta eltávolítottak a nyilvános webhelyről.
• Pénzügyi és jogi nyilvántartások: Nyilvánosan elérhető cégnyilvántartások, éves jelentések vagy bírósági dokumentumok betekintést nyújthatnak a cég pénzügyi helyzetébe, tulajdonosi struktúrájába, vagy akár a korábbi jogi problémáiba.
• Szakmai fórumok és blogok: A célpont alkalmazottai által írt szakmai cikkek, fórumbejegyzések vagy technikai blogok értékes információkat szolgáltathatnak a használt technológiákról, a belső rendszerekről vagy a felmerülő problémákról.
• Metaadatok elemzése: A nyilvánosan elérhető dokumentumokból (PDF, DOCX, XLSX) vagy képekből (JPEG, PNG) kinyerhető metaadatok (EXIF adatok) információkat tartalmazhatnak a dokumentum szerzőjéről, a létrehozás idejéről, a használt szoftverről, sőt akár a kép készítésének helyéről is.

A passzív footprinting előnye a diszkréció és a minimális jogi kockázat. Hátránya, hogy az összegyűjtött információk pontossága és teljessége korlátozott lehet, és nem ad közvetlen visszajelzést a célrendszer aktuális állapotáról.

Aktív footprinting: a közvetlen interakció

Az aktív footprinting magában foglalja a közvetlen interakciót a célrendszerrel, ami azt jelenti, hogy a célpont rendszerei naplóbejegyzéseket generálhatnak, és potenciálisan észlelhetik a felderítési tevékenységet. Ez a módszer általában pontosabb és frissebb információkat szolgáltat, mint a passzív felderítés, de nagyobb kockázattal is jár, és minden esetben a megbízó egyértelmű engedélyét igényli.

Az aktív felderítés során alkalmazott technikák közé tartoznak:

• Ping sweep: A hálózaton lévő élő hostok azonosítására szolgál. Az ICMP (Internet Control Message Protocol) echo kérések küldésével megállapítható, mely IP-címekhez tartozik aktív eszköz.
• Port szkennelés: Az egyik leggyakoribb aktív felderítési technika, amelynek célja a célrendszeren nyitott portok és az azokon futó szolgáltatások azonosítása. Az Nmap (Network Mapper) a legnépszerűbb eszköz erre a célra, amely képes felderíteni az operációs rendszert, a szolgáltatások verzióit és a lehetséges sebezhetőségeket is.
• Traceroute: Segít feltérképezni a hálózati útvonalat a támadó és a célpont között, felfedve a hálózati topológiát és az útválasztókat.
• Banner grabbing: A nyitott portokon futó szolgáltatások által küldött „bannerek” (üdvözlő üzenetek) elemzése. Ezek a bannerek gyakran tartalmazzák a szolgáltatás nevét és verziószámát, ami segíthet az ismert sebezhetőségek azonosításában (pl. Apache/2.4.41 (Ubuntu)).
• DNS lekérdezések: Bár a DNS adatok gyűjtése lehet passzív is (nyilvános DNS szerverek lekérdezése), az aktív lekérdezések (pl. zóna transzfer kísérletek) közvetlen interakciót jelentenek a célpont DNS szerverével.
• Vulnerability scanning (kezdeti fázis): Könnyed, nem invazív sebezhetőség-ellenőrzések futtatása, amelyek célja a nyilvánvaló hiányosságok azonosítása. Fontos, hogy ezek a szkennelések ne legyenek túl agresszívek, hogy elkerüljék a DoS (Denial of Service) támadások véletlen kiváltását.
• Web crawler: Weboldalak feltérképezése a linkek követésével, a fájlstruktúra és a rejtett könyvtárak felderítése érdekében. Bár ez passzívnak tűnhet, a web szerver naplóiban megjelenik a tevékenység.

Az aktív footprinting a passzív felderítésre épül, és kiegészíti azt. Fontos, hogy az aktív technikákat óvatosan és a megbízó engedélyével alkalmazzuk, mivel ezek észlelhetők és potenciálisan károsak lehetnek a célrendszerre nézve, ha nem megfelelően hajtják végre őket.

A footprinting folyamata: lépésről lépésre

A footprinting nem egy kaotikus adatgyűjtés, hanem egy strukturált, módszeres folyamat, amely több jól elkülöníthető lépésből áll. Az alábbiakban bemutatjuk a tipikus felderítési folyamatot egy etikus hackelési projekt során.

1. Cél és hatókör meghatározása (scope definition)

Mielőtt bármilyen adatgyűjtésbe kezdenénk, elengedhetetlen a cél és a hatókör pontos meghatározása a megbízóval. Tisztázni kell, hogy mi a behatolás teszt célja (pl. külső hálózat, webalkalmazás, belső hálózat), mely IP-tartományok, tartománynevek, rendszerek tartoznak a vizsgálatba, és melyek nem. Ez a lépés biztosítja a jogi megfelelőséget és elkerüli a félreértéseket.

2. Kezdeti passzív információgyűjtés

Ez a fázis a diszkrét adatgyűjtésre fókuszál, anélkül, hogy a célpont észlelné a tevékenységet. Az OSINT (Open Source Intelligence) technikák állnak a középpontban. Eszközök és források, mint a Google Dorking, WHOIS lekérdezések, DNS adatok gyűjtése, közösségi média profilok elemzése (LinkedIn, Facebook, X), archivált weboldalak (Wayback Machine), sajtóközlemények és nyilvános dokumentumok kerülnek felhasználásra. A cél a szervezet, az infrastruktúra és az alkalmazottak minél átfogóbb, de nem interaktív megismerése.

A passzív fázisban gyűjtött adatok között szerepelhetnek:

• Cég neve, címe, elérhetőségei.
• Tartománynevek és aldomainek.
• IP-cím tartományok.
• Alkalmazotti nevek, pozíciók, e-mail címek.
• Technológiai stackre vonatkozó utalások (CMS, web szerver, adatbázisok).
• Nyilvános dokumentumokból kinyerhető metaadatok.

3. Hálózati topológia feltérképezése

Miután elegendő passzív információ gyűlt össze, megkezdődhet a hálózati topológia feltérképezése. Ez a fázis már magában foglalhat aktív technikákat is, de még mindig viszonylag alacsony profilú marad. Célja a célpont hálózatának szerkezetének, a routereknek, tűzfalaknak és egyéb hálózati eszközöknek az azonosítása.

Ezen a ponton használt eszközök és technikák lehetnek:

• Traceroute: Az útvonalak felderítésére.
• Ping sweep: Élő hostok azonosítására (óvatosan, hogy ne okozzon riasztást).
• DNS zóna transzfer kísérletek: Ha a DNS szerver hibásan konfigurált, ez rengeteg belső hálózati információt felfedhet.

4. Rendszerek és szolgáltatások azonosítása (Enumeration)

Ez a fázis a footprinting legaktívabb és legmélyebb része, ahol a cél az egyes rendszereken futó szolgáltatások, operációs rendszerek és alkalmazások részletes azonosítása. Itt kerül sor a port szkennelésre és a banner grabbingre.

Az Nmap (Network Mapper) a fázis legfontosabb eszköze. Képes:

• Nyitott portok észlelésére.
• Szolgáltatások (pl. HTTP, FTP, SSH, SQL) azonosítására.
• Operációs rendszerek (OS fingerprinting) és verziók detektálására.
• Biztonsági konfigurációs hibák, például alapértelmezett jelszavak vagy nem biztonságos protokollok felderítésére.

Ezenkívül alkalmazhatók specifikus eszközök is, mint például a Shodan vagy a Censys a nyilvánosan elérhető, internetre kitett eszközök és szolgáltatások felderítésére, amelyek gyakran tartalmaznak verzióinformációkat és lehetséges sebezhetőségi utalásokat.

5. Sebezhetőségek előzetes azonosítása

Bár a sebezhetőség-vizsgálat (vulnerability scanning) egy külön fázis, a footprinting során már történhetnek előzetes azonosítások. Ha a felderítés során ismert, sebezhető szoftververziókat (pl. elavult Apache, régi WordPress verzió) találunk, ezeket feljegyezzük a későbbi, célzottabb tesztekhez. Ez magában foglalhatja az automatizált sebezhetőség-ellenőrző eszközök (pl. Nessus, OpenVAS) enyhe, nem invazív futtatását is, amennyiben ez a scope-ban engedélyezett.

6. Adatok rendszerezése és elemzése

A gyűjtött adatok mennyisége óriási lehet, ezért kritikus fontosságú a rendszerezés és elemzés. Az információkat strukturáltan kell tárolni (pl. adatbázisban, jegyzetelő szoftverben), hogy könnyen kereshetők és korrelálhatók legyenek. Az elemzés során a szakember összefüggéseket keres az adatok között, azonosítja a lehetséges támadási vektorokat, és priorizálja a felfedezett sebezhetőségeket.

Ez a fázis magában foglalhatja a Maltego vagy hasonló grafikus elemző eszközök használatát is, amelyek vizuálisan ábrázolják az adatok közötti kapcsolatokat (pl. e-mail címek és tartományok, személyek és szervezetek, IP-címek és hostnevek).

7. Jelentéskészítés és a következő lépések tervezése

A footprinting fázis végén egy részletes jelentés készül az összes felfedezett információról. Ez a jelentés tartalmazza a hálózati térképet, a rendszerek listáját, a szolgáltatásokat, a verziószámokat, a potenciális sebezhetőségeket és az alkalmazott technikákat. Ez a jelentés szolgál alapul a behatolás tesztelés következő fázisaihoz (pl. sebezhetőség-vizsgálat, exploitáció), és bemutatja a megbízónak a feltárt támadási felületet.

A footprinting tehát egy iteratív és dinamikus folyamat, amely folyamatosan finomodik és bővül a projekt előrehaladtával. A gondosan elvégzett felderítés a sikeres etikus hackelési projekt alapja.

Eszközök és technikák a footprintinghez

A footprinting hatékony végrehajtásához számos eszköz és technika áll rendelkezésre, amelyek a passzív és aktív felderítési módszereket egyaránt támogatják. Az alábbiakban bemutatunk néhány kulcsfontosságú kategóriát és konkrét példákat.

Keresőmotorok és OSINT eszközök

Ezek az eszközök a nyilvánosan elérhető információk gyűjtésére szolgálnak, minimális vagy nulla interakcióval a célrendszerrel.

• Google Dorking (Google Hacking): Speciális keresési operátorok (pl. site:, intitle:, inurl:, filetype:) használata a Google vagy más keresőmotorok segítségével, hogy érzékeny fájlokat, hibás konfigurációkat, címtárlistákat vagy egyéb, nem szándékoltan nyilvános információkat találjunk.
• Shodan: Egy „internetes keresőmotor”, amely lehetővé teszi a felhasználók számára, hogy megtalálják az internetre csatlakoztatott eszközöket (szerverek, routerek, IoT eszközök) és az azokhoz tartozó nyitott portokat, szolgáltatásokat, szoftververziókat. Rendkívül hasznos a globális támadási felület felmérésére.
• Censys: Hasonló a Shodanhoz, de más módszerekkel gyűjti az adatokat, így kiegészítő információkat nyújthat. Képes SSL/TLS tanúsítványok, IPv4 hostok és tartománynevek elemzésére.
• Maltego: Egy grafikus link-elemző eszköz, amely vizuálisan ábrázolja az adatok közötti kapcsolatokat (emberek, szervezetek, tartományok, IP-címek, fájlok). Képes adatokat gyűjteni különböző OSINT forrásokból és összekapcsolni azokat.
• theHarvester: Egy egyszerű, de hatékony eszköz e-mail címek, aldomainek, hostnevek, virtuális hostok, nyitott portok és bannerek gyűjtésére különböző nyilvános forrásokból (pl. Google, Bing, LinkedIn, PGP szerverek).
• Wayback Machine (archive.org): Lehetővé teszi egy weboldal korábbi verzióinak megtekintését, ami segíthet az elavult tartalmak, régi alkalmazottak vagy korábbi infrastruktúra-változások felderítésében.
• Public Suffix List: Segít az aldomainek és a fő domainek megkülönböztetésében, ami hasznos lehet a DNS felderítés során.

DNS és WHOIS felderítő eszközök

Ezek az eszközök a tartománynévrendszerrel (DNS) és a WHOIS adatbázisokkal kapcsolatos információk gyűjtésére specializálódtak.

• WHOIS lekérdezések: A regisztrált tartománynevek tulajdonosairól, regisztrációs dátumairól és kapcsolattartó adatairól nyújtanak információt.
• dig és nslookup: Parancssori eszközök DNS lekérdezések futtatására (pl. A, MX, NS, TXT rekordok). Segítenek feltérképezni a DNS infrastruktúrát.
• DNSRecon: Egy Python szkript, amely képes DNS zóna transzferekre, brute-force aldomainekre, és egyéb DNS-sel kapcsolatos felderítést végezni.
• Sublist3r / Amass: Eszközök aldomainek felderítésére különböző forrásokból (keresőmotorok, DNS lekérdezések, passzív források).

Hálózati szkennelő és elemző eszközök

Ezek az eszközök már aktív interakciót igényelnek a célrendszerrel, és a hálózati topológia, valamint a futó szolgáltatások felderítésére szolgálnak.

• Nmap (Network Mapper): A legelterjedtebb hálózati szkennelő eszköz. Képes port szkennelésre, operációs rendszer és szolgáltatás verzió detektálására, tűzfalak felderítésére és sebezhetőségek azonosítására a beépített szkriptelő motor (NSE) segítségével.
• hping3: Egy TCP/IP csomaggenerátor és elemző eszköz, amely képes ping sweep-re, port szkennelésre, és fejlettebb hálózati tesztekre is.
• Netcat (nc): Egy „hálózati svájci bicska”, amely képes TCP/UDP kapcsolatok létesítésére, portok figyelésére, banner grabbingre és alapvető fájlátvitelre.
• Traceroute (tracert Windows-on): Segít feltérképezni az útvonalat a forrás és a célpont között, felfedve a hálózati ugrásokat és a routereket.
• Wireshark / tcpdump: Hálózati protokoll elemzők, amelyekkel a hálózati forgalom rögzíthető és elemezhető. Bár elsősorban elemzésre valók, a hálózati kommunikáció megfigyelése része lehet az aktív felderítésnek, ha a célrendszerrel interakcióba lépünk.

Web-specifikus eszközök

Ezek az eszközök a webalkalmazások és web szerverek felderítésére fókuszálnak.

• Burp Suite / OWASP ZAP: Webes proxyk és integrált behatolás tesztelő platformok. Képesek weboldalak feltérképezésére (crawler), sebezhetőségek azonosítására és a webes forgalom elemzésére.
• Wappalyzer / BuiltWith: Böngésző bővítmények, amelyek képesek azonosítani egy weboldalon használt technológiákat (CMS, web szerver, JavaScript könyvtárak, analitikai eszközök).
• Nikto: Egy web szerver szkennelő, amely több mint 6700 potenciálisan veszélyes fájlt/programot, elavult szerver szoftvert és egyéb problémát keres.

Személyzeti és közösségi média OSINT eszközök

Ezek az eszközök az emberekkel kapcsolatos információk gyűjtésére szolgálnak.

• Hunter.io / Skymem: E-mail cím keresők, amelyek segíthetnek a célpont e-mail cím mintáinak (pl. vezeteknev.keresztnev@ceg.hu) felderítésében.
• Recon-ng: Egy moduláris felderítő keretrendszer, amely különböző OSINT modulokat integrál, beleértve a közösségi média adatgyűjtést is.
• OSINT Framework: Egy átfogó web alapú gyűjtemény a különböző OSINT eszközökről és forrásokról, kategóriákba rendezve.

A fenti eszközök kombinált használata, a szakember tudásával és tapasztalatával kiegészítve, teszi lehetővé a sikeres és alapos footprintinget. Fontos megjegyezni, hogy az eszközök önmagukban nem elegendőek; a gyűjtött adatok elemzése és értelmezése a kulcs a hatékony felderítéshez.

A footprinting kihívásai és korlátai

Bár a footprinting az etikus hackelés alapvető és elengedhetetlen fázisa, számos kihívással és korláttal is jár, amelyeket a kiberbiztonsági szakembernek figyelembe kell vennie.

Adatok hitelessége és relevanciája

Az egyik legnagyobb kihívás a gyűjtött adatok hitelessége és relevanciája. Különösen a passzív footprinting során, ahol nyilvános forrásokra támaszkodunk, az információk elavultak, pontatlanok vagy akár félrevezetőek is lehetnek. Egy régi sajtóközleményben szereplő technológia már rég nem használatos, vagy egy LinkedIn profil már nem tükrözi az alkalmazott aktuális pozícióját. A szakembernek kritikus szemlélettel kell megközelítenie minden információt, és törekednie kell a források keresztellenőrzésére.

Információtúlterhelés

A digitális korban rengeteg adat áll rendelkezésre, és a footprinting során könnyen információtúlterhelésbe eshetünk. A hatalmas mennyiségű gyűjtött adat elemzése és rendszerezése időigényes és kihívást jelenthet. Fontos a fókusz megtartása, és csak a releváns információk gyűjtése, amelyek közvetlenül hozzájárulnak a behatolás teszt céljaihoz. Egy jól strukturált adatkezelési módszer elengedhetetlen a hatékony munkavégzéshez.

Jogi és etikai korlátok

Az etikus hackelés alapvető eleme a jogi és etikai korlátok szigorú betartása. Ez azt jelenti, hogy a footprinting tevékenységnek a megbízó által jóváhagyott scope-on belül kell maradnia. A scope-on kívüli adatok gyűjtése, különösen, ha személyes adatokat vagy harmadik fél rendszereit érinti, illegális és etikátlan lehet. Az aktív footprinting különösen érzékeny terület, mivel közvetlen interakcióba lép a célrendszerrel, és potenciálisan riasztásokat válthat ki. A szakembernek folyamatosan figyelembe kell vennie, hogy „mit szabad tennie”, nem csak „mit tehet meg”.

„A footprinting során a legnagyobb kihívás nem az adatok hiánya, hanem az adatok bősége és a releváns információk azonosítása a zajban.”

A célrendszer védekezése és detektálása

A modern biztonsági rendszerek, mint az IDS (Intrusion Detection System), IPS (Intrusion Prevention System), tűzfalak és honeypot-ok, képesek észlelni az aktív footprinting tevékenységeket. Egy agresszív port szkennelés vagy DNS zóna transzfer kísérlet azonnal riasztást válthat ki a célpont biztonsági központjában. Ez nemcsak a felderítést teszi nehezebbé, hanem a későbbi támadási fázisokat is veszélyeztetheti, mivel a célpont már tudni fogja, hogy támadás alatt áll. A diszkréció és a lassú, fokozatos felderítés kulcsfontosságú.

Időigényesség

Egy alapos footprinting fázis rendkívül időigényes lehet, különösen nagy és komplex szervezetek esetében. Az információk gyűjtése, rendszerezése, elemzése és a források keresztellenőrzése sok órát vagy akár napot is igénybe vehet. A projekt időkerete és költségvetése gyakran korlátozza a felderítés mélységét, ami kompromisszumokat tehet szükségessé a teljesség terén.

Rejtett infrastruktúra

Egyes szervezetek rejtett vagy szegmentált infrastruktúrával rendelkeznek, amely nehezen deríthető fel nyilvános forrásokból vagy alapvető szkennelési technikákkal. Ilyenek lehetnek a felhő alapú rendszerek, amelyek dinamikusan változó IP-címekkel rendelkeznek, vagy a belső hálózatok, amelyek nincsenek közvetlenül kitéve az internetnek. Ez megnehezíti a teljes támadási felület feltérképezését.

Ezeknek a kihívásoknak a tudatában a kiberbiztonsági szakembernek rugalmasnak, módszeresnek és rendkívül óvatosnak kell lennie a footprinting fázis során. A folyamatos tanulás, az új eszközök és technikák megismerése, valamint a kritikus gondolkodás elengedhetetlen a sikeres felderítéshez.

Footprinting a modern kiberbiztonsági környezetben

A digitális táj folyamatosan változik, és ezzel együtt a footprinting technikáknak is alkalmazkodniuk kell a modern kiberbiztonsági környezet kihívásaihoz. A hagyományos, on-premise infrastruktúrák mellett egyre nagyobb hangsúlyt kapnak a felhő alapú rendszerek, az IoT eszközök, a mobil alkalmazások és a DevOps gyakorlatok.

Felhő alapú rendszerek (Cloud Environments)

A felhőbe való migráció jelentősen megváltoztatta a footprinting dinamikáját. A hagyományos IP-cím tartományok helyett, amelyek statikusak és könnyen felderíthetők voltak, a felhőben (AWS, Azure, GCP) a források dinamikusan változó IP-címekkel rendelkezhetnek, és gyakran szerver nélküli (serverless) architektúrákat használnak. A nyilvános felhő erőforrások (S3 bucketek, Azure Blob tárolók, Google Cloud Storage) gyakran hibás konfigurációk miatt nyilvánosan elérhetővé válnak, érzékeny adatokat tartalmazva.

A felhő alapú footprintinghez az alábbiakra kell fókuszálni:

• Nyilvános tárolók: Keresőmotorok és speciális eszközök (pl. S3Scanner) használata a hibásan konfigurált, nyilvános felhő tárolók felderítésére.
• Felhő szolgáltatás specifikus információk: A felhő szolgáltatók (pl. AWS) által kínált nyilvános API-k vagy metaadatok elemzése, ha azok elérhetők.
• Felhasználói fiókok és hozzáférési kulcsok: Nyilvánosan elérhető kódtárakban (pl. GitHub) vagy dokumentumokban elhagyott felhő hozzáférési kulcsok keresése.
• Felhő specifikus OSINT eszközök: Eszközök, amelyek kifejezetten a felhő infrastruktúra felderítésére szolgálnak.

IoT eszközök (Internet of Things)

Az IoT eszközök elterjedésével egyre több „dolog” csatlakozik az internetre, a biztonsági kameráktól kezdve az okosotthon-eszközökön át az ipari szenzorokig. Ezek az eszközök gyakran gyenge alapértelmezett beállításokkal, elavult firmware-rel és könnyen kitalálható jelszavakkal rendelkeznek, ami hatalmas támadási felületet biztosít.

Az IoT footprinting során a Shodan és Censys különösen hasznos, mivel képesek azonosítani az internetre csatlakoztatott, nem hagyományos eszközöket és az azokhoz kapcsolódó szolgáltatásokat.

Mobil alkalmazások

A mobil alkalmazások is egyre nagyobb szerepet játszanak a vállalatok működésében, és újabb footprinting lehetőségeket teremtenek. Az alkalmazásboltokban (Google Play Store, Apple App Store) elérhető alkalmazások elemzése, a metaadatok, a leírások és a felhasználói vélemények átvizsgálása értékes információkat szolgáltathat a backend infrastruktúráról, API végpontokról vagy a fejlesztési gyakorlatokról.

A mobil alkalmazások footprintingje magában foglalhatja a dekompilálást (az applikáció kódjának visszafejtését) is, hogy rejtett API kulcsokat, belső URL-eket vagy egyéb érzékeny információkat találjunk.

DevOps és CI/CD pipeline-ok

A DevOps kultúra és a CI/CD (Continuous Integration/Continuous Deployment) pipeline-ok bevezetése újabb felderítési pontokat hozott létre. A nyilvánosan elérhető Git repozitóriumok (GitHub, GitLab, Bitbucket), CI/CD logok vagy konténer regiszterek (Docker Hub) gyakran tartalmaznak érzékeny információkat, mint például API kulcsok, jelszavak, belső hálózati konfigurációk vagy forráskód részletek. A fejlesztői környezetek és a tesztkörnyezetek is potenciális célpontok lehetnek.

A footprinting ezen a területen a kódellenőrzésre, a nyilvános repozitóriumok szisztematikus átvizsgálására és a CI/CD eszközök konfigurációjának felmérésére fókuszál.

A modern footprinting tehát sokkal összetettebbé vált, mint korábban. Nem elegendő csupán IP-címeket és nyitott portokat keresni; a szakembernek széleskörű tudással kell rendelkeznie a felhőtechnológiákról, az IoT-ről, a mobilfejlesztésről és a modern szoftverfejlesztési gyakorlatokról is, hogy hatékonyan felderíthesse a rejtett támadási felületeket.

Footprinting és a védelmi stratégiák: hogyan védekezhetünk?

A footprinting nem csupán a támadók vagy etikus hackerek eszköze; a védekezők számára is alapvető fontosságú. A szervezeteknek maguknak is rendszeresen el kell végezniük a saját footprintingjüket, hogy felmérjék, milyen információk érhetők el róluk nyilvánosan, és ezáltal csökkentsék a támadási felületüket. Az alábbiakban bemutatunk néhány kulcsfontosságú védelmi stratégiát a footprinting ellen.

1. Az információmegosztás minimalizálása

A legfontosabb lépés a nyilvánosan elérhető információk mennyiségének minimalizálása. Ez magában foglalja:

• Weboldalak és dokumentumok átvizsgálása: Rendszeresen ellenőrizni kell a cég weboldalát, blogját, sajtóközleményeit, karrieroldalait és egyéb nyilvános dokumentumait (pl. PDF-ek, prezentációk), hogy nem tartalmaznak-e érzékeny információkat, mint például belső hálózati struktúrák, szoftververziók, alkalmazotti adatok vagy hibás hivatkozások.
• Metaadatok eltávolítása: A nyilvános dokumentumokból és képekből (pl. álláshirdetésekhez csatolt PDF-ek, marketinganyagok) el kell távolítani a metaadatokat (szerző neve, létrehozás dátuma, szoftververzió, GPS koordináták).
• Közösségi média audit: Az alkalmazottak oktatása a közösségi média használatának kockázatairól. Rendszeres auditot kell végezni a cég hivatalos és a kulcsfontosságú alkalmazottak nyilvános profiljain, hogy ne osszanak meg akaratlanul is belső információkat.
• Nyilvános kódtárak és CI/CD logok ellenőrzése: Gondoskodni kell arról, hogy a nyilvános Git repozitóriumok (GitHub, GitLab) ne tartalmazzanak érzékeny adatokat (API kulcsok, jelszavak, konfigurációs fájlok). A CI/CD pipeline-ok logjait is ellenőrizni kell.

2. DNS és WHOIS adatok védelme

A DNS és WHOIS adatok gyakran az elsődleges célpontjai a footprintingnek.

• WHOIS adatvédelem: Lehetőség szerint használjunk WHOIS adatvédelmi szolgáltatást (privacy protection), amely elrejti a tartománynév-tulajdonos személyes adatait.
• DNSSEC bevezetése: A DNS Security Extensions (DNSSEC) segít megakadályozni a DNS gyorsítótár mérgezést és a hamis DNS válaszokat, ezáltal nehezítve a DNS alapú felderítést.
• Zóna transzfer letiltása: A DNS szervereken szigorúan le kell tiltani a zóna transzfert illetéktelen IP-címekről, hogy megakadályozzuk a teljes DNS zóna másolását.
• Minimalista DNS rekordok: Csak a feltétlenül szükséges DNS rekordokat tegyük közzé.

3. Hálózati és rendszerbiztonsági intézkedések

Az aktív footprinting elleni védekezés a hálózati és rendszerbiztonsági alapelvek betartásán múlik.

• Tűzfalak és hálózati szegmentálás: Szigorú tűzfal szabályok bevezetése, amelyek csak a szükséges portokat és protokollokat engedélyezik. A hálózat szegmentálása (pl. DMZ, VLAN-ok) korlátozza a felderítést, ha egy támadó bejut egy hálózati szegmensbe.
• IDS/IPS rendszerek: Behatolásérzékelő és -megelőző rendszerek telepítése és konfigurálása, amelyek képesek észlelni és blokkolni a gyanús szkennelési és felderítési tevékenységeket.
• Banner grabbing elleni védekezés: A szolgáltatások bannereinek módosítása vagy elrejtése, hogy ne fedjék fel a szoftververziót és az operációs rendszert.
• Portok zárása: Minden nem használt portot zárva kell tartani a szervereken és hálózati eszközökön.
• Rendszeres sebezhetőség-vizsgálat és pentest: Saját magunkon kell elvégezni a footprintinget és a sebezhetőség-vizsgálatokat, hogy azonosítsuk és kijavítsuk a potenciális támadási vektorokat, mielőtt egy rosszindulatú támadó megtenné.

4. Alkalmazotti tudatosság és képzés

Az emberi tényező kulcsfontosságú. Az alkalmazottak képzése a biztonságtudatosságra és a social engineering kockázataira elengedhetetlen. Meg kell tanítani nekik, hogy milyen információkat oszthatnak meg online, és hogyan ismerhetik fel a gyanús megkereséseket (pl. phishing e-mailek, telefonhívások), amelyek célja az információgyűjtés lehet.

5. Fenyegetésfelderítés (Threat Intelligence)

A proaktív védekezés részeként a fenyegetésfelderítés segíthet a szervezeteknek megérteni, milyen típusú footprinting támadásokra számíthatnak, és milyen új technikákat alkalmaznak a támadók. Az iparági hírek, a sebezhetőségi adatbázisok és a biztonsági jelentések figyelemmel kísérése segít felkészülni a jövőbeli fenyegetésekre.

A footprinting elleni védekezés nem egy egyszeri feladat, hanem egy folyamatos folyamat, amely a technológiai intézkedések, az emberi tudatosság és a proaktív monitoring kombinációját igényli. A cél az, hogy a támadási felületet a lehető legkisebbre csökkentsük, és a felderítést a lehető legnehezebbé tegyük a potenciális támadók számára.