OSINT — تشتغل محقق فيدرالي بجد

هو OSINT ده إيه أصلاً؟

اللي إنت بتعمله ع Google ولا حاجة جدّية؟

اللي بتعمله Bellingcat لما بيكشفوا قاتل في سوريا من صورة ظل، ده نفس اللي إنت بتعمله لما بتدوّر على إيميل صاحبتك القديمة؟

الـ FBI analyst اللي قاعد يحلّل APT operator، شغله في Maltego ده "بحث على Google" برضه؟

بُص. الإجابة: لا، آه، وآه. الفرق مش في الأدوات — الفرق في العقلية.

OSINT (Open-Source Intelligence) = جمع منظّم لمعلومات متاحة للعامة: مواقع، شبكات اجتماعية، سجلات شركات، DNS، صور أقمار صناعية، تسريبات بيانات منشورة.

أي Red Team بيعمل recon، أي threat intel analyst شغّال على incident، أي محقق فيدرالي بيتابع actor — بيبدأ من هنا. مفيش غنى عنه.

السيناريو: APT operator سرّب إيميل، اعمل إيه؟

تعالى نمشي على حالة. وصلك إيميل تسريب: shadow_op_42@protonmail.com. التسريب بيقول إن صاحب الإيميل ده عنصر في مجموعة بتستهدف بنية تحتية حكومية. مفيش حاجة تانية. ابدأ منين؟

ما تيجيش تفتح Google وتكتب الإيميل وتضغط Enter. ده شغل عيال صغيرة. اشتغل بعقلية المخبر.

دورة حياة OSINT — خمس مراحل

الأكاديميين عاملين ليها أسامي رنانة. أنا هقولهالك بالبلدي.

تصنيف المصادر — INTs الخمسة

الناس بتسمع الكلمات دي وتجري. بُص، الموضوع بسيط:

• HUMINT (Human Intelligence) — معلومات من بشر. مقابلات، forums، قنوات Telegram. مثال: تحليل بوستات Conti اللي اتسرّبت من العضو المتخاصم في 2022 — كله HUMINT من leaked chats.
• SIGINT (Signals Intelligence) — اعتراض اتصالات. في الـ open source: passive DNS، BGP feeds، شهادات TLS من crt.sh.
• IMINT (Imagery Intelligence) — صور أقمار صناعية. مثال: Bellingcat استخدمت Sentinel-2 و Maxar عشان يثبتوا تحرّكات روسية في 2022 قبل ما الحرب تبدأ.
• SOCMINT (Social Media Intelligence) — Twitter, LinkedIn, Telegram, Discord. الـ APT operators بيعملوا OPSEC ممتاز في الـ malware، وبيكتبوا اسمهم الحقيقي على Twitter. حقيقة.
• GEOINT (Geospatial Intelligence) — موقع جغرافي. EXIF في الصور، سحاب في الخلفية، ظل عمارة، لافتة شارع. الـ Bellingcat geolocation challenges أحسن مدرسة.

الأدوات — متى تستخدم كل واحدة

الواقع vs المفروض: المفروض إنك تعرف كل أداة. الواقع، إنت محتاج تعرف امتى تستخدم كل واحدة. الفرق كبير.

• Maltego — لما الـ entities كتير وعايز ترسم الـ graph. ممتاز للـ attribution. مش ممتاز للسرعة.
• Spiderfoot — automation كامل. بتدّيله target، بيرجعلك تقرير. كويس للـ scoping السريع، ضعيف في الـ depth.
• Sherlock — username عبر 400 موقع. أداتك الأولى لما يبقى عندك alias.
• Hunter.io — لما عايز إيميلات موظفي شركة. بدون ما تحرق نفسك.
• dehashed / HIBP — التسريبات. بس انتبه — في دول استخدامها مش قانوني من غير warrant.
• Shodan — أي حاجة فيها IP. الـ banner بيقولك حاجات الـ vendor نفسه نسي يخفيها.
• theHarvester — جمع سريع لإيميلات و subdomains من passive sources. كويس كنقطة بداية.

أدوات يومية

# اكتشاف subdomains
subfinder -d target.gov -all -silent | tee subs.txt
amass enum -passive -d target.gov

# شهادات TLS من crt.sh
curl -s "https://crt.sh/?q=target.gov&output=json" | jq -r '.[].name_value' | sort -u

# WHOIS و reverse-IP
whois target.gov
curl -s "https://api.hackertarget.com/reverseiplookup/?q=$(dig +short target.gov | head -1)"

# Wayback URLs
curl -s "https://web.archive.org/cdx/search/cdx?url=target.gov/*&output=text&fl=original&collapse=urlkey"

OSINT للإسناد — من فعل ماذا؟

لما بتشرّح حملة هجومية، الـ OSINT هو اللي بيحوّل "هاكر مجهول" لـ "مجموعة في منطقة زمنية معيّنة، مستخدمة نفس الـ infrastructure من حملة سابقة، واسمها ظهر في commit على GitHub".

وده أصعب شغل في الـ field كله.

القانون — للـ federal analyst تحديداً

إنت داخل على الـ federal SOC. قبل ما تكتب أمر واحد، اعرف:

• الـ OSINT في حد ذاته قانوني — قراية مواقع عامة، WHOIS، Shodan، crt.sh، LinkedIn — كل ده مفيش فيه مشكلة.
• تعدية access controls = جريمة تحت 18 U.S.C. § 1030 (CFAA). حتى لو الـ login form ضعيف. حتى لو الباسورد "admin/admin". إنت لو دخلت من غير authorization، إنت مخالف.
• Breach corpora (HIBP, DeHashed, COMB) — استخدامها للأبحاث الـ defensive عادي. بس الـ federal analyst محتاج warrant أو exigent circumstances قبل ما يستخدم credentials منها لـ pivot على حساب فعلي.
• Sock puppets في جروبات مقفولة — لو الجروب فيه expectation of privacy، إنت محتاج warrant. الـ Fourth Amendment مش بيختفي لأنك على Telegram.
• الـ FISA Section 702 بيحكم كل اللي بيتجمع على non-US persons. والـ Section 215 بيحكم metadata. اعرف الفرق قبل ما تجمع حاجة.

الخلاصة الناشفة

OSINT مش كلمة مفتاح في Google.

هي عقلية شك منظّمة.

اللي بيشتغل بيها صح، بيشوف اللي مش شايفه التانيين. اللي بيستعجل، بيغلط في الـ attribution، وبيوقّع نفسه في مشاكل قانونية، وبيحرق القضية.

اوعى تستعجل على الإسناد. اشتغل بهدوء. شك في كل حاجة. وثّق كل خطوة.

مصادر

• OSINT Framework — osintframework.com
• Bellingcat Online Investigation Toolkit
• SANS SEC487 / SEC587 — OSINT analysis
• MITRE ATT&CK — Reconnaissance (TA0043)