Quando se fala em cibersegurança, muito se ouve falar de ataques, malware ou ransomware. No entanto, antes de qualquer ataque bem-sucedido existe quase sempre uma fase de preparação: o footprinting.
Esta técnica consiste na recolha de informação sobre uma organização, empresa ou utilizador, recorrendo a fontes públicas e a ferramentas especializadas. O objetivo é construir um perfil detalhado do alvo, identificando possíveis pontos de entrada e vulnerabilidades que possam ser exploradas.
O que é o footprinting?
O footprinting é um processo de reconhecimento (reconnaissance) que permite reunir o máximo de informação possível antes de uma ação ofensiva ou de uma auditoria de segurança.
Os dados recolhidos podem incluir:
- Domínios e subdomínios;
- Endereços IP públicos;
- Registos DNS;
- Tecnologias utilizadas num website;
- Endereços de e-mail;
- Estrutura da organização;
- Funcionários e respetivos cargos;
- Serviços expostos à Internet;
- Informações disponíveis nas redes sociais
Embora esta técnica seja frequentemente associada a atacantes, também é amplamente utilizada por equipas de segurança para identificar informação exposta desnecessariamente e reduzir a superfície de ataque.
Footprinting passivo e ativo
O footprinting divide-se em duas categorias principais: Footprinting passivo e Footprinting ativo
Footprinting passivo
Nesta modalidade, a recolha de informação é feita sem qualquer interação direta com os sistemas do alvo. São utilizadas fontes públicas, como motores de pesquisa, redes sociais, bases de dados WHOIS, registos DNS e plataformas como o GitHub.
Como não existe contacto direto com os servidores da organização, esta atividade é praticamente impossível de detetar.
Footprinting ativo
No footprinting ativo existe interação direta com os sistemas do alvo. São realizados pedidos DNS, scans de portas, identificação de serviços, deteção de versões de software e outras técnicas que permitem obter informação mais detalhada.
Este tipo de atividade pode ser registado pelos sistemas de monitorização e, em alguns casos, gerar alertas de segurança.
Ferramentas mais utilizadas
Existem diversas ferramentas que facilitam este processo, entre as quais:
- Google Dorks;
- theHarvester;
- Sublist3r;
- Amass;
- Maltego;
- Shodan;
- Nmap;
- DNSRecon;
- Recon-ng.
Cada uma destas ferramentas tem objetivos específicos, desde a descoberta de subdomínios até à identificação de serviços expostos ou à análise de relações entre pessoas, empresas e infraestruturas.
Como reduzir a informação disponível?
Eliminar totalmente a pegada digital de uma organização é praticamente impossível. No entanto, é possível reduzir significativamente a quantidade de informação acessível.
Algumas boas práticas incluem:
- Remover serviços desnecessários da Internet;
- Ocultar informação sensível em registos públicos sempre que possível;
- Rever regularmente a informação publicada em websites e redes sociais;
- Evitar divulgar detalhes técnicos da infraestrutura;
- Monitorizar continuamente ativos expostos à Internet;
- Realizar avaliações periódicas de OSINT e footprinting.
O footprinting demonstra que, muitas vezes, o maior problema não está numa vulnerabilidade técnica, mas na quantidade de informação disponível publicamente.
Conhecer a própria pegada digital é um passo essencial para qualquer organização. Afinal, quanto menos informação estiver acessível a potenciais atacantes, menor será a probabilidade de um ataque bem-sucedido.