Tema 7
El reconocimiento pasivo permite entender la superficie pública de una organización sin interactuar directamente con sus sistemas. Bien ejecutado, revela dominios, tecnologías, personas, proveedores, exposiciones y pistas útiles para orientar una prueba autorizada.
OSINT significa Open Source Intelligence, o inteligencia de fuentes abiertas. En pentesting, se utiliza para recopilar información disponible públicamente sobre una organización, sus activos, tecnologías, empleados, proveedores, dominios y posibles puntos de exposición.
El reconocimiento pasivo se diferencia del activo porque no envía tráfico directo a los sistemas del objetivo. En lugar de escanear servidores, consulta fuentes públicas, motores de búsqueda, registros DNS históricos, certificados, repositorios, documentos y bases de datos expuestas por terceros.
Esta fase permite planificar mejor la prueba, validar el alcance y priorizar objetivos sin generar alertas ni carga sobre la infraestructura evaluada.
OSINT en pentesting es la recopilación, correlación y análisis de información pública con fines defensivos y autorizados. No se trata de acumular datos sin criterio, sino de transformar señales dispersas en conocimiento útil para evaluar riesgo.
Ambos enfoques buscan comprender el objetivo, pero tienen diferencias importantes en interacción, riesgo y visibilidad.
| Aspecto | Pasivo | Activo |
|---|---|---|
| Interacción con el objetivo | No contacta directamente sistemas del objetivo | Envía tráfico a sistemas autorizados |
| Fuentes | Buscadores, DNS público, certificados, repositorios | Ping, escaneos, fingerprinting, enumeración directa |
| Riesgo operativo | Bajo | Variable según intensidad y técnica |
| Visibilidad para defensa | Menor, porque no toca infraestructura propia | Mayor, puede generar logs y alertas |
| Precisión | Puede incluir datos antiguos o incompletos | Puede confirmar estado actual con más precisión |
El reconocimiento pasivo debe tener objetivos definidos para evitar perder tiempo en información irrelevante. En una prueba profesional, se busca construir hipótesis útiles para las fases siguientes.
OSINT puede revelar activos relacionados con la organización, pero relación no significa autorización. Un dominio, IP o repositorio encontrado públicamente debe validarse contra el alcance antes de avanzar con pruebas activas.
Por ejemplo, un subdominio puede apuntar a un proveedor externo, una marca adquirida, un entorno abandonado o una infraestructura compartida. Antes de escanear o probar, hay que confirmar si el activo está autorizado.
Las fuentes OSINT se complementan entre sí. Una fuente puede estar desactualizada, otra puede mostrar datos parciales y otra puede confirmar una relación.
| Fuente | Qué puede revelar | Cuidado |
|---|---|---|
| Motores de búsqueda | Páginas indexadas, documentos, rutas, errores | Puede mostrar contenido antiguo o cacheado |
| DNS público | Registros, nombres, servidores, correo | No todo subdominio encontrado sigue activo |
| Transparencia de certificados | Subdominios y nombres alternativos | Puede incluir entornos antiguos o internos filtrados |
| Repositorios públicos | Código, secretos, dominios, nombres de sistemas | No clonar ni usar secretos fuera del marco autorizado |
| Redes profesionales | Roles, tecnologías, estructura de equipos | Tratar datos personales con responsabilidad |
| Bases de datos de filtraciones | Correos o credenciales expuestas | No intentar autenticación con credenciales filtradas sin autorización expresa |
Los motores de búsqueda permiten localizar información pública usando operadores. Esto puede revelar documentos, directorios indexados, paneles, mensajes de error o archivos expuestos.
Ejemplos de enfoques útiles:
La búsqueda no debe convertirse en intento de acceso no autorizado. Si aparece un panel o archivo sensible, se documenta evidencia mínima y se valida el tratamiento con las reglas del proyecto.
DNS es una de las fuentes más valiosas para reconocimiento. Los nombres suelen revelar entornos, tecnologías, funciones internas y proveedores.
La presencia de un subdominio no prueba que esté activo o dentro de alcance. Debe correlacionarse con registros DNS actuales, certificados, respuestas HTTP o validación del cliente.
Los registros de Certificate Transparency almacenan certificados emitidos por autoridades certificadoras. Como muchos certificados incluyen nombres alternativos, son útiles para descubrir subdominios y relaciones entre servicios.
En OSINT, estos registros pueden revelar:
WHOIS y datos de registradores pueden aportar información sobre fechas de registro, servidores de nombres, registrador y contactos, aunque muchas organizaciones usan privacidad o datos genéricos.
Su utilidad principal es contextual:
La información pública sobre IPs, ASN y proveedores ayuda a entender dónde se aloja la superficie externa. Una organización puede usar infraestructura propia, cloud, CDN, proveedores de correo, WAF o servicios administrados.
| Dato | Qué indica | Utilidad |
|---|---|---|
| ASN | Bloques de red asociados a una organización o proveedor | Identificar infraestructura propia o tercerizada |
| Reverse DNS | Nombres asociados a direcciones IP | Descubrir roles de servidores o proveedores |
| CDN | Intermediario de entrega de contenido | Distinguir origen real de capa de protección |
| Cloud | Uso de AWS, Azure, Google Cloud u otros | Orientar revisión de exposición y servicios administrados |
Algunas fuentes públicas permiten inferir tecnologías sin escanear directamente. Buscadores, páginas cacheadas, cabeceras indexadas, archivos públicos, documentación técnica y ofertas laborales pueden revelar frameworks, lenguajes y plataformas.
Estas pistas ayudan a preparar pruebas futuras, pero no deben tratarse como confirmación final hasta validar el estado actual.
Los repositorios públicos pueden revelar código, documentación, scripts, nombres de servicios, rutas internas, dominios, variables de entorno y, en casos graves, secretos. La revisión debe hacerse con responsabilidad y dentro del marco autorizado.
Elementos que conviene revisar:
Documentos publicados por una organización pueden contener metadatos: nombres de usuario, rutas internas, versiones de software, impresoras, sistemas operativos o fechas. También pueden revelar estructura organizativa y nombres de áreas.
En un reporte, no hace falta conservar documentos completos si contienen información sensible. Basta con evidenciar el metadato relevante y su origen.
OSINT también puede revelar información sobre personas: cargos, áreas, tecnologías usadas, correos, convenciones de nombres y proveedores. Esta información puede ser útil para comprender riesgo, especialmente en pruebas de ingeniería social autorizada o evaluación de exposición.
Debe tratarse con cuidado porque involucra datos personales. El objetivo no es invadir privacidad, sino entender exposición organizacional dentro de un marco profesional.
Las filtraciones públicas pueden incluir correos corporativos, contraseñas reutilizadas, hashes, tokens o datos de empleados. En un pentest, esta información debe manejarse con mucha cautela.
Buenas prácticas:
Las redes sociales, blogs, conferencias, publicaciones técnicas y anuncios de empleo pueden revelar información sobre tecnologías, proyectos, proveedores y cultura de seguridad. En OSINT, esta información se usa para contexto y priorización.
| Fuente | Información posible | Uso responsable |
|---|---|---|
| Ofertas laborales | Stacks tecnológicos, cloud, herramientas internas | Orientar hipótesis técnicas, no perfilar personas innecesariamente |
| Perfiles profesionales | Roles, áreas, certificaciones, tecnologías | Usar información agregada y relevante para el alcance |
| Blogs técnicos | Arquitectura, prácticas, herramientas | Identificar tecnologías y posibles superficies |
| Comunicados públicos | Proveedores, adquisiciones, nuevas plataformas | Correlacionar con dominios y activos |
Muchas organizaciones usan servicios cloud y SaaS que dejan señales públicas: buckets de almacenamiento, dominios de aplicaciones, endpoints de identidad, tenants, CDN, repositorios de artefactos o paneles de administración.
El reconocimiento pasivo puede identificar:
La validación activa de permisos sobre recursos cloud debe estar autorizada. OSINT solo permite identificar señales y documentar exposición pública.
OSINT produce mucho ruido. Una lista enorme de subdominios o correos no sirve si no está filtrada, clasificada y relacionada con el alcance. La correlación convierte datos crudos en información útil.
Una matriz simple ayuda a documentar información sin mezclar hechos, hipótesis y acciones recomendadas.
| Hallazgo | Fuente | Estado | Acción sugerida |
|---|---|---|---|
| Subdominio de staging encontrado | Certificado público | Pendiente de validar alcance | Confirmar propiedad antes de pruebas activas |
| Repositorio con endpoint interno | Repositorio público | Relacionado con la organización | Reportar exposición y revisar si hay secretos |
| Patrón de correos identificado | Perfiles y documentos públicos | Confirmado por múltiples fuentes | Usar solo si el alcance autoriza pruebas de identidad |
| Proveedor cloud detectado | DNS y certificados | Probable | Correlacionar con activos incluidos |
El reconocimiento pasivo puede revelar problemas relevantes sin tocar sistemas del objetivo.
La documentación OSINT debe ser precisa y reproducible. Cada dato importante necesita fuente, fecha, contexto y nivel de confianza.
Un flujo simple y ordenado para esta fase podría ser:
El OSINT bien ejecutado permite llegar a la fase activa con mejor contexto, menos ruido y mayor precisión. También puede revelar exposiciones importantes sin tocar directamente la infraestructura del objetivo.
En el próximo tema avanzaremos hacia el reconocimiento activo, el descubrimiento de hosts y el mapeo de superficie expuesta, siempre dentro del alcance autorizado y con control sobre la intensidad de las pruebas.