Parte: 12 — OSINT e ingeniería social · Fuente: Documentación de SpiderFoot y Maltego · Open Source Intelligence Techniques (M. Bazzell) ⏱️ Duración estimada: 120 min · Nivel: Avanzado
Escalar el OSINT manual mediante herramientas de automatización y correlación gráfica: SpiderFoot para recolección masiva por módulos y Maltego para análisis de enlaces (link analysis). El alumno terminará capaz de orquestar escaneos, gestionar claves de API y transformar datos dispersos en grafos de relaciones interpretables, sin perder el control ético del alcance.
Ejecuta estas herramientas sobre objetivos autorizados o propios. La automatización puede pasar fácilmente de pasiva a activa (resolución DNS, peticiones a la web del objetivo): revisa los módulos y respeta el alcance. Un escaneo masivo no autorizado puede ser detectado y ser ilegal.
Al finalizar, el alumno podrá:
| # | Tema | Por qué importa |
|---|---|---|
| 1 | Automatización vs. OSINT manual | Escala pero exige control |
| 2 | SpiderFoot: módulos y scans | Recolección multi-fuente |
| 3 | Gestión de API keys | Amplía la cobertura |
| 4 | Pasivo vs. activo en módulos | Evita tocar al objetivo sin permiso |
| 5 | Maltego: entidades y transforms | Link analysis visual |
| 6 | Grafos y correlación | Ver relaciones ocultas |
| 7 | Depuración de resultados | Falsos positivos y verificación |
SpiderFoot y Maltego convierten semillas en consultas y relaciones. Son útiles para repetir tareas, conservar caminos y encontrar candidatos, pero no validan automáticamente identidad, propiedad ni actualidad. Un error temprano —dos homónimos fusionados o un dominio compartido— se propaga por todo el grafo y produce una historia visual convincente pero falsa.
El diagrama coloca la revisión después del grafo, no porque solo se revise al final, sino para recordar que una arista generada es una afirmación que necesita procedencia. Cada nodo debería conservar tipo y normalización; cada relación, transform, fuente, hora y confianza. Deduplicar por texto puede unir entidades distintas, mientras no deduplicar puede inflar centralidad.
Se parte de una pregunta y módulos necesarios, no de «ejecutar todo». Los módulos pueden consultar servicios externos, consumir cuotas, transmitir la semilla o realizar actividad directa; se revisan sus comportamientos y términos. Se limita concurrencia, se aíslan credenciales y se evita cargar datos personales en servicios no aprobados.
Una ejecución reproducible conserva versión de herramienta, configuración, semillas, fecha y exportación original. Los resultados cambian porque Internet cambia; repetir no significa obtener lo mismo, sino poder explicar el procedimiento. Para análisis a largo plazo se comparan snapshots en vez de sobrescribirlos.
El color y el tamaño de un nodo pueden representar confianza, tipo o centralidad, pero la leyenda debe decirlo. Un nodo central en la muestra puede ser un CDN o servicio compartido. Los caminos relevantes se inspeccionan contra sus fuentes y se exporta un informe textual con hechos e inferencias; la captura del grafo por sí sola no es una conclusión.
Un transform relaciona dos organizaciones mediante la misma IP. La visualización sugiere infraestructura común, pero la IP pertenece a un hosting masivo. El analista cambia la relación a «alojado por», añade el proveedor y evita fusionar las organizaciones. Después busca certificados y registros oficiales para evaluar vínculos reales. La automatización encontró una coincidencia; la revisión determinó su significado.
| Término | Definición útil |
|---|---|
| Semilla | Entidad inicial autorizada desde la que comienza la expansión. |
| Transform/módulo | Operación que consulta o deriva relaciones. |
| Normalización | Conversión a formas comparables sin asumir identidad. |
| Arista | Relación tipada entre nodos, con fuente y tiempo. |
| Propagación de error | Ampliación de una asociación incorrecta a resultados posteriores. |
El alumno domina la automatización cuando selecciona módulos por pregunta y riesgo, conserva configuración y procedencia, revisa relaciones críticas y entrega un grafo cuya leyenda, fuentes y límites permiten auditarlo.
pip install spiderfoot o vía Docker; arranca la UI con python3 sf.py -l 127.0.0.1:5001.Objetivo: un dominio propio o example.com.
Entrega un informe OSINT automatizado de un objetivo autorizado que incluya: configuración del scan (modo y módulos), grafo de relaciones exportado y una tabla de hallazgos verificados manualmente con nivel de confianza. Criterio de aceptación: el informe demuestra que el escaneo respetó el alcance (pasivo si así se definió) y cada hallazgo relevante fue verificado fuera de la herramienta.
| Síntoma / mensaje | Causa y cómo arreglar |
|---|---|
| Escaneo genera mucho tráfico al objetivo | Se activaron módulos activos. Cambia a modo pasivo o limita módulos. |
| Pocos resultados | Faltan API keys. Configúralas en Settings. |
| Grafo Maltego saturado e ilegible | Demasiadas entidades. Filtra, agrupa y usa layouts. |
| Transforms fallan | Cuota agotada o transform hub no instalado. Revisa límites y reintenta. |
| Resultados contradictorios | Fuentes desactualizadas. Verifica manualmente antes de concluir. |
❓ ¿SpiderFoot es siempre pasivo? No. Tiene módulos activos que consultan al objetivo (DNS, HTTP). Usa el modo pasivo si tu alcance lo exige.
❓ ¿Maltego CE sirve profesionalmente? Para aprender y grafos pequeños sí. Tiene límites de entidades por transform; la edición comercial levanta esos límites.
❓ ¿La automatización reemplaza al analista? No. Recolecta a escala, pero el juicio, la verificación y la interpretación siguen siendo humanos.
Clase 254 — OSINT técnico: Shodan y Censys