OSINT 是 open source intelligence（开源情报）的缩写，指利用任何人都能合法获取的信息所形成的情报，这些信息包括新闻报道、公共记录、公司备案文件、社交媒体帖子、卫星图像、网站及其留下的技术痕迹。这里的“开源”与开源软件无关，它指的是信息来源向公众开放，与机密信息或通过秘密手段获取的信息相对。
这个术语源自政府情报领域，但如今大多数 OSINT 工作由记者、安全团队、反欺诈与合规分析师、品牌保护团队和研究人员完成。我们的 OSINT 与调查新闻代理 页面介绍了这些团队在信息采集方面的做法；本文则讲解基础知识：OSINT 是什么、信息从哪里来、如何开展，以及边界在哪里。
一个可用的定义
美国法律给出了最常被引用的定义之一。《2006 财年国防授权法》（National Defense Authorization Act for Fiscal Year 2006）第 931 条（Section 931） 将开源情报描述为“基于公开可得信息产生”的情报，这些情报“被及时收集、利用并分发给适当的受众，以满足特定的情报需求”。
这个定义中有两点在政府之外同样重要。
- 公开可得的信息是原材料，而不是成品。 一张帖子截图只是信息。知道是谁发布的、何时发布、从哪里发布，以及内容是否真实，这才是情报。
- 它始于一个需求。 OSINT 回答的是某人确实存在的问题：这家供应商是否真实存在，谁在操纵这个钓鱼域名，这件事是否真的发生在视频所称的时间和地点。在没有问题的情况下收集一切公开信息只是囤积，而且这本身就会带来法律问题。
OSINT 的信息来源
开放来源大致可分为以下几类。
| 来源类型 | 示例 | 典型问题 |
|---|---|---|
| 媒体 | 新闻网站、广播电视、新闻稿、地方媒体 | 报道了什么、由谁报道、何时报道 |
| 公共记录 | 公司登记、法院记录、采购公告、房产与规划记录 | 谁拥有或管理某个实体，它有哪些法律记录 |
| 社交与社区平台 | 公开帖子、论坛、评论、视频平台 | 人们在什么时间说了什么、展示了什么、声称了什么 |
| 图像与地图 | 卫星图像与街景图像、地图服务 | 某物位于何处，是否发生了变化 |
| 技术痕迹 | DNS 记录、WHOIS 与 RDAP 数据、证书透明度日志、网页存档 | 谁在运营某个域名或服务器，还有哪些内容与之关联 |
| 灰色文献 | 学术论文、非政府组织报告、会议演讲、政府出版物 | 关于某一主题已有哪些已知信息 |
大多数调查会结合其中几类来源。在钓鱼邮件中发现的一个域名会引出注册数据，再引出为相关主机名签发的证书，然后是公司登记信息，最后是某个社交账号。每一步本身都是公开的，价值在于它们之间的关联。
核心技术方法
高级搜索。 搜索运算符（site、filetype、精确短语、日期范围）可以把海量结果缩小到真正重要的少数几个页面。从不同国家运行相同的查询同样重要，因为搜索结果和本地来源会因地点而不同。
存档与变更追踪。 网页会改变，也会消失。网页存档能显示某个页面过去的内容，而自行保存带有时间戳的副本，并记录 URL 和抓取时间，才能让一项发现成为证据。
图像与视频核实。 反向图片搜索可以找到图片更早的副本。地理定位（将地标、标志和地形与地图比对）和时间定位（阴影、天气、同一事件的其他影像）可以检验照片或视频是否如其所称。文件元数据也有帮助，但大多数平台会在上传时将其删除。
基础设施分析。 在安全工作中，DNS 历史、证书透明度日志和托管数据可以描绘出对手的域名和服务器。我们关于 用于威胁情报的住宅代理 的文章解释了为什么部分基础设施会因访问者不同而表现不同。
记录调查。 公司、法院和采购记录可以回答所有权和历史方面的问题。我们的 调查报道中的公共记录采集 指南详细介绍了方法和核实流程。
工作如何组织
专业的 OSINT 遵循一个循环：明确问题、收集、处理（去重、翻译、结构化）、分析，然后向需要答案的人报告。随着发现引出新的问题，这个循环会不断重复。
有两个习惯能把可靠的工作与猜测区分开来：
- 交叉印证。 单一来源永远不够。各项说法都要与独立来源核对，报告中还要说明分析人员的把握程度。
- 记录留档。 每项发现都要记录其来源、抓取时间和方式。由加州大学伯克利分校人权中心与联合国人权事务高级专员办事处共同发布的 Berkeley Protocol on Digital Open Source Investigations，为可能进入法庭的调查制定了此类标准。
法律边界
“公开”并不意味着“怎样都行”。主要的界线如下。以下内容为一般性信息，不构成法律意见；具体规则取决于你所在的国家和你的目的。
个人数据依然是个人数据。 根据 GDPR 及类似法律，有关可识别个人的信息即使已公开发布，仍然受到保护。收集此类信息需要合法依据、明确目的，并且仅限于目的所需的范围。新闻报道和安全研究通常享有特定豁免，但这些豁免并非没有限度。
公开意味着你无需闯入。 未经授权访问账户、私密群组或系统，可能构成计算机滥用相关法律下的刑事犯罪，例如美国的 Computer Fraud and Abuse Act 或英国的 Computer Misuse Act。猜测密码、使用泄露的凭据或绕过登录墙都不属于 OSINT。
平台条款依然适用。 许多网站在其条款中限制自动化采集或虚假账户。违反条款通常属于合同问题而非刑事犯罪，但可能导致账户被封禁，并削弱证据的效力。
著作权约束你重新发布的内容。 为分析而采集一个页面，与发布其中包含的照片或文字是两回事。
关于自动化采集这一具体问题，我们的 网页抓取是否合法 概述梳理了主要情形。
伦理边界
合法只是底线，而不是标准。经验丰富的调查人员还会问：
- 是否相称？ 摸清一个欺诈网络，比满足对某个普通人的好奇心更有理由进行大量收集。
- 谁可能受到伤害？ 旁观者、信息来源和家庭成员同样会出现在公开数据中。对于非调查对象的人，尽量少保留相关信息。
- 这项发现会不会是错的？ 公开场合的错误指认，尤其是在网上，会造成持久的伤害。在点名任何人之前先做交叉印证。
- 你是否保护好了自己和信息来源？ 调查可能惊动调查对象，而有些对象会进行报复。
代理的作用
OSINT 工作有一个容易被忽视的网络层面。你打开的每个页面都会让网站知道你的 IP 地址。这可能向调查对象暴露你所在的机构，而且许多网站会根据访问者看似所在的位置显示不同的内容、结果或价格。
住宅代理 让分析人员能以目标国家或城市本地访问者的身份查看网站，并让机构自身的网络不出现在目标的日志中。进行大规模采集的团队，例如监控钓鱼工具包或品牌滥用的安全团队，也会用它来分散请求，使采集保持在网站可接受的范围内。我们的 网络安全使用场景 介绍了这些工作流程。
需要明确它能做什么、不能做什么。代理改变的是网站看到的 IP 地址；它不会让调查人员变得匿名，已登录的账户、浏览器指纹和行为仍然可能识别出你的身份。我们的解读文章 代理不是匿名工具 深入讨论了这些局限，运营安全措施必须覆盖这些方面。
常见问题
OSINT 代表什么？
Open source intelligence，即开源情报：基于公开可得信息形成的情报。“开源”指的是信息来源是公开的，而不是开源软件。
OSINT 合法吗？
收集和分析公开信息通常是合法的，但数据保护法、计算机滥用相关法律、平台条款和著作权仍然适用。个人数据即使公开也依然受到保护，而绕过登录或访问控制不属于 OSINT。
哪些人在使用 OSINT？
记者、安全与威胁情报团队、反欺诈与合规分析师、尽职调查机构、品牌保护团队、人权研究人员以及政府。
OSINT 与数据抓取有什么区别？
抓取是一种收集方法。OSINT 则是利用公开来源回答问题的完整过程：规划、手动或自动收集、核实、分析和报告。
总结
OSINT 不是“在网上搜一下某个人”。它是一种基于公开来源回答具体问题的严谨方法，强调交叉印证、记录留档和清晰的界限。从问题出发，只收集问题所需的信息，记录每项发现的来源，并把法律与伦理界线视为方法本身的一部分。