OSINT 도구는 하는 일을 기준으로 고르는 것이 가장 쉽습니다. 도메인 및 인프라용, 소셜 미디어용, 이미지 및 동영상용, 유출 데이터용 도구가 각각 있고, 기록, 아카이빙, 정보 연결을 위한 도구도 몇 가지 있습니다. 이 가이드에서는 조사자들이 각 카테고리에서 실제로 사용하는 도구와 각 도구의 장점, 한계를 정리합니다. 또한 대부분의 도구 목록이 건너뛰는 부분, 즉 각 조회가 사용자에 관해 무엇을 드러내는지, 그리고 팀이 그 네트워크 계층을 어떻게 다루는지도 다룹니다. 이것이 바로 OSINT 및 탐사 저널리즘을 위한 프록시 페이지의 주제입니다.
이 분야가 처음이라면 OSINT란 무엇인가 소개 글부터 읽어 보세요. 출처, 방법, 법적 경계를 다룹니다. 이 글은 기본 사항을 알고 있고 도구 모음이 필요한 분을 대상으로 합니다.
도메인 및 인프라
여기서의 질문은 누가 도메인이나 서버를 운영하는지, 그 밖에 무엇이 연결되어 있는지, 그리고 어떻게 변해 왔는지입니다.
- ICANN Lookup은 WHOIS를 대체하는 최신 방식인 RDAP를 통해 등록 데이터를 조회합니다. GDPR 이후 대부분의 개인 정보는 가려져 있지만, 등록 기관, 생성일, 네임 서버는 여전히 유용합니다.
- crt.sh는 인증서 투명성 로그를 검색합니다. 공개적으로 신뢰되는 모든 TLS 인증서는 기록되므로, 도메인을 검색하면 소유자가 어디에도 링크하지 않은 하위 도메인과 관련 호스트 이름이 드러나는 경우가 많습니다.
- SecurityTrails는 과거 DNS 레코드를 보여주므로, 사이트가 CDN 뒤로 옮기기 전에 어디에서 호스팅되었는지 찾는 데 도움이 됩니다.
- Shodan과 Censys는 인터넷에 연결된 기기와 서비스를 색인합니다. 이 인증서를 공유하거나 정확히 같은 서버 배너를 사용하는 다른 호스트가 무엇인지 같은 질문에 답해 줍니다.
- urlscan.io는 샌드박스에서 URL을 로드하고, 해당 URL이 무엇을 요청했는지, 어떤 도메인에 접속했는지, 어떻게 보였는지를 기록합니다.
- VirusTotal은 여러 백신 엔진과 URL 스캐너의 판정 결과를 모아 보여주며, 도메인, IP 주소, 파일 간의 관계도 보여줍니다.
이 중 두 도구에는 알아두어야 할 공개 범위 설정이 있습니다. urlscan.io 스캔은 공개, 비공개 목록(unlisted), 비공개로 설정할 수 있으며, 공개 스캔은 조사 중인 사이트의 운영자를 포함한 다른 사람들이 볼 수 있습니다. VirusTotal에 제출된 파일과 URL은 유료 사용자가 볼 수 있습니다. 기밀 문서는 절대 업로드하지 말고, 제출 행위만으로도 신중한 상대에게 조사 사실이 알려질 수 있다고 가정하세요.
소셜 미디어 및 사용자 이름
여기서의 질문은 어떤 사람이나 계정이 어디에 나타나는지, 무엇을 언제 게시했는지입니다.
- Sherlock은 하나의 사용자 이름을 수백 개 사이트에서 확인하는 오픈 소스 명령줄 도구입니다.
- WhatsMyName은 관리되는 사이트 목록을 바탕으로 같은 작업을 수행하며, 명령줄을 사용하지 않으려는 사람을 위한 웹 인터페이스를 제공합니다.
- 플랫폼 자체 검색은 고급 연산자와 날짜 필터를 함께 쓰면 여전히 가장 신뢰할 수 있는 출처입니다. 서드파티 도구는 플랫폼이 페이지나 API를 변경할 때마다 작동하지 않게 되기 때문입니다.
마지막 항목은 해마다 더 중요해지고 있습니다. 플랫폼은 연구자 접근 방식을 자주 바꿉니다. Meta는 2024년 8월 CrowdTangle을 종료하고 승인된 연구자들을 Meta Content Library로 옮겼습니다. 플랫폼이 현재 허용하는 범위를 중심으로 방법을 구성하고, 이 카테고리의 도구는 예고 없이 작동을 멈출 수 있다고 예상하세요.
이미지 및 동영상
여기서의 질문은 사진이 처음 어디에 나타났는지, 어디서 언제 촬영되었는지, 편집되었는지입니다.
- 역이미지 검색에는 Google Lens, TinEye, Bing Visual Search, Yandex Images를 사용합니다. 각각 웹의 다른 부분을 색인하므로 모두 실행해 보세요. TinEye는 결과를 오래된 순으로 정렬할 수 있어 원본을 찾는 데 도움이 됩니다.
- InVID-WeVerify 플러그인은 팩트체커를 위해 만들어진 브라우저 확장 프로그램입니다. 동영상을 역검색용 키프레임으로 나누고, 여러 이미지 포렌식 필터를 함께 제공합니다.
- ExifTool은 이미지와 동영상 파일의 메타데이터를 읽습니다. 카메라 모델, 타임스탬프, 때로는 GPS 좌표까지 확인할 수 있습니다. 대부분의 소셜 플랫폼은 업로드 시 이를 제거하므로 원본 파일에서 가장 유용합니다.
- SunCalc는 임의의 장소와 시간에 대한 태양의 위치를 보여주므로, 사진 속 그림자와 대조해 주장된 시간을 확인할 수 있습니다.
- Google Earth Pro는 과거 이미지를 제공하고, Copernicus Browser는 최근 Sentinel 위성 이미지에 무료로 접근할 수 있게 해 줍니다. 이를 통해 위치를 확인하고 그곳이 어떻게 변했는지 볼 수 있습니다.
유출 데이터
여기서의 질문은 계정, 이메일 주소 또는 조직이 알려진 데이터 유출 사고에 포함되어 있는지입니다. 법적으로 가장 민감한 카테고리입니다.
- Have I Been Pwned는 이메일 주소가 알려진 유출 사고에 포함되어 있는지 알려줍니다. 도메인 검색 기능은 도메인의 모든 주소를 확인하지만, 해당 도메인을 관리하고 있음을 증명한 후에만 사용할 수 있으므로 자체 조직의 노출 여부를 확인하는 데 적합합니다.
- 상용 유출 데이터 검색 서비스를 사용하면 조사자가 유출 기록을 직접 검색할 수 있습니다. 사기 방지 및 위협 인텔리전스 업무에 사용되지만, 대량의 개인정보를 눈앞에 드러냅니다.
여기서의 규칙은 다른 카테고리보다 엄격합니다. 유출 기록은 개인정보이며, GDPR 및 유사한 법률에 따르면 이를 검색하고 저장하는 것은 적법한 근거와 명확한 목적이 필요한 처리 행위입니다. 유출된 비밀번호로 계정에 로그인하는 것은 조사 목적이 무엇이든 무단 접근입니다. 자체 조직의 유출을 모니터링하는 팀은 대개 서면 정책에 따라 작업하며, 이는 다크웹 및 페이스트 사이트에서 유출된 자격 증명 모니터링 글에서 설명합니다. 이 내용은 일반적인 정보이며 법률 자문이 아닙니다.
기록, 아카이빙, 링크 분석
세 가지 보조 카테고리가 다른 도구들을 활용할 수 있게 해 줍니다.
기업 및 공공 기록. OpenCorporates는 여러 국가의 법인 등기부를 모아 보여주며, 영국 Companies House나 SEC의 EDGAR 데이터베이스 같은 국가별 등기부는 인용해야 할 1차 출처입니다.
아카이빙 및 캡처. Wayback Machine과 archive.today는 페이지의 과거 버전을 보여주고 새 버전을 저장할 수 있게 해 줍니다. Hunchly는 조사 중 방문한 모든 페이지를 타임스탬프와 함께 기록하며, 이것이 발견 사항을 증거로 만들어 줍니다.
자동화 및 링크 분석. theHarvester는 공개 출처에서 도메인의 이메일, 하위 도메인, 호스트를 수집합니다. SpiderFoot은 대상에 대해 수십 가지 조회를 자동으로 실행합니다. Maltego는 결과를 그래프로 그려 어떤 도메인, 사람, 조직이 연결되어 있는지 보여줍니다. 더 구체적인 도구가 필요하다면 OSINT Framework 웹사이트가 방대한 디렉터리 역할을 합니다.
| 카테고리 | 시작하기 좋은 도구 | 무료 옵션 |
|---|---|---|
| 도메인 및 인프라 | crt.sh, ICANN Lookup, urlscan.io | crt.sh, ICANN Lookup, 나머지 도구의 무료 요금제 |
| 소셜 미디어 및 사용자 이름 | 플랫폼 검색, Sherlock, WhatsMyName | Sherlock, WhatsMyName |
| 이미지 및 동영상 | 역이미지 검색, InVID-WeVerify, ExifTool | 모두 무료 |
| 유출 데이터 | Have I Been Pwned | 개별 주소 조회용 Have I Been Pwned |
| 기록 및 아카이빙 | OpenCorporates, Wayback Machine, Hunchly | OpenCorporates 검색, Wayback Machine |
| 링크 분석 | SpiderFoot, Maltego | SpiderFoot(오픈 소스) |
어떤 도구도 다루지 않는 계층: 대상이 보는 것
위의 모든 도구는 사용자를 대신해 서비스에 조회하거나, 사용자를 대상에게 직접 보냅니다. 조사가 노출되는 것은 두 번째 경우입니다.
사무실 네트워크에서 의심스러운 도메인, 피싱 키트, 위조품 쇼핑몰을 열면, 사이트는 조직의 IP 주소를 기록합니다. 신중한 운영자는 로그를 지켜보다가 대응합니다. 해당 IP 대역을 차단하거나, 무해한 페이지를 보여주거나, 캡처하기 전에 사이트를 내립니다. 또한 많은 사이트가 방문자의 국가에 따라 다른 콘텐츠를 보여주므로, 사무실에서 확인한 페이지가 현지 피해자들이 보는 것과 다를 수 있습니다.
조사팀은 몇 가지 습관으로 이에 대처합니다.
- 수집 트래픽을 자체 네트워크에서 분리하세요. 레지덴셜 프록시를 사용하면 요청이 해당 국가나 도시의 가정용 회선에서 나가므로, 대상에게는 회사가 아니라 평범한 현지 방문자로 보입니다.
- 브라우저를 격리하세요. 별도의 브라우저 프로필을 사용하고, 악성일 가능성이 있는 대상에는 가상 머신을 사용해 평소 업무의 쿠키와 세션이 대상에게 전달되지 않도록 하세요. 이를 대규모로 수행하는 보안팀의 사례는 사이버 보안 사용 사례 페이지에서 설명합니다.
- 조사용 계정은 신중하게 다루세요. 일부 조사자는 로그인이 필요한 콘텐츠를 보기 위해 흔히 삭퍼펫(sock puppet)이라고 불리는 별도의 조사용 계정을 사용합니다. 많은 플랫폼이 약관에서 가짜 계정을 금지하므로, 약관과 조직의 정책을 확인하고, 계정이 존재하는 이유를 기록하며, 조사 대상을 속이거나 그들에게 연락하는 데 절대 사용하지 마세요.
- 한계를 알아두세요. 프록시는 사이트에 보이는 IP 주소를 바꿀 뿐입니다. 브라우저 핑거프린트, 로그인한 계정, 행동 패턴은 숨겨 주지 않습니다. 프록시는 익명화 도구가 아닙니다 설명 글에서 그 밖에 조사자의 정체를 드러내는 요소를 다룹니다.
결론
답하려는 질문에 따라 OSINT 도구를 선택하세요. 인프라에는 인증서 및 DNS 조회, 소셜 미디어에는 사용자 이름 검색과 플랫폼 검색, 이미지에는 역검색과 메타데이터, 유출 노출에는 알림 서비스, 그리고 이 모든 것을 하나로 묶는 데는 아카이빙과 링크 분석을 사용합니다. 각 도구가 검색 내용을 어디까지 공유하는지 확인하고, 수집 트래픽을 자체 네트워크에서 분리하며, 유출 데이터와 조사용 계정은 법적, 윤리적 위험으로 다루십시오.
팀이 다른 국가의 현지 방문자로서 사이트를 확인해야 한다면 무료 체험으로 테스트해 보세요. 3일 동안 Residential Proxies 100 MB, 또는 최대 10개 IP로 1일 동안 ISP Proxies를 이용할 수 있습니다.