Superfície de Ataque Externa: Subdomínios e Certificados SSL no OSINT

Sabe aquele ditado, "você não pode proteger o que não sabe que existe"? No mundo da inteligência e da segurança, essa é a regra de ouro. Se você é um analista, investigador ou profissional de segurança, dominar a superfície de ataque externa é o primeiro passo para qualquer avaliação de risco ou coleta de inteligência. Hoje, vamos desmistificar como a análise de subdomínios e o cruzamento de certificados SSL funcionam como uma "lanterna" no escuro da infraestrutura digital de um alvo. Neste artigo, você aprenderá técnicas práticas de coleta e análise para identificar ativos esquecidos e entender a real exposição de uma organização, aplicando o rigor do ciclo de inteligência. ## Por que subdomínios e certificados SSL são minas de ouro? Muitos profissionais focam apenas no domínio principal (empresa.com.br), mas a realidade da infraestrutura moderna é uma teia espalhada. Subdomínios (como dev.empresa.com.br ou vpn.empresa.com.br) frequentemente abrigam servidores de teste, painéis administrativos antigos ou instâncias mal configuradas que não possuem os mesmos controles de segurança do site principal. Já os certificados SSL (ou TLS) são como o "RG" do servidor. Eles não apenas garantem a criptografia, mas contêm metadados preciosos: nomes de domínio alternativos (SANs), informações de emissão e, às vezes, até detalhes sobre a topologia interna da rede. ## O Ciclo de Inteligência na prática Não saia clicando em ferramentas aleatoriamente. Siga a metodologia: 1. Planejamento: Defina o alvo. É uma análise de conformidade? Um teste de intrusão? O escopo é apenas o domínio raiz? 2. Coleta: Extração massiva de dados de fontes abertas. 3. Processamento: Limpeza e normalização. Remover duplicatas e filtrar o que é "ruído". 4. Análise: Cruzar as informações para encontrar padrões (ex: um servidor de staging exposto). 5. Disseminação: Relatar as descobertas de forma clara e acionável. ## Roteiro Prático: Mapeando sua Superfície de Ataque Externa Para começar, precisamos de ferramentas que nos ajudem a varrer a internet. O Censys e o crt.sh são pilares fundamentais aqui. ### Passo 1: Enumeração de Subdomínios Utilize o crt.sh (https://crt.sh) para buscar por certificados emitidos para um domínio. Ele é, essencialmente, um motor de busca de logs de Transparência de Certificados (CT Logs). Dica pro: Use a busca avançada para filtrar por nomes de organizações. Isso ajuda a encontrar subdomínios que não estão diretamente ligados ao domínio principal, mas pertencem à mesma entidade. ### Passo 2: Triangulação com Motores de Busca de Infraestrutura Pegue os subdomínios encontrados e jogue-os no Censys (https://search.censys.io) ou Shodan (https://www.shodan.io). O que procurar: O campo services mostra portas abertas e banners de software. Se você encontrar um subdomínio rodando uma versão obsoleta de um servidor Web (ex: Apache desatualizado), você encontrou uma vulnerabilidade na superfície de ataque. ### Passo 3: Cruzamento e Verificação Nunca confie em uma única fonte. Se o crt.sh diz que um domínio existe, verifique se ele resolve via DNS (use o dig ou nslookup) e verifique o certificado SSL atual no navegador ou via openssl s_client -connect host:443. Isso garante que a informação é real e não um registro órfão. ## Ética e LGPD: O Limite da Investigação Como especialistas, a linha entre investigação e invasão é tênue. Nunca tente explorar ou invadir os ativos encontrados. O objetivo do OSINT é a observação passiva. Ao lidar com dados pessoais ou de infraestrutura crítica, certifique-se de estar em conformidade com a LGPD e políticas internas de ética. Se você encontrar algo grave, notifique os responsáveis seguindo os protocolos de Responsible Disclosure. ## Preservação de Evidências Em uma investigação profissional, a reprodutibilidade é tudo. Ao encontrar um servidor exposto: 1. Tire uma captura de tela (print) completa da página. 2. Salve o código-fonte da página. 3. Gere um hash (SHA-256) dos arquivos coletados. 4. Mantenha um log de data e hora (timestamp) da coleta. Ferramentas como o Wayback Machine (https://archive.org) podem ser usadas para documentar o histórico daquela URL. ## Perguntas Frequentes (FAQ) ### O que é superfície de ataque externa? É a soma de todos os ativos voltados para a internet de uma organização que podem ser identificados, testados ou explorados por um agente externo. Inclui servidores, sites, APIs, subdomínios e até serviços expostos em nuvem. ### Como os certificados SSL revelam subdomínios? Através dos logs de Transparência de Certificados (CT Logs), que são registros públicos obrigatórios de certificados SSL emitidos. Quando um certificado é gerado para um domínio, ele lista ali todos os nomes de subdomínios protegidos por aquele certificado. ### Quais ferramentas gratuitas são essenciais para este mapeamento? As ferramentas fundamentais são o crt.sh para busca de certificados, Censys ou Shodan para análise de infraestrutura, e ferramentas de linha de comando como subfinder ou amass para enumeração ativa/passiva de subdomínios. ### O mapeamento de subdomínios é uma prática legal? Sim, desde que a investigação seja feita de forma passiva, utilizando dados públicos, e não envolva tentativas de invasão, exploração de vulnerabilidades ou quebra de sistemas de autenticação, o que violaria leis cibernéticas vigentes. ### Como verificar se um subdomínio é legítimo ou um erro de DNS? Você deve realizar a resolução DNS do host e, idealmente, tentar realizar uma requisição HTTP(S) para validar se o serviço responde. Se o DNS resolve, mas não há resposta na porta 80 ou 443, pode ser uma configuração antiga ou um registro DNS órfão.