OSINT (open source intelligence) adalah intelijen yang diperoleh dari informasi yang tersedia secara terbuka untuk umum, lalu dikumpulkan, dianalisis, dan diubah menjadi jawaban atas pertanyaan tertentu. Dalam keamanan siber, OSINT dipakai untuk memetakan jejak digital sebuah organisasi, memantau ancaman, dan membantu investigasi, tetapi hanya etis dan legal bila dilakukan dengan batasan yang jelas.
Apa Itu OSINT?
Dalam komunitas intelijen dan keamanan, OSINT umumnya didefinisikan sebagai intelijen yang dihasilkan dari informasi yang tersedia untuk publik, serta dikumpulkan dan disebarkan tepat waktu kepada pihak yang membutuhkan untuk menjawab kebutuhan intelijen tertentu. Poin pentingnya ada pada kata "intelijen": data mentah di internet belum menjadi OSINT sebelum dianalisis dan dikaitkan dengan sebuah pertanyaan.
Sumbernya beragam: situs web, media sosial, forum, berita, basis data publik seperti pencatatan domain, repositori kode, hingga dokumen yang diunggah ke internet. Karena sumbernya terbuka, OSINT murah dan mudah dimulai, tetapi justru karena itu pula penyalahgunaannya mudah terjadi.
Untuk Apa OSINT Digunakan dalam Keamanan Siber?
- Memetakan permukaan serangan: apa saja domain, subdomain, layanan, dan informasi karyawan organisasi Anda yang terlihat dari luar. Tahap ini biasa muncul pada fase pengumpulan informasi dalam pentest, dibahas di apa itu footprinting dalam penetration testing.
- Intelijen ancaman: memantau informasi tentang kampanye, indikator, dan kebocoran data yang relevan bagi organisasi.
- Pemantauan merek: mendeteksi domain tiruan atau akun palsu yang mengatasnamakan perusahaan.
- Investigasi dan verifikasi: menelusuri asal sebuah pesan penipuan atau memeriksa kebenaran klaim yang beredar.
- Jurnalisme dan riset: memverifikasi foto, lokasi, dan informasi publik lainnya.
Siklus Kerja OSINT yang Etis
- Tentukan pertanyaan dan batasan: apa yang ingin diketahui, untuk siapa, dan atas dasar izin atau kepentingan sah apa.
- Identifikasi sumber: pilih sumber terbuka yang relevan dan sah diakses.
- Kumpulkan seperlunya: ambil informasi yang dibutuhkan saja, catat sumber dan waktu pengambilannya.
- Verifikasi dan analisis: periksa kebenaran dengan lebih dari satu sumber, pisahkan fakta dari dugaan.
- Laporkan dan simpan dengan aman: sampaikan hasil kepada pihak yang berhak, lalu hapus data yang tidak diperlukan lagi.
Batas Etika dan Hukum OSINT
Informasi yang bisa diakses bukan berarti boleh dipakai sesuka hati. Beberapa batas yang perlu dipegang:
- Hanya sumber yang terbuka. Masuk ke akun atau sistem yang dilindungi kata sandi, menebak kredensial, atau menembus pembatasan akses bukan OSINT dan dapat melanggar Pasal 332 KUHP tentang akses ilegal.
- Data pribadi dilindungi. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku sejak diundangkan pada 17 Oktober 2022. Mengumpulkan, menggabungkan, dan menyebarkan data pribadi orang tanpa dasar yang sah dapat bermasalah secara hukum. Ulasan kewajibannya ada di UU PDP: kewajiban pelindungan data pribadi bagi perusahaan.
- Jangan mengganggu. Melacak, mengancam, atau membuka identitas dan alamat seseorang (doxing) adalah penyalahgunaan, apa pun alasannya.
- Patuhi ketentuan layanan. Banyak platform membatasi pengambilan data otomatis dalam jumlah besar.
- Ikuti ruang lingkup. Dalam pekerjaan profesional, OSINT terhadap sebuah organisasi dilakukan dengan persetujuan tertulis dan aturan yang jelas, sama seperti pentest.
Konteks hukum yang lebih luas ada di apakah hacking melanggar hukum.
Tools OSINT yang Umum
Tools membantu mengumpulkan dan menghubungkan data, tetapi hasilnya tetap perlu dinilai manusia. Contohnya mesin pencari dan operator pencarian lanjutan, layanan pencatatan domain dan sertifikat publik, alat visualisasi hubungan antardata seperti Maltego, serta direktori sumber seperti OSINT Framework. Tool dan sumber apa pun yang Anda pakai tetap tunduk pada batas di atas. Penjelasan Maltego ada di Maltego: pengertian dan cara menggunakannya untuk OSINT.
Sisi Pertahanan: Mengurangi Jejak Digital Anda
Penyerang memakai teknik OSINT yang sama untuk menyiapkan penipuan dan rekayasa sosial, sehingga pertahanan terbaik adalah mengetahui apa yang terlihat tentang Anda dan organisasi Anda.
- Tinjau berkala apa yang tampil di mesin pencari, media sosial, dan repositori publik, lalu hapus yang tidak perlu dipublikasikan.
- Jangan memposting dokumen internal, foto kartu akses, atau tangkapan layar yang memuat informasi sensitif.
- Batasi informasi tentang struktur organisasi dan sistem yang dipublikasikan, serta pastikan aset lama yang terlupakan dimatikan.
- Atur privasi akun pribadi dan ajari karyawan bahwa informasi publik dapat dipakai untuk menyusun penipuan yang meyakinkan.
- Aktifkan autentikasi dua faktor agar data yang bocor tidak otomatis berarti akun diambil alih.
OSINT dalam Pentest dan Pertahanan Organisasi
Pada pengujian keamanan yang resmi, tahap pengumpulan informasi hampir selalu dimulai dari sumber terbuka, karena di sanalah terlihat apa yang juga dilihat penyerang: domain yang lupa dimatikan, dokumen yang terunggah tidak sengaja, atau nama karyawan yang bisa dipakai untuk membuat pesan penipuan lebih meyakinkan. Temuan seperti ini memberi organisasi kesempatan menutup celah informasi sebelum ada pihak lain yang memanfaatkannya. Karena itu, banyak organisasi menjalankan OSINT terhadap dirinya sendiri secara berkala sebagai bagian dari manajemen risiko.
Pertanyaan yang Sering Diajukan
Apakah OSINT legal?
Mengumpulkan informasi yang memang dipublikasikan untuk umum pada dasarnya sah, tetapi legalitasnya bergantung pada cara, tujuan, dan jenis datanya. Mengakses sistem tertutup, melanggar privasi, atau menyalahgunakan data pribadi dapat melanggar hukum.
Apa bedanya OSINT dan hacking?
OSINT memakai sumber yang terbuka tanpa menembus pengamanan apa pun. Hacking, bila dilakukan tanpa izin, mengakses sistem yang bukan milik Anda. Dalam pentest resmi, OSINT adalah tahap awal yang sah sebelum pengujian teknis.
Apakah OSINT hanya untuk profesional keamanan?
Tidak. Jurnalis, peneliti, tim hukum, dan tim merek juga memakainya. Siapa pun boleh mempelajarinya selama menghormati batas etika dan hukum.
Bagaimana pemula berlatih OSINT dengan aman?
Berlatih pada informasi publik tentang diri Anda sendiri atau organisasi yang memberi izin, atau memakai tantangan OSINT di platform CTF yang memang dirancang untuk latihan. Jangan menjadikan orang lain sebagai objek latihan.
Kesimpulan
OSINT adalah keterampilan bernilai tinggi bagi pembela maupun penguji keamanan, selama dipegang dengan disiplin: hanya sumber terbuka, seperlunya, terverifikasi, dan menghormati privasi. Untuk belajar teknik pengumpulan informasi yang legal dan terarah, jelajahi kursus di Linuxhackingid.
Referensi: UU Nomor 27 Tahun 2022 di JDIH BPK dan UU Nomor 1 Tahun 2023 tentang KUHP di JDIH BPK.
Every article is reviewed by the practice lead who ran the work before it is published.