ریکان غیرفعال به جمع‌آوری اطلاعات در مورد یک هدف (مانند وب‌سایت، شبکه یا سازمان) بدون تعامل مستقیم با آن گفته می‌شود. این روش در مراحل اولیه تست نفوذ بسیار مهم است زیرا به شما کمک می‌کند تا درک بهتری از هدف خود داشته باشید و نقاط ضعف آن را شناسایی کنید، بدون اینکه ریسک شناسایی شدن را افزایش دهید.

ریکان غیرفعال یا Passive Reconnaissance به جمع‌آوری اطلاعات در مورد یک هدف (مانند وب‌سایت، شبکه یا سازمان) بدون تعامل مستقیم با آن هدف گفته می‌شود. در این روش، شما هیچ تماسی با سیستم هدف برقرار نمی‌کنید و ردپایی از خود باقی نمی‌گذارید. به عبارت دیگر، شما فقط اطلاعاتی را جمع‌آوری می‌کنید که به صورت عمومی در دسترس هستند.

این روش در تضاد با ریکان فعال است که در آن شما به طور مستقیم با سیستم هدف تعامل دارید (مثلاً با اسکن پورت‌ها). ریکان غیرفعال در مراحل اولیه تست نفوذ بسیار مهم است زیرا به شما کمک می‌کند تا درک بهتری از هدف خود داشته باشید و نقاط ضعف آن را شناسایی کنید، بدون اینکه ریسک شناسایی شدن را افزایش دهید.

در ریکان غیرفعال، شما از منابع مختلفی برای جمع‌آوری اطلاعات استفاده می‌کنید، بدون اینکه هیچ تماسی با سیستم هدف برقرار کنید. این منابع می‌توانند شامل موارد زیر باشند:

موتورهای جستجو: Google، Bing، DuckDuckGo و غیره می‌توانند برای یافتن اطلاعاتی مانند سابدامین‌ها، آدرس‌های ایمیل کارمندان، اسناد فاش شده و غیره استفاده شوند.

WHOIS و DNS Records: این سرویس‌ها اطلاعاتی در مورد مالک دامنه، تاریخ انقضا، سرورهای نام و غیره ارائه می‌دهند.

شبکه‌های اجتماعی: LinkedIn، Twitter، Facebook و غیره می‌توانند برای یافتن اطلاعاتی در مورد کارمندان، ساختار سازمانی و فناوری‌های مورد استفاده استفاده شوند.

سایت‌های بایگانی: Wayback Machine و Archive.today می‌توانند برای مشاهده نسخه‌های قدیمی وب‌سایت‌ها استفاده شوند.

شودان و سنسِس: این موتورهای جستجو برای یافتن دستگاه‌های متصل به اینترنت و اطلاعات مربوط به آنها استفاده می‌شوند.

ریکان غیرفعال به طور خاص به عنوان یک "آسیب‌پذیری" طبقه‌بندی نمی‌شود و یک مرحله مهم در فرآیند تست نفوذ است. با این حال، اطلاعات جمع‌آوری شده در این مرحله می‌تواند برای شناسایی آسیب‌پذیری‌های واقعی استفاده شود. در این مرحله، چارچوب‌ها و استانداردهایی مانند OWASP و NIST می‌توانند راهنمای خوبی برای جمع‌آوری و تحلیل اطلاعات باشند.

ریکان غیرفعال از دیرباز به عنوان یک تکنیک جمع‌آوری اطلاعات استفاده می‌شده است. با ظهور اینترنت و افزایش اطلاعات در دسترس عموم، اهمیت این روش بیشتر شده است. در گذشته، ریکان غیرفعال بیشتر به جمع‌آوری اطلاعات از منابع فیزیکی مانند زباله‌ها و اسناد کاغذی محدود می‌شد. اما امروزه، با گسترش اینترنت و شبکه‌های اجتماعی، منابع اطلاعاتی بسیار گسترده‌تر شده‌اند.

مثال ساده: جستجوی نام یک شرکت در Google برای یافتن وب‌سایت، آدرس و شماره تلفن آن.

مثال کاربردی: استفاده از Wayback Machine برای مشاهده نسخه‌های قدیمی وب‌سایت یک شرکت و شناسایی تغییرات در ساختار آن.

مثال پیشرفته: استفاده از شودان برای یافتن دستگاه‌های متصل به اینترنت متعلق به یک سازمان و شناسایی سرویس‌های در حال اجرا روی آنها.

ریکان غیرفعال به طور کلی ریسک کمی دارد زیرا شما هیچ تماسی با سیستم هدف برقرار نمی‌کنید. با این حال، جمع‌آوری بیش از حد اطلاعات می‌تواند منجر به شناسایی فرد مهاجم شود. به همین دلیل، مهم است که در هنگام جمع‌آوری اطلاعات، از روش‌های مناسب برای مخفی کردن هویت خود استفاده کنید. برای مثال، می‌توانید از VPN یا Tor استفاده کنید تا آدرس IP خود را مخفی کنید.

ریکان غیرفعال به خودی خود یک آسیب‌پذیری نیست، بلکه نتیجه اشتراک‌گذاری بیش از حد اطلاعات توسط سازمان‌ها است. بسیاری از سازمان‌ها اطلاعات حساسی مانند آدرس‌های ایمیل کارمندان، جزئیات شبکه داخلی و غیره را به صورت عمومی منتشر می‌کنند که می‌تواند توسط مهاجمان مورد سوء استفاده قرار گیرد.

در ریکان غیرفعال، بهره‌برداری به معنای استفاده از اطلاعات جمع‌آوری شده برای شناسایی آسیب‌پذیری‌ها و برنامه‌ریزی حملات است. برای مثال، مهاجمان می‌توانند از اطلاعات جمع‌آوری شده در مورد کارمندان یک شرکت برای ارسال ایمیل‌های فیشینگ و سرقت اطلاعات حساب کاربری آنها استفاده کنند.

اطلاعات جمع‌آوری شده در ریکان غیرفعال می‌تواند در حملات زنجیره‌ای برای افزایش اثربخشی آنها استفاده شود. برای مثال، مهاجمان می‌توانند از اطلاعات جمع‌آوری شده در مورد ساختار شبکه یک سازمان برای شناسایی نقاط ضعف آن و نفوذ به سیستم‌های داخلی استفاده کنند.

بسیاری از حملات سایبری با ریکان غیرفعال شروع می‌شوند. هکرها از این روش برای جمع‌آوری اطلاعات در مورد هدف خود و شناسایی نقاط ضعف آن استفاده می‌کنند. برای مثال، حمله به شرکت Target در سال 2013 با ریکان غیرفعال شروع شد. هکرها با استفاده از اطلاعات عمومی در مورد شرکت Target، توانستند به سیستم‌های داخلی آن نفوذ کنند و اطلاعات میلیون‌ها کارت اعتباری را سرقت کنند.

محدود کردن اطلاعات در دسترس عموم: سازمان‌ها باید اطلاعات حساسی مانند آدرس‌های ایمیل کارمندان، جزئیات شبکه داخلی و غیره را به صورت عمومی منتشر نکنند.

آموزش کارمندان: کارمندان باید در مورد خطرات اشتراک‌گذاری بیش از حد اطلاعات در شبکه‌های اجتماعی و سایر پلتفرم‌های آنلاین آموزش ببینند.

نظارت بر اطلاعات در دسترس عموم: سازمان‌ها باید به طور منظم اطلاعات در دسترس عموم در مورد خود را نظارت کنند تا از انتشار اطلاعات حساس جلوگیری کنند.

موتورهای جستجو: Google، Bing، DuckDuckGo

WHOIS و DNS Lookup tools: who.is، dnslookup.com

شبکه‌های اجتماعی: LinkedIn، Twitter، Facebook

سایت‌های بایگانی: Wayback Machine، Archive.today

شودان و سنسِس: shodan.io، censys.io

در ریکان غیرفعال، تحلیل تکنیکال به معنای تجزیه و تحلیل اطلاعات جمع‌آوری شده برای شناسایی الگوها، روندها و نقاط ضعف است. برای مثال، با تحلیل اطلاعات جمع‌آوری شده از سایت‌های بایگانی، می‌توان تغییرات در ساختار وب‌سایت یک شرکت را شناسایی کرد و از این اطلاعات برای شناسایی آسیب‌پذیری‌های جدید استفاده کرد.

محدودیت اصلی ریکان غیرفعال این است که شما فقط به اطلاعات در دسترس عموم دسترسی دارید. به همین دلیل، ممکن است نتوانید تمام اطلاعات مورد نیاز برای شناسایی آسیب‌پذیری‌ها و برنامه‌ریزی حملات را جمع‌آوری کنید.

OSINT Framework: یک فریم‌ورک برای جمع‌آوری اطلاعات از منابع مختلف

SpiderFoot: یک ابزار اتوماتیک برای جمع‌آوری اطلاعات از منابع مختلف

Maltego: یک ابزار برای تجزیه و تحلیل و نمایش گرافیکی اطلاعات

اطلاعات جمع‌آوری شده در ریکان غیرفعال می‌تواند در حملات مهندسی اجتماعی برای افزایش اثربخشی آنها استفاده شود. برای مثال، مهاجمان می‌توانند از اطلاعات جمع‌آوری شده در مورد علاقه‌مندی‌های کارمندان یک شرکت برای ایجاد ایمیل‌های فیشینگ جذاب‌تر و قابل باورتر استفاده کنند.

یکی از مراحل مهم در ریکان غیرفعال، بررسی آسیب‌پذیری‌های افشا شده عمومی است. این اطلاعات می‌تواند شامل پایگاه داده‌های لو رفته، گزارش‌های آسیب‌پذیری ثبت شده در CVE، و اطلاعات منتشر شده در انجمن‌های امنیتی باشد. برای مثال، هکرها ممکن است از اطلاعات افشا شده در یک breach قبلی استفاده کنند تا به یک هدف خاص حمله کنند.

Switch(config-if)# switchport port-security violation shutdown