# DET0860 — Detection of Search Open Technical Databases ## Descrição A estratégia DET0860 trata da detecção de adversários que consultam bancos de dados técnicos abertos para coletar informações sobre alvos. Isso inclui plataformas como Shodan, Censys, FOFA, ZoomEye, GreyNoise e Certificaté Transparency logs — todas fontes legítimas de dados que adversários utilizam sistematicamente para reconhecimento passivo antes de ataques. Essas plataformas indexam continuamente a internet e permitem que qualquer usuário descubra serviços expostos, versões de software, banners de serviço, certificados TLS e geolocalização de infraestrutura corporativa. Adversários experientes utilizam essas ferramentas antes de qualquer varredura ativa para reduzir o risco de detecção. A granularidade das buscas em plataformas como Shodan (filtros por organização, domínio, ASN) torna o reconhecimento altamente direcionado e eficiente. Organizações devem realizar periodicamente buscas sobre sua própria infraestrutura nessas plataformas para identificar exposições inadvertidas, e correlacionar alertas de novos resultados indexados com campanhas de ameaças ativas. Integrar dados de threat intelligence sobre consultas a essas plataformas direcionadas a ativos corporativos é uma abordagem complementar. ## Indicadores de Detecção - Referência a infraestrutura corporativa em resultados históricos de Shodan/Censys não esperados - Serviço de gerenciamento exposto públicamente descoberto via indexação de plataforma OSINT - Nova entrada em CT logs para domínio corporativo acompanhada de varredura imediata ao ativo - Consulta automatizada via API de plataforma OSINT com padrões direcionados ao ASN corporativo - Banner de serviço revelando versão vulnerável de software indexada por plataforma externa - Acesso a portal de gerenciamento corporativo originado de IP de scraper conhecido - Correlação entre exposição em Shodan e início de campanha de ataque direcionada ## Técnicas Relacionadas - [[t1596-search-open-technical-databases|T1596 — Search Open Technical Databases]] - [[T1596.001-dns-passive-dns|T1596.001 — DNS/Passive DNS]] - [[T1596.002-whois|T1596.002 — WHOIS]] - [[T1596.003-digital-certificates|T1596.003 — Digital Certificates]] - [[T1596.004-cdn|T1596.004 — CDNs]] - [[T1595.002-vulnerability-scanning|T1595.002 — Active Scanning: Vulnerability Scanning]] ## Analytics Relacionadas - [[an1992-analytic-1992|AN1992 — Analytic 1992]] --- *Fonte: [MITRE ATT&CK — DET0860](https://attack.mitre.org/detectionstrategies/DET0860)*