تخيّل أنك تستطيع رؤية الإنترنت كما يراه الهاكر الأخلاقي — ليس فقط المواقع والصفحات، بل الأجهزة المتصلة، الخوادم المكشوفة، قواعد البيانات المنسية، وحتى كاميرات المراقبة التي تركها أصحابها مفتوحة على الملأ. هذا بالضبط ما توفره أدوات OSINT في الأمن السيبراني.
 |
| أفضل 16 أداة OSINT لخبراء الأمن السيبراني |
في عالم اليوم، المعلومات هي السلاح الأول. من يعرف أكثر، يحمي أكثر. خبراء الأمن السيبراني لا ينتظرون أن تُهاجَم أنظمتهم ثم يردّون — بل يستخدمون هذه الأدوات للبحث عن نقاط الضعف قبل أن يجدها المهاجمون. هذا المقال دليلك العملي الكامل لأقوى 16 أداة OSINT يستخدمها المحترفون يومياً.
ما هو OSINT ولماذا يستخدمه خبراء الأمن السيبراني؟
OSINT اختصار لـ Open Source Intelligence، أي استخبارات المصادر المفتوحة. ببساطة: هو فن جمع المعلومات من مصادر متاحة للعموم — الإنترنت، السجلات العامة، الشبكات الاجتماعية، قواعد البيانات المفتوحة — وتحليلها للحصول على معلومات استخباراتية قيّمة.
الهاكر الأخلاقي يستخدم OSINT في مرحلة الاستطلاع (Reconnaissance) — وهي أولى مراحل اختبار الاختراق — لفهم البنية التحتية للهدف قبل أي خطوة أخرى. أما محلل الأمن السيبراني، فيستخدمها لمراقبة التهديدات، اكتشاف التسريبات، وتتبع الجهات الخبيثة.
أقوى 16 أداة OSINT في الأمن السيبراني — شرح تفصيلي
1. Shodan — محرك بحث الإنترنت للأجهزة المتصلة
يُلقَّب Shodan بـ"أخطر محرك بحث في العالم"، وهو لقب يستحقه. بينما يبحث Google عن المواقع، يبحث Shodan عن الأجهزة المتصلة بالإنترنت: الخوادم، أجهزة التوجيه، الكاميرات، أنظمة التحكم الصناعي، وحتى الثلاجات الذكية.
يعمل Shodan عبر مسح منافذ الإنترنت (Ports) باستمرار وجمع البانرات (Banners) — وهي الردود التي ترسلها الأجهزة عند الاتصال بها — ثم فهرستها وإتاحتها للبحث.
كيف يستخدمه المحترفون: يكتب محلل الأمن في Shodan استعلاماً مثل org:"Maroc Telecom" port:3389 ليجد كل أجهزة مزود الخدمة التي تركت منفذ سطح المكتب البعيد مفتوحاً — ثم يُبلّغ عنها قبل أن يستغلها مهاجم.
مثال عملي: ابحث في Shodan عن webcamXP وستجد مئات الكاميرات المكشوفة حول العالم بدون أي كلمة مرور.
2. ZoomEye — عين الصين على الإنترنت
ZoomEye هو الشقيق الصيني لـ Shodan، طوّرته شركة Knownsec الأمنية الصينية. يتميز بتغطية واسعة جداً للأجهزة في منطقة آسيا، ويرتبط بقاعدة بيانات الثغرات الأمنية Seebug مما يجعله قوياً للغاية في ربط الأجهزة المكشوفة بالثغرات المعروفة.
يقوم بمسح آلاف المنافذ ويخزّن بيانات تاريخية مما يسمح برؤية تطور حالة جهاز أو خادم عبر الزمن — ميزة نادرة ومفيدة جداً في التحقيقات الجنائية الرقمية.
مثال عملي: استعلام app:"Apache" +country:"MA" يُظهر خوادم Apache المنتشرة في المغرب وإصداراتها، مما يساعد على اكتشاف الإصدارات القديمة الهشّة.
3. FOFA — محرك رسم خرائط الأصول الرقمية
FOFA (اختصار لـ Fingerprint of All) هو محرك بحث صيني آخر يتخصص في رسم خرائط الأصول الرقمية (Asset Mapping). يتميز بقدرته على البحث في محتوى صفحات الويب، شهادات SSL، رؤوس HTTP، والبصمات التقنية للتطبيقات.
يستخدمه فريق الـ Red Team للبحث عن لوحات تحكم مكشوفة، بوابات VPN، وخوادم اختبار نُسي إيقافها. كما أنه فعّال جداً في اكتشاف النطاقات الفرعية (Subdomains) التابعة لمؤسسة معينة.
مثال عملي: استعلام title="phpMyAdmin" && country="MA" يكشف لوحات إدارة قواعد البيانات المكشوفة مباشرة على الإنترنت في المغرب.
4. BinaryEdge — استخبارات الشبكات في الوقت الفعلي
BinaryEdge منصة أمنية برتغالية تجمع بيانات مسح الإنترنت في الوقت الفعلي وتحوّلها إلى معلومات استخباراتية قابلة للتطبيق. تتميز بواجهة برمجية (API) قوية تجعلها مفضّلة للدمج مع أدوات الأتمتة.
تغطي BinaryEdge مسح المنافذ، كشف قواعد البيانات المكشوفة، ملفات RDP، شهادات SSL، والثغرات الأمنية. كما تقدم ميزة Torrent Search لتتبع عناوين IP المشاركة في مشاركة الملفات.
مثال عملي: يمكن البحث عن type:mongodb ip:X.X.X.X لمعرفة إن كانت قاعدة بيانات MongoDB على عنوان IP معين مكشوفة على الإنترنت دون مصادقة.
5. Netlas — الجيل الجديد من محركات البحث الأمنية
Netlas (أُطلق عام 2021) هو من أحدث وأقوى محركات بحث الإنترنت الأمنية. يتميز بواجهة عصرية، سرعة بحث عالية، وتغطية شاملة لـ IPv4 مع دعم ممتاز لبيانات WHOIS وDNS والنطاقات الفرعية.
ما يميز Netlas هو تحديث البيانات المتزامن: عند مسح مضيف ما، يُحدَّث جميع المنافذ الـ 146 في نفس الوقت، مما يضمن تطابق البيانات وعدم تقادمها — وهو إشكالية شائعة في أدوات أخرى.
مثال عملي: استعلام http.title:("Login" OR "Admin") AND geo.country:Morocco لاكتشاف صفحات تسجيل دخول الإدارة المكشوفة في المغرب.
6. Onyphe — محرك استخبارات التهديدات الفرنسي
Onyphe منصة فرنسية تجمع بيانات OSINT ومعلومات التهديدات في مكان واحد. ما يميزها هو جمع بياناتها من مصادر متعددة: مسح الإنترنت، سجلات Passive DNS، قوائم التهديدات المعروفة (Threat Intelligence Feeds)، والويب المظلم.
يستخدمها محللو SOC لتقييم سمعة عناوين IP ومعرفة تاريخها: هل شارك هذا العنوان في هجمات سابقة؟ هل تمت ملاحظته في حملات تصيد احتيالي؟
مثال عملي: ابحث عن عنوان IP مشبوه في Onyphe لتحصل فوراً على تاريخ نشاطه، الدول المرتبطة به، والملفات المكشوفة على منافذه.
زيارة Onyphe7. GreyNoise — فلترة الضجيج لرؤية التهديدات الحقيقية
GreyNoise أداة ذكية تحل مشكلة كبيرة تواجه محللي الأمن: الفرق بين الهجمات الحقيقية الموجّهة وضجيج الإنترنت العام (المسح العشوائي الذي يقوم به آلاف الماسحين حول العالم كل دقيقة).
GreyNoise يضع جهازاً في كل ركن من الإنترنت ليلتقط هذا "الضجيج"، ثم يصنّفه. فعندما يأتي تنبيه في نظام SIEM عن عنوان IP معين، يمكنك الرجوع إلى GreyNoise لمعرفة: هل هذا هجوم حقيقي أم مجرد ماسح Shodan عشوائي؟
مثال عملي: يبحث محلل SOC عن 8.8.8.8 في GreyNoise فيجد أنه خادم DNS لـ Google — ليس تهديداً. لكن عنواناً آخر يظهر كـ "Malicious" مع تاريخ من هجمات تخمين كلمات المرور — يستحق التحقيق.
8. LeakIX — اكتشاف الخدمات المكشوفة والبيانات المسرّبة
LeakIX أداة متخصصة في اكتشاف الخوادم والخدمات التي تُسرّب بيانات أو تحتوي على إعدادات خاطئة. تمسح الإنترنت بحثاً عن قواعد بيانات Elasticsearch وMongoDB مفتوحة، ملفات .env مكشوفة، وخوادم Git عامة تحتوي على أكواد سرية.
ما يميز LeakIX هو تصنيفها المزدوج: تُصنّف الاكتشافات إما كـ "Leak" (تسريب حقيقي يحتاج إجراءاً عاجلاً) أو "Service" (خدمة مكشوفة لكن غير ضارة بالضرورة).
مثال عملي: إذا كنت باحثاً في Bug Bounty وأردت معرفة إن كان نطاق شركة ما يحتوي على تسريبات، ابحث في LeakIX عن نطاقها الرئيسي وستجد قائمة بكل ما تم اكتشافه.
زيارة LeakIX9. IntelligenceX — محرك بحث الويب المظلم والبيانات المسرّبة
IntelligenceX محرك بحث فريد يُفهرس محتوياً لا تجده في أي مكان آخر: منتديات الويب المظلم، قنوات Telegram للمخترقين، قواعد بيانات مسرّبة، سجلات Whois تاريخية، وبيانات مخترقة من خروقات كبرى.
يستخدمه محققو الأمن للبحث عن تسريب بيانات شركة معينة، بريد إلكتروني مسرّب، أو كلمة مرور ظهرت في خرق أمني. كما يُستخدم في تحقيقات OSINT الجنائية لتتبع الجهات الخبيثة.
مثال عملي: ابحث عن نطاق شركتك في IntelligenceX لمعرفة ما إذا كان أي من بريد موظفيها أو بياناتهم قد ظهر في خروقات بيانات سابقة.
زيارة IntelligenceX10. DNSDumpster — رسم خريطة نطاقاتك الكاملة
DNSDumpster أداة مجانية وبسيطة لكنها قوية جداً في مجال استطلاع النطاقات. تُدخل اسم نطاق (Domain) وتُعيد لك خريطة كاملة: سجلات DNS، النطاقات الفرعية (Subdomains)، خوادم MX، SPF، وخريطة مرئية بصرية للبنية التحتية.
يستخدمها Pentesters في المرحلة الأولى لاستطلاع هدف Bug Bounty، ومديرو الأمن لمعرفة ما هو مكشوف من بنيتهم التحتية على الإنترنت.
مثال عملي: أدخل example.com وستجد نطاقات فرعية مثل dev.example.com وstaging.example.com التي قد تكون منسية وغير محمية.
11. SecurityTrails — أرشيف DNS التاريخي
SecurityTrails قاعدة بيانات ضخمة لسجلات DNS التاريخية. تتيح لك رؤية التاريخ الكامل لتغييرات DNS على أي نطاق: كيف تغيّر عنوان IP الخادم عبر الزمن، ما هي النطاقات الفرعية القديمة، وما هي الشهادات الرقمية المرتبطة بهذا النطاق.
قيمتها الكبيرة في التحقيقات: مهاجم يغيّر IP خادمه باستمرار لا يمكنه محو التاريخ من SecurityTrails — مما يساعد على تتبع البنية التحتية للمهاجمين.
مثال عملي: إذا كشف تحقيق أن نطاقاً ما كان يؤشر على IP معين في الماضي، يمكن عبر SecurityTrails إيجاد نطاقات أخرى كانت تؤشر على نفس IP — وربما تعود للمهاجم ذاته.
زيارة SecurityTrails12. Wigle — خريطة شبكات الواي فاي حول العالم
Wigle (Wireless Geographic Logging Engine) مشروع تطوعي فريد من نوعه: قاعدة بيانات ضخمة تجمع معلومات الشبكات اللاسلكية (WiFi وBluetooth) مرتبطة بإحداثيات جغرافية GPS. يُمكّن المستخدمون من رفع بيانات الشبكات التي يرصدونها أثناء التنقل.
يستخدمه خبراء OSINT لتحديد موقع جهاز أو شبكة جغرافياً بناءً على BSSID أو SSID، وهو مفيد في التحقيقات الجنائية الرقمية وتحديد مواقع الأجهزة.
مثال عملي: إذا كان لديك MAC Address لجهاز راوتر ظهر في تحقيق، ابحث عنه في Wigle لتعرف موقعه الجغرافي التقريبي.
زيارة Wigle13. PublicWWW — البحث في الكود المصدري للمواقع
PublicWWW محرك بحث يُفهرس الكود المصدري HTML وCSS وJS لملايين المواقع، ويتيح لك البحث داخله. بدلاً من البحث عن اسم موقع، تبحث عن مقتطف من الكود أو تقنية معينة.
يستخدمه خبراء الأمن لاكتشاف جميع المواقع التي تستخدم نفس سكريبت خبيث، أو نفس مفتاح تتبع (Tracking Code)، أو نفس بنية تحتية — مما يربط مواقع متعددة بجهة واحدة.
مثال عملي: إذا اكتشفت في موقع مخترق كوداً خبيثاً بصيغة معينة، ابحث عن هذا الكود في PublicWWW لتعرف كم موقعاً آخر مُصاباً بنفس الطريقة.
زيارة PublicWWW14. URLScan — تشريح المواقع واكتشاف التهديدات
URLScan.io خدمة مجانية وفعّالة لفحص أي رابط URL دون الحاجة لفتحه في متصفحك. ترسل رابطاً وتُعيد لك تقريراً شاملاً: لقطة شاشة للموقع، الطلبات الشبكية التي أجراها، ملفات الـ cookies، شهادة SSL، وعناوين IP المرتبطة به.
لا غنى عنها عند فحص روابط مشبوهة وصلت عبر البريد الإلكتروني أو الرسائل. وتحتفظ بأرشيف لجميع عمليات الفحص السابقة مما يجعلها أداة بحث تاريخية قيّمة أيضاً.
مثال عملي: يرسل لك شخص رابطاً تشكّ فيه. الدت على URLScan بدلاً من فتحه مباشرة، وستعرف إن كان موقع تصيد (Phishing) أو موقع لتوزيع البرمجيات الخبيثة.
زيارة URLScan15. DeHashed — قاعدة بيانات الاعتمادات المسرّبة
DeHashed من أكبر قواعد بيانات الاعتمادات المسرّبة (Leaked Credentials) على الإنترنت. تجمع مليارات الإدخالات من خروقات البيانات الكبرى وتتيح البحث فيها بعناوين البريد الإلكتروني، أسماء المستخدمين، كلمات المرور، عناوين IP، وأرقام الهواتف.
يستخدمها فرق الأمن للتحقق هل بيانات موظفيهم ظهرت في خرق ما، وهل هناك بيانات مسرّبة تُهدد أمن المؤسسة. كما تُستخدم في Bug Bounty للبحث عن اعتمادات مكشوفة قد تتيح الوصول إلى الأنظمة.
16. Pulsedive — منصة استخبارات التهديدات الموحّدة
Pulsedive منصة استخبارات تهديدات (Threat Intelligence) مجانية تجمع بيانات من أكثر من 40 مصدر OSINT مختلف. تُتيح البحث عن عناوين IP، النطاقات، عناوين URL، وملفات التجزئة (File Hashes) وتعطيك تقييماً شاملاً لدرجة خطورتها.
ما يميزها هو قدرتها على ربط العناصر ببعض: هذا IP مرتبط بهذا النطاق المرتبط بهذه حملة هجومية — مما يعطي سياقاً كاملاً وليس مجرد معلومة مُجزأة. مثالية للدمج مع أنظمة SIEM لأتمتة تحليل التهديدات.
مثال عملي: عند ظهور عنوان IP مجهول في سجلات الشبكة، ابحث عنه في Pulsedive لتعرف: هل هو جزء من بنية تحتية لمجموعة قرصنة؟ هل ارتبط بهجمات Ransomware سابقة؟
زيارة Pulsediveنصائح ذهبية للمبتدئين في تعلم OSINT والأمن السيبراني
- ابدأ بـ Shodan وDNSDumpster — هما الأسهل للمبتدئين ويعطيان نتائج سريعة ومرئية تحفّزك على الاستمرار.
- تدرّب على بيئات آمنة — استخدم منصات مثل HackTheBox أو TryHackMe لتطبيق مهاراتك بشكل قانوني.
- لا تبحث عن أنظمة لا تملكها — تطبيق هذه الأدوات على أنظمة الآخرين دون إذن جريمة يُعاقب عليها القانون.
- تعلم لغة الاستعلامات — كل أداة لها لغة استعلام خاصة. تعلّمها يُضاعف فعاليتها مئة مرة.
- اجمع بين الأدوات — لا توجد أداة واحدة مثالية. المحترفون يستخدمون عدة أدوات معاً للحصول على الصورة الكاملة.
- وثّق اكتشافاتك دائماً — سواء كنت تعمل في Bug Bounty أو اختبار اختراق، التوثيق الجيد هو ما يفرّق بين المحترف والهاوي.
المعلومة الصحيحة في الوقت الصحيح هي أقوى سلاح في الأمن السيبراني. OSINT لا يعلّمك كيف تهاجم — بل يعلّمك كيف ترى ما لا يراه الآخرون.
Cybersecurity Arab
خاتمة — الإنترنت شفاف لمن يعرف كيف ينظر
ما رأيته في هذا المقال ليس مجرد قائمة بأدوات — بل هو نافذة على طريقة تفكير مختلفة تماماً. خبراء الأمن السيبراني لا يرون الإنترنت كما تراه أنت. هم يرون البنية التحتية، الأجهزة، الثغرات، والبيانات المكشوفة. هذه الأدوات الستة عشر هي عيونهم.
الطريق لإتقان OSINT ليس قصيراً، لكنه ممتع وعملي من أول يوم. كل أداة تتعلمها تُضيف بُعداً جديداً لقدرتك على حماية الأنظمة وفهم التهديدات. المجال بحاجة إلى متخصصين عرب، وأنت — إن واصلت التعلم — ستكون منهم.
لا تنتظر أن تكون "جاهزاً" لتبدأ. ابدأ الآن. افتح Shodan. ابحث عن نطاق اختبار. اكتشف. تعلّم من الأخطاء. وتذكّر دائماً: كل خبير في الأمن السيبراني كان يوماً ما مبتدئاً يبحث عن نفس المعلومات التي قرأتها للتو.
هذه المعلومات مُقدَّمة من الباحث Monsif Hmouri، تابعه للمزيد من المحتوى التعليمي.
