Data Leak Detection — Ricerca nei Dati Trapelati
Motore di ricerca sull’archivio di documenti trapelati che la piattaforma indicizza — dump, combolist, log di infostealer, scarichi di forum e materiale caricato dal cliente stesso. L’interrogazione è federata: una richiesta parte verso tutti i server di indice configurati e le risposte tornano fuse in un unico risultato.
Panoramica
Ogni documento entra nell’indice suddiviso in frammenti. La ricerca confronta il termine con il testo del frammento (peso 3), con il nome del file (peso 2) e con i metadati di sezione e titolo, con tolleranza agli errori di battitura, e restituisce fino a tre estratti con il termine evidenziato nel mezzo della frase — l’analista legge il contesto senza aprire il file.
Sopra il risultato compaiono tre aggregazioni, che servono sia da filtro sia da diagnosi di ciò che si è trovato: per tipo di file, per categoria e per fonte di origine. È così che si scopre, per esempio, che uno stesso CNPJ compare in quindici fogli di calcolo di una fonte e in una sola e-mail di un’altra.
Come funziona internamente
Federazione e paginazione. La piattaforma individua i server di indice dalla configurazione d’ambiente e li interroga tutti. Le aggregazioni vengono sommate chiave per chiave, i risultati riordinati per rilevanza sull’insieme già fuso e solo a quel punto paginati. Se un server non risponde, gli altri rispondono comunque e il guasto resta registrato — la ricerca non è ostaggio del nodo più lento.
Isolamento fail-closed. Il filtro per organizzazione viene sempre applicato a chi non è amministratore globale, anche quando il campo dell’organizzazione non esiste ancora in una parte dei documenti indicizzati. L’effetto è voluto: un documento privo del campo non corrisponde e non compare. La scelta ingegneristica è stata sostituire il comportamento precedente — che rimuoveva il filtro quando il campo mancava e restituiva tutto — con uno che sbaglia per difetto. Nella ricerca di dati trapelati un falso negativo è una seccatura; una fuga di dati tra clienti diversi è un incidente.
Impronta digitale cross-fonte. Lo stesso file circola su più canali. La piattaforma conserva sha256, sha1 e md5 di ogni documento, con il contatore delle occorrenze e le date di prima e ultima comparsa. Questo risponde a una domanda a cui la ricerca testuale non risponde: questo dump è nuovo oppure è lo stesso di marzo, riconfezionato?
Attribuzione con affidabilità dichiarata. Ogni impronta digitale può ricevere attribuzioni — attore, campagna, canale di origine (Telegram, forum, paste site, marketplace, log di stealer, dark web, clear web, feed di un partner, caricamento manuale), URL e handle di chi ha pubblicato, oltre alla motivazione. L’affidabilità ha tre livelli e il criterio di ciascuno è esplicito: bassa significa euristica automatica, media significa correlazione tra fonti, alta richiede revisione umana con più segnali concordanti. Nome e data di chi ha revisionato restano nel registro.
Funzionalità
- Selettori strutturati: e-mail, dominio, URL, IPv4, IPv6, telefono, indirizzo Bitcoin, indirizzo Ethereum, CPF e CNPJ (i codici fiscali brasiliani di persone fisiche e imprese)
- Estrazione del testo da PDF, DOCX, XLSX, PPTX, HTML, EML e dagli archivi compressi ZIP, RAR e 7z
- Ricerche salvate con condivisione facoltativa all’interno dell’organizzazione; modificabili dall’autore o dall’amministratore dell’organizzazione
- Esportazione in JSON o CSV, con tetto di 100, 500, 1.000 o 5.000 risultati
- Audit di sei eventi — ricerca, visualizzazione, download, esportazione, salvataggio ed eliminazione di una ricerca — con IP, interrogazione, filtri, numero di risultati e tempo di risposta
Casi d’uso
- Verificare se credenziali aziendali sono comparse in uno scarico recente e su quale canale
- Tracciare l’esposizione dei codici fiscali CPF o CNPJ dei clienti in banche dati messe in vendita
- Stabilire, tramite il contatore delle occorrenze, se un dump annunciato come inedito circolasse già
- Raccogliere le prove sull’origine per una notifica di incidente o per una richiesta di takedown
Ciò che il modulo non fa
- Una ricerca salvata non genera avvisi. Conserva l’interrogazione per riusarla, non la pianifica. La sorveglianza continua con notifica è compito di Threat Monitoring, che interroga questo stesso archivio.
- Non interroga HaveIBeenPwned, DeHashed o servizi di terze parti equivalenti.
- Non scrive nella directory aziendale: non forza il cambio password né disattiva account su Active Directory o Entra ID.
- Non attribuisce la paternità in automatico con affidabilità alta — la fascia alta richiede una firma umana.
- Non conserva il testo estratto nel database relazionale; il testo vive nell’indice di ricerca.
Integrazioni
- OpenSearch multi-server (indici
ooda_leaks_*) - Airflow, per i documenti che richiedono OCR prima di entrare nell’indice
- OODA Threat Monitoring (ricerca ricorrente su questo archivio) e OODA EASM (correlazione tra fuga di dati e asset del perimetro)
SLA e garanzie
Indice federato con merge delle aggregazioni · isolamento per organizzazione fail-closed · ogni interrogazione tracciata nell’audit