DISCLAIMER: Данная статья написана в ознакомительных целях и не является руководством к неправомерным действиям или обучающим материалом для сокрытия правонарушений. Логирование действий пользователей издревле используется при идентификации в глобальной паутине. Оперативники запрашивают пользовательские логи у ИТ-компаний, являющихся владельцами того или иного онлайн-сервиса (платежного сервиса, социальной сети, электронной почты, блога, форума или мессенджера). Однако, решать задачу по идентификации пользователей сети приходится не только сотрудникам органов, но и службам безопасности, детективам, да и OSINT-исследователям. В связи с этим, предлагаю разобраться с понятиями, а также основными методами и приемами логирования пользователей. Итак, логирование пользователя интернета предполагает осуществление с ним такого взаимодействия, в ходе которого изучаемый пользователь посетит (в той или иной форме) внешний веб-ресурс, доступ к логу которого имеется у исследователя. Это может быть, специально созданные, гиперссылка или файл, запускающий при своем открытии специальные алгоритмы сбора пользовательских данных. Большое число сервисов, предлагающих подобный функционал, находится в общем доступе. Мы разделили логеры на две основные категории по принципу их работы. Первая группа логеров предлагает возможность создания файлов, собирающих данных пользователей при их открытии. К ним относятся: http://canarytokens.org/generate https://www.locklizard.com/track-pdf-monitoring/ http://www.mailtracking.com/mailtracking/pmdoctrack.asp. Наибольшим функционалом, среди представленных, обладает сервис http://canarytokens.org/generate, позволяющих создавать внушительный список логируемых файлов (как системных, так и документов Microsoft Office). Прочие сервисы этой категории позволяют генерировать только файлы формата PDF. Для примера сгенерируем в сервисе http://canarytokens.org/generate файл формата DOC (Microsoft Office Word). Указанный файл мы, разумеется, переименовываем во что-то более осмысленное наподобие "Договор №563 от 10.11.2021", а также вставим в сам файл соответствующий текст. На функционал трекера это никак не повлияет. Созданный документ направляем пользователю по любым каналам связи. В случае, если пользователь открыл и просмотрел отправленный ему документ, исследователь получит уведомление на адрес электронной почты, а лог пользователя станет ему доступным по ссылке на управление логером. Вторая категория логеров оперирует возможность создания гиперссылки на внешний веб-ресурс, которую предлагается направить изучаемому пользователю. В их числе: http://canarytokens.org/generate http://ru.itsip.info/spy https://grabify.link/ https://iplogger.ru/ https://webresolver.nl/tools/iplogger Иными словами, перед переходом на тот или иной веб-ресурс, пользователь должен будет пройти еще через один, что позволит сохранить на нем лог посещения. Переход по такой ссылке, как правило, происходит незаметно для пользователя. Однако, просто так по ссылке с непонятного сервиса вряд ли кто-то просто так пройдет. Значит будем маскировать. Маскировка логируемой ссылки, чаще всего, происходит посредством использования сервисов, предоставляющих услуги "сокращения гиперссылки". При введении в него адрес логируемой ссылки, сервис сформирует "короткую" уникальную гиперссылку, которая вызывает меньше подозрений у получившего её пользователя. К числу таких сервисов можно отнести следующие: https://clck.ru/ http://bit.do/ https://bitly.com/ https://www.lnnkin.com/  и другие Существуют и иные приемы маскировки логируемой ссылки. Один из них предполагает осуществление редиректа на логируемую ссылку через какой-либо из популярных онлайн-сервисов. Для примера возьмём ссылку на группу участников конкурса Zero-Day ВКонтакте https://vk.com/zeroday_spb и создадим, при помощи сервиса https://iplogger.ru/, для неё логируемую ссылку. Теперь нам необходимо создать редирект. Прописываем следующую гиперссылку https://vk.com/away.php?to=https://ссылка_из_логера, в которой https://vk.com/away.php?to= - это указание на редирект из социальной сети, а " https://ссылка_из_логера" - созданный нами логер, ведущий на страницу https://vk.com/zeroday_spb. Созданную гиперссылку https://vk.com/away.php?to= https://ссылка_из_логера  мы направляем объекту исследования и вуаля. У нас есть полноценная ссылка с редиректом на нужную нам страницу после перехода. Лог доступен на сайте, как и в прошлый раз. Схожий функционал предлагает сервис https://webresolver.nl/tools/iplogger. Он позволяет сгенерировать логируемую ссылку якобы на ролик с Youtube. Анализ данных об IP-адресе, выявленном в результате логирования, предполагает его проверку в различных сервисах, позволяющих установить его точную геолокацию и интернет-провайдера, а также различные электронно-цифровые следы, сопоставление которых может привести к успешной идентификации пользователя. Сервис https://www.maxmind.com/en/geoip2-precision-demo обладает наиболее точной базой данных о принадлежности IP-адресов тем или иным интернет-провайдерам, а также регионам. Сервисы https://pulsedive.com/, https://spyse.com/ и https://www.spiderfoot.net/ позволяют исследовать IP-адрес на предмет наличия связанных доменов, средств анонимизации, TOR и иной информации, способствующей идентификации пользователя. Сервис https://www.shodan.io/ позволяет обнаруживать элементы интернета вещей (IoT), связанные с изучаемым IP-адресом. Сервисы https://sypexgeo.net/ru/demo/ и https://ipinfo.io/map позволяют создать визуальное представление выявленных IP-адресов, основанное на данных их местоположения, на географической карте. Сервис https://webresolver.nl/tools/ip2skype дает возможность проверить IP-адрес на факт использования с него профиля Skype. При этом, сервис оперирует данными утечки информации, которую можно скачать по ссылке https://github.com/cyberhubarchive/archive/tree/master/Skype%20resolver%20logs. Сервисы https://intelx.io/ и https://leakix.net/# позволяют обнаружить иные возможные публичные утечки информации, связанные с упоминанием исследуемого IP-адреса. Ну и наконец, сервис https://iknowwhatyoudownload.com/ru/peer/ позволяет получить информацию о файлах, скачиваемых через торренты из сети интернет с того или иного IP-адреса. Социальные сети пользователя выявляются в процессе логирования при помощи использования следующих методов: Во-первых, использования технологии соцфишинга. Суть его заключается в том, что, когда пользователь заходит на сайт, загружается невидимый слой (фрейм), на котором расположена кнопка Like (нравится) от социальной сети Вконтакте. Когда пользователь кликает в любое место на сайте, он нажимает кнопку Like, автоматически авторизуясь от своего социального профиля если на этот момент он авторизован на данном браузере в социальной сети. Во-вторых, это анализ данных файлов cookie, хранящихся в браузере пользователя. Cookie имеет возможность видеть любой сайт, что прекрасно иллюстрирует сервис https://browserleaks.com/social. Однако наличие одних лишь данных файла cookie и факта их авторизации в социальной сети еще не означает установление конкретного пользовательского профиля. Для этого, имеющиеся у исследователя данные cookie, необходимо сверить с базами данных. Базы данных cookie-файлов собираются и продаются большим числом компаний на рынке оказания рекламных и маркетинговых услуг. Они берутся, например, через любую форму авторизации пользователя с использованием профиля в социальной сети. В качестве примера использования указанных выше технологий, следует привести следующие сервисы: https://socfishing.com/ https://socgate.com/ http://soceffect.ru/ https://dmp.one/ https://smsgorod.ru/identifikaciya.html https://wantresult.com.ru/ https://my.lptracker.ru/land/id/ Их использование предполагает внедрение в код внешнего сайта специального скрипта, позволяющего им идентифицировать посетителей этого сайта. Запуск в 2014 году HTML5 позволил пользователям обмениваться информации о своем местоположении при помощи функции Geolocation API. Сбор данных о местоположении, в рамках HTML5, происходит при помощи технологий: GPS (спутниковое геопозиционирование), LBS (позиционирование по базовым станциям мобильной связи), WiFi (позиционирования по месту размещения WiFi-роутера), а также по IP-адресу. В сети представлено несколько сервисов геологеров, позволяющих собирать сведения о геолокации пользователей посредством направления им логируемой гиперссылки: https://github.com/thewhiteh4t/seeker https://github.com/jofpin/trape https://github.com/cryptomarauder/TrackUrl https://iplogger.ru/location-tracker/ Ну вот и все на сегодня. Надеюсь, данный материал был для Вас интересен и помните: Данная статья написана ТОЛЬКО! в образовательных целях. Любое применение подобных методов для противоправных действий повлечет за собой уголовную ответственность! Senior Information Security Auditor