Obsidian OSINT Templates — Розбір Шаблонів

Проєкт: Obsidian OSINT Templates

Тут розібрано 7 з 13 шаблонів — найбільш вживані. Повний список у репозиторії.

Шаблон: Person

Файл: Templates/Person.md
Тег: #person
Тип: Актант, Parent/Child

Структура (4 розділи):

1. Key Info         — короткий summary-callout (хто, де, з ким)
2. Biographical     — зайнятість, освіта, контакти, кримінальна справа
3. Identifiers      — документи, фізичні характеристики
4. Analysis / Notes — вільний аналіз

На що звернути увагу:

Summary callout — перший блок у шаблоні:

> [!NOTE] Summary
> 
> - Who are they?
> - Where are they located?
> - What are their main resp. / activities?
> - Who are they in close contact with?

Це аналітичне резюме, яке заповнюється ОСТАННІМ — коли решта нотатки вже готова. Чотири питання відповідають класичній розвідувальній рамці: ідентифікація → місцезнаходження → діяльність → соціальна мережа.

Scenes of Life — розділ Addresses записується з датою:

Home (date - address):
  Current (location): [[Kyiv, Shevchenkivskyi district]]
  Past: 2019-2022 - [[Lviv, Halytskyi district]]

Посилання на [[Location]] дозволяє Obsidian з’єднати цю людину з іншими сутностями, що мають ту саму адресу.

Criminal Record розбитий на три підрозділи:

Liability — що сталось
Human Relations — хто причетний (посилання на інших Person/Org)
Documentation — офіційні джерела

Приклад заповненого запису:

---
aliases: John, JohnA
tags:
  - person
created: 2025-03-15T10:30
updated: 2025-03-16T14:22
---
 
> [!NOTE] Summary
> 
> - Директор ТОВ "АльфаТрейд", громадянин України
> - Зареєстрований: [[Kyiv, Podil]], фактично — [[Dubai, UAE]]
> - Основна діяльність: посередництво в зовнішньоторговельних схемах
> - Близькі контакти: [[Petrov_Ivan]] (партнер), [[AlphaTrade_LLC]] (директор)
 
## Assets
### Digital
- Accounts: [[johnadams_LinkedIn]], [[j_adams_Telegram]]
- Email: [[john.adams@alphafin.io]]
- Phone: [[+380-44-000-1234]]

Шаблон: Domain

Файл: Templates/Domain.md
Тег: #domain
Тип: Власність, Both

Це найдетальніший шаблон у колекції — домен є центральним артефактом більшості технічних розслідувань.

Ключові розділи:

Host — поточний і історичні IP з таблицею:

| IP Address | Location | IP Address Owner | Last seen on this IP |
| ---------- | -------- | ---------------- | -------------------- |
| 1.2.3.4    | Frankfurt| Hetzner Online   | 2024-11-20           |

Корисні ресурси вбудовані прямо в шаблон: DIT, Censys, Shodan, DNSdumpster.

DNS Records — всі типи записів з посиланнями на визначення Cloudflare:

A, AAAA, CNAME, NS, MX, SOA, TXT — кожен зі своїм полем

Files & Structure — приховані файли сайту:

/robots.txt, /security.txt, /ads.txt, /assetlinks.json...

Ці файли часто розкривають інфраструктуру, рекламні мережі та пов’язані домени.

ADINT (реклама як розвідка):

Analytics (UA-):       ← Google Analytics ID → знайти інші сайти того ж власника
AdSense (pub-):        ← Google AdSense ID
Metrika ID (mc.yandex) ← Яндекс Метрика

Один рекламний ідентифікатор може зв’язати десятки доменів одного актора.

Fingerprint — найтехнічніший блок:

Favicon hash:          ← пошук схожих сайтів через Shodan
JA3/JARM/JA4+:        ← TLS fingerprints
HHHash:                ← HTTP headers hash

Підказки в шаблоні:

Автор вбудував у шаблон прямі ресурси і команди:

# Моніторинг TLS-сертифікатів у реальному часі:
pip3 install certstream
certstream --full | grep <domain>
 
# Розрахунок HHHash:
curl -s -D - <domain> -o /dev/null | awk 'NR != 1' | cut -f1 -d: | \
  sed '/^[[:space:]]*$/d' | sed -z 's/\n/:/g' | sha256sum | \
  awk {'print "hhh:1:"$1'}

Шаблон: Organization

Файл: Templates/Organization.md
Тег: #company
Тип: Актант, Both

Унікальні розділи (порівняно з Person):

Registry Details — реєстраційні дані:

Registration Country, Number, Address, Date
Company ID, Tax ID, Tax Record
Certifications
Business Combination Transactions (merges, IPO)

Є спеціальна підказка для судноплавних компаній:

> Shipping Company:
> - IMO, Call Sign, MMSI, Ship Statistics

Proxy Statements — для публічних компаній США (SEC Form DEF 14A):

Stock Ownership Data
Executive Compensation + CEO Pay Ratio
Director Biographies
Procedures for Shareholder Resolutions

Power Investments — важливий для розслідувань корупції та впливу:

Lobbying Activities
Political Donations
Philanthropic Relationships
Research Agenda & Investments
Politically Useful Infrastructures

Hint вбудований у шаблон:

> Hint: for US companies, check SEC DEF 14A, S-1, K-8, K-10, 13-D, 13-G,
> 13-G/A, 13-F, Exhibit 10.1, Forms 3 & 4, as well as IRS 990 forms.

Шаблон: Account

Файл: Templates/Account.md
Тег: #account
Тип: Власність, Child

Аналітичне судження (Analytic Judgement):

> [!NOTE] Analytic Judgement
> 
> - **Owner**:       ← Хто, на вашу думку, контролює акаунт
> - **Confidence**:  ← Ваша впевненість в атрибуції (1-10)
> - **Archived at**: ← Посилання на архівну копію (Wayback Machine тощо)

Це один з небагатьох шаблонів, де явно є поле впевненості — це пряме відображення IC-стандарту аналітичного судження.

Content — документування постів:

### Post-2
- Screenshot: ![[screenshot_filename.png]]
- Date: 2025-01-15
- Type: #image
- URL: https://...
- Hash: sha256:abc123...
- Metadata:
- Reactions: 1.2K лайків, 340 RP
- Notable Comments:
- Analysis:

Зверніть увагу: кожен пост має Hash — це дозволяє довести справжність контенту в разі видалення оригіналу.

Relations — граф соціальних зв’язків:

Connections, Groups_of, in_Groups
Likes / Liked_by
Follows / Followed_by
Mentions / Mentioned_by

Ці поля у вигляді [[посилань]] автоматично будують соціальний граф акаунту.

Шаблон: Event

Файл: Templates/Event.md
Тег: #event
Тип: Контекст, Parent

Структура 5W+H:

When:  Date-Time + Local Time Zone + First Reported (хто/коли/де)
Where: Довгота + Широта + Адреса + 3 слова (what3words)
Who:   Actant (виконавець) + Effected (постраждалий) + Witness
What:  Related Indicators + TTPs + Impact Assessment
Why:   Intent

Використання what3words (3-words:) дозволяє точно зафіксувати місце події, навіть якщо адреса невідома.

Зв’язок з Indicator і TTP:

- Related Indicators:
  - Type: 
  - Valid Time Window:   ← Часовий діапазон актуальності індикатора
  - Typical Associated TTPs (ttp): [[weaponize software]]
  - Kill Chain Phases:   ← Де в ланцюгу атаки
  - Impact:
  - Confidence:

Шаблон: TTP

Файл: Templates/TTP.md
Тег: #TTP
Тип: Власність, Both
Стандарт: STIX v2.1 + MITRE ATT&CK

TTP (Tactics, Techniques and Procedures) — стандартна концепція з кіберрозвідки і CTI.

Три підрозділи General Info:

Threat Actor — хто стоїть за TTP:

Identity, Intent, Observed TTPs, Historical Campaigns
Associated Actors, Confidence, Information Source

Campaign — конкретна кампанія, що використовує TTP:

Intent, Related Incidents (event), Related Indicators
Attributed-to (person/org), Targets, Uses (активи, домени, IP, акаунти)

Target Specification — уразливості мішені:

Vulnerabilities, Weaknesses, Configurations
Potential COA (Course of Action):
  - Stage: Remedy / Response
  - Type, Description, Objective
  - Impact, Cost, Efficacy

Специфікація (Specification):

## Summary (де що відбувається і що потрібно)
## Standard Operating Procedures (покроково)
## Indicators of Compromise (IOC) — що сигналізує про наявність TTP
## History — таблиця минулих випадків

Вбудовані ресурси:

MITRE ATT&CK Navigator: https://mitre-attack.github.io/attack-navigator/
STIX Cyber Observables: https://oasis-open.github.io/cti-documentation/
MAEC for Malware Analysis: https://maecproject.github.io/

Шаблон: Indicator

Файл: Templates/Indicator.md
Тег: #indicator
Тип: Власність, Both
Стандарт: STIX v2.1+

Це найкоротший шаблон, але критично важливий для CTI:

# Properties
- Type: 
- Observables:
    - Stateful Measure:    ← Стан системи (файл, ключ реєстру, процес)
    - Event:               ← Посилання ТІЛЬКИ якщо спостерігали
    - Sub-Observables:
- Typical Associated TTPs: [[weaponize software]]
- Kill Chain Phases:
- Test Mechanism:          ← Як перевірити наявність індикатора
- Sightings:               ← Де і коли бачили
 
# Relationships
- indicates (ttp / event; asset / person / org):
- based-on (observed data):

Правило з шаблону: Event посилається ТІЛЬКИ якщо його фактично спостерігали. Якщо ви припускаєте зв’язок — не посилайтесь, опишіть словами.

Далі за списком у індексі Obsidian OSINT Templates.

AI для OSINT 2026

Провідник

02-Шаблони-Детально