Maltego: инструмент визуального анализа связей¶
Maltego — это проприетарное программное обеспечение для визуального анализа данных и OSINT (разведки по открытым источникам), разработанное южноафриканской компанией Paterva (позже — Maltego Technologies). Инструмент предназначен для сбора, агрегации и графической визуализации связей между объектами: людьми, организациями, доменами, IP-адресами, электронными почтами и другими сущностями. Maltego широко используется в сфере кибербезопасности, в частности для анализа цифровых следов, расследования инцидентов и оценки периметра атаки.
¶История
Проект Maltego был основан Руаном Хофманном и Карлом-Эриком Сватоном в 2006 году в ЮАР. Первоначально продукт развивался как исследовательский проект в области визуализации графов, но быстро привлёк внимание специалистов по безопасности. В 2008 году компания Paterva выпустила публичную версию Maltego 2.0, которая стала доступна как бесплатная редакция (Community Edition) и коммерческая (Commercial Edition).
В 2019 году права на продукт перешли к компании Maltego Technologies, зарегистрированной в Германии. С этого момента разработка сосредоточилась на облачной инфраструктуре и корпоративных решениях. В 2022 году Maltego представила версию 4.3 с полностью переработанным интерфейсом и улучшенной поддержкой больших графов. На 2024 год актуальной является версия 4.4, ориентированная на интеграцию с внешними аналитическими платформами.
¶Основные возможности
¶Графы и сущности
Центральная концепция Maltego — граф, в котором узлами выступают сущности (entities), а рёбрами — связи между ними. Сущности делятся на типы: персоны, компании, домены, URL-адреса, номера телефонов, географические координаты, документы и другие. Каждый тип имеет набор атрибутов (например, для домена — регистратор, дата создания, DNS-записи). Пользователь может начинать анализ с одной сущности и последовательно расширять граф, добавляя новые узлы через преобразования.
¶Преобразования (Transforms)
Преобразования — это модули, которые автоматически выполняют запросы к внешним источникам данных и возвращают результаты в виде новых сущностей. Например, преобразование для домена может запросить его IP-адрес, историю WHOIS или связанные поддомены. Преобразования делятся на встроенные (работающие с публичными API) и пользовательские (написанные на Python или Java). Встроенные модули работают с такими источниками, как DNS-серверы, базы данных WHOIS, поисковые системы и сервисы социальной инженерии.
¶Интеграции
Продукт поддерживает подключение к внешним сервисам через API: Shodan, VirusTotal, Have I Been Pwned, PassiveTotal и другие. Для корпоративных лицензий доступна интеграция с SIEM-системами и платформами threat intelligence. Maltego также предоставляет SDK для создания собственных преобразований и экспорта данных в форматы GraphML, CSV и PDF.
¶Редакции и лицензирование
Maltego распространяется в нескольких редакциях:
- Maltego CE (Community Edition) — бесплатная версия с ограничением на количество узлов в графе (до 12 000) и базовым набором преобразований.
- Maltego Pro — платная версия для индивидуальных специалистов, снимающая ограничения на размер графа и предоставляющая полный набор публичных преобразований.
- Maltego XL — редакция для работы с графами, содержащими более 10 миллионов узлов, предназначенная для крупных аналитических отделов.
- Maltego Server — серверный компонент для централизованного управления преобразованиями и совместной работы команды.
Лицензирование подписное, стоимость варьируется в зависимости от редакции и количества пользователей. Образовательные учреждения могут получить академические лицензии со скидкой.
¶Применение
¶Кибербезопасность
Основная область использования Maltego — анализ сетевой инфраструктуры на этапе разведки. Специалисты по пентестам применяют инструмент для картирования IP-адресов, выявления связанных доменов и поиска уязвимых сервисов. Аналитики SOC используют Maltego для расследования инцидентов: например, для прослеживания цепочки заражения по индикаторам компрометации (IOC).
¶OSINT и журналистские расследования
Инструмент популярен среди исследователей, работающих с открытыми данными. С его помощью можно установить связи между аккаунтами в социальных сетях, восстановить историю смены доменов или выявить принадлежность IP-адресов конкретным организациям. Maltego активно применяется в фактчекинге и антикоррупционных расследованиях.
¶Бизнес-аналитика
В корпоративной среде Maltego используется для анализа организационных структур, выявления аффилированных лиц и проверки контрагентов. Юристы и службы комплаенса применяют инструмент для построения схем владения активами.
¶Критика и ограничения
Основные претензии к Maltego связаны с его стоимостью: полный функционал доступен только в дорогих коммерческих редакциях, тогда как бесплатная версия существенно ограничена. Кроме того, качество результатов напрямую зависит от источников данных: многие преобразования используют публичные базы, которые могут быть неполными или устаревшими.
С точки зрения безопасности, Maltego критикуют за потенциальное использование в целях социальной инженерии и слежки. Инструмент позволяет агрегировать персональные данные из открытых источников, что вызывает обеспокоенность регуляторов в контексте законодательства о защите персональных данных (например, GDPR в Европейском союзе). В России использование подобного ПО не запрещено, однако обработка персональных данных должна соответствовать требованиям Федерального закона № 152-ФЗ «О персональных данных».
Также отмечается, что кривая обучения Maltego достаточно крутая: для эффективной работы требуется понимание принципов построения графов и настройки преобразований.
¶Альтернативы
На рынке существуют открытые и коммерческие аналоги Maltego. Среди открытых проектов выделяются Recon-ng (модульный фреймворк для OSINT) и SpiderFoot (автоматизированный сборщик данных). Коммерческими конкурентами являются Recorded Future, IBM i2 Analyst’s Notebook и Echosec. В отличие от Maltego, большинство альтернатив либо не предоставляют столь гибкой визуализации графов, либо требуют самостоятельной настройки источников данных.