10款最佳开源情报（OSINT）工具

开源情报工具帮助调查员将公开可获得的信息转化为可搜索、关联、监控和报告的证据。该类别如今涵盖链接分析平台、全网资产搜索引擎、自动化侦察、网页捕获系统、身份研究以及专业资源目录。最强的产品因此取决于工作是从个人、公司、域名、设备、文档还是更广泛的调查问题开始。

我们评估了当前产品的来源广度、调查深度、证据处理、协作、自动化、透明度和实际适配性。Maltego 因其特别完整的调查工作流位列第一，而 Shodan 和 Censys 在互联网暴露基础设施方面领先。每款工具仍然需要合法使用、来源验证、细致文档和人工判断；发现公共数据点并不自动意味着所有使用场景都是合适的。

最佳 OSINT 工具对比

10 个最佳开源情报（OSINT）工具

1. Maltego

Maltego 是一个调查平台，用于在众多公共和商业数据源之间关联人员、组织、域名、基础设施、文档及其他实体。其基于图的界面使关系可视化，同时搜索、监控和证据功能支持单次查询之外的工作。它位列第一，因为它能够在一个连贯的环境中将调查从最初的发现推进到分析、协作和报告。

在实际使用中，Maltego 将图形分析、实体解析、数据集成、搜索、监控、案例协作和证据工作流结合在一起。其最重要的优势在于将可视化链接分析与广泛的数据集成相结合，支持发现、监控、协作和证据处理。这一组合支撑了“端到端调查与链接分析”的使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

Maltego 最适合需要连接多种实体类型并在案件中保留分析上下文的调查团队。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:其广度导致学习曲线较陡，商业数据集成可能增加成本和许可复杂性。团队应提前定义数据源权限和图谱约定，以确保复杂调查可解释且可复现。这些检查帮助团队判断产品是否符合其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 Maltego

2. Shodan

Shodan 是一个面向互联网连接系统的搜索引擎，展示设备、端口、服务、软件、证书及其他可观察特征的信息。安全团队使用它来了解外部攻击面、调查基础设施，并在不进行自有大规模扫描的情况下识别可能暴露的技术。它位列第二，因为其长期数据集、易上手的查询语言、警报和 API 使得面向互联网的资产发现对交互式研究和自动化都实用。

在实际使用中，Shodan 将全网扫描、主机和服务搜索、过滤器、警报、地图、API 访问和历史观测结合在一起。其最重要的优势是能够在庞大的设备和服务索引上快速搜索，并提供有用的过滤器、警报、地图、历史记录和 API 访问。这一组合支撑了“发现联网设备和暴露的服务”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

Shodan 最适合调查外部可见设备、服务、证书和技术足迹的安全研究员和防御者。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:观测可能陈旧或不完整，结果仅表明暴露而非证明漏洞或所有权。重要发现应通过授权方式验证，并在整改或披露决策前关联可靠的所有权数据。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 Shodan

3. Censys

Censys 持续绘制公共互联网的主机、服务、证书及其关系图谱。其结构化数据模型在分析师需要在证书、域名、协议和基础设施之间切换以调查曝光或组织时尤为有用。它位列第三，因为它将强大的互联网数据集与资产归属和监控工作流相结合，既能支持动手研究，也能支撑企业级外部攻击面管理。

在实际使用中，Censys 将主机、服务和证书搜索、资产归属、互联网地图、历史数据、监控和 API 结合在一起。其最重要的优势在于结构化的互联网数据支持精确的基础设施切换，证书和资产关系强化了归属工作流。这一组合支撑了“互联网资产发现与攻击面情报”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

Censys 最适合安全运营、威胁情报和攻击面团队，这些团队需要对公共互联网基础设施进行结构化视图。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:企业级能力可能超出偶尔研究者的需求，且互联网观测仍需验证和所有权确认。评估应比较组织最相关的协议、地区和资产类型的覆盖情况，而非仅凭宣传中的索引规模。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 Censys

4. SpiderFoot

SpiderFoot 自动从大量公共来源收集信息，并围绕域名、IP 地址、姓名、用户名和电子邮件地址等目标组织结果。其模块化设计让调查员可以选择数据源和扫描配置文件，而无需重复数十次手动搜索。它位列第四，因为它在提供特别广泛的自动化侦察的同时，还保持了开源版和托管平台两种可及性。

在实际使用中，SpiderFoot 将模块化 OSINT 收集、数百个数据源、基于实体的延伸查询、关联、可视化、警报和自托管结合在一起。其最重要的优势是能够在广泛的模块生态系统中自动化收集，并且可以自托管和适配不同的侦察目标。这一组合支撑了“跨多个公共来源的自动化侦察”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

SpiderFoot 最适合希望在众多 OSINT 来源之间实现可重复、可配置收集的技术调查员。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:大规模扫描可能产生噪声或重复发现，且部分模块依赖单独的 API 密钥和使用限制。团队需要制定针对误报、来源冲突、扫描范围以及 API 凭证和收集数据安全处理的审查规则。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 SpiderFoot

5. OSINT Framework

OSINT Framework 是一个经过策划的树状目录，帮助研究人员发现用于用户名、域名、社交网络、公共记录、地理位置、图像、档案、元数据等众多任务的工具和资源。它本身不收集或分析证据。它位列第五，因为它仍是对已知所需信息类型却不清楚最合适专业服务的调查员最有价值的起始地图之一。

在实际使用中，OSINT Framework 将分类资源目录、可展开的研究树、基于主题的导航、免费资源和专业工具发现结合在一起。其最重要的优势是让碎片化的 OSINT 生态系统更易导航，并覆盖众多专业类别和免费研究资源。这一组合支撑了“按调查类型查找专业 OSINT 资源”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

OSINT Framework 最适合构建任务特定收集工作流或了解可用资源类别的研究人员。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:它是目录而非调查平台，且第三方链接可能更改、消失或拥有不同的法律条款。每个链接的资源必须独立评估其准确性、授权、隐私、安全和保留要求后方可投入运营使用。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 OSINT Framework

6. Hunchly

Hunchly 是一款基于浏览器的研究与证据捕获工具，旨在保存调查员在线看到的内容。它自动记录页面、为活动加时间戳、计算完整性信息，并让用户组织笔记、标签、选择器和案例。它位列第六，因为在 OSINT 中，收集只是其中一环——记者、调查员和分析师同样需要对可能在发现后改变或消失的页面保留可辩护的记录。

在实际使用中，Hunchly 将自动页面捕获、时间戳、哈希、笔记、标签、选择器列表、案例组织和导出功能结合在一起。其最重要的优势是自动保留可导航的网络研究记录，案例、笔记、标签和导出功能支持可辩护的文档化。这一组合支撑了“捕获并保存在线研究证据”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

Hunchly 最适合必须记录在线研究并以清晰来源保存材料的调查员。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:它并不取代发现或链接分析平台，捕获的材料仍需合法处理并进行上下文验证。组织应将捕获、保留、遮盖敏感信息和导出实践与其证据标准和隐私义务保持一致。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 Hunchly

7. Social Links

Social Links 专注于跨社交网络、即时通讯、区块链、暗网及其他在线来源的身份情报。其产品帮助分析师在结构化调查工作流中关联别名、账户、联系信息、组织和数字活动。它位列第七，因为身份解析是欺诈、威胁、合规和执法案件的核心，且平台提供的专业覆盖深度超过通用网络搜索工具。

在实际使用中，Social Links 将身份解析、社交和即时通讯研究、可视化链接分析、数据增强、API 和企业工作流结合在一起。其最重要的优势是深度聚焦身份和社交来源关系，支持可视化调查、数据增强和企业集成。这一组合支撑了“身份和社交媒体调查”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

Social Links 最适合调查在线身份、网络、欺诈模式或跨平台活动的专业团队。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:敏感来源需要严格的法律和隐私控制，且外部平台限制数据时覆盖和访问可能会变化。分析师应将推断的关系视为线索，直至得到验证，并将收集限制在批准的目的、司法管辖区和来源类型内。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 Social Links

8. OSINT Industries

OSINT Industries 专注于从电子邮件地址或用户名等起点快速进行身份研究。它能够显示关联的服务、公共档案及其他账户信号，帮助调查员优先进行更深入的手动研究。它位列第八，因为其聚焦的工作流比逐一检查每个来源更快，尤其适用于欺诈筛查、尽职调查和数字足迹调查。

在实际使用中，OSINT Industries 将电子邮件和用户名查询、账户发现、资料增强、可重复搜索、导出和 API 访问结合在一起。其最重要的优势是从常见身份线索快速发现账户，并且聚焦的界面减少了重复的逐源搜索。这一组合支撑了“快速电子邮件和用户名情报检查”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

OSINT Industries 最适合经常以电子邮件、别名或用户名开启调查并需要快速丰富信息的团队。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:匹配可能不完整或属于其他人，身份数据需要谨慎的隐私、同意和用途控制。结果应通过多个独立属性进行佐证，方可得出关于身份或行为的结论。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 OSINT Industries

9. BuiltWith

BuiltWith 识别网站使用的技术，包括分析、广告、电子商务、托管、框架、内容系统和安全产品。历史和市场层面的数据可以揭示技术采纳、迁移、相关站点以及潜在的组织关系。它位列第九，因为技术指纹对网络研究、竞争情报、销售情报和供应商风险调查极具价值，尽管 BuiltWith 并非通用案例管理平台。

在实际使用中，BuiltWith 将技术概况、历史使用、潜在客户列表、类别趋势、关系数据、导出和 API 访问结合在一起。其最重要的优势是广泛的网站技术检测与历史背景，以及有用的市场、潜在客户和关系数据集。这一组合支撑了“网站技术与市场情报”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

BuiltWith 最适合研究网站技术栈、技术采纳、相关资产、供应商或市场细分的分析师。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:检测可能滞后或误分类隐藏技术，且商业情报工作流与证据归属不同。关键结论应通过额外的技术观测和组织来源加以确认，因为网页技术可能被共享、代理或短暂存在。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 BuiltWith

10. Recon-ng

Recon-ng 是一个开源的侦察框架，采用受渗透测试控制台启发的命令行工作流。它在可重用的工作区中组织模块、凭证、目标、结果和报告，使技术研究人员能够自动化特定的信息收集任务。它位列第十，因为对偏好可脚本化工具的用户而言，它保持了灵活性和透明度，尽管其维护模式和动手设置使其不如托管平台易上手。

在实际使用中，Recon-ng 将模块化侦察框架、工作区、基于数据库的结果、API 集成、报告和自动化结合在一起。其最重要的优势是为技术调查员提供模块化、可脚本化的工作流，工作区和结果数据库支持可重复的研究。这一组合支撑了“可脚本化的命令行网络侦察”使用场景，也解释了它在排名中的位置。买家应使用代表性的人物、域名、基础设施、文档和调查情境来测试这些能力，而不是仅凭精美的演示来判断产品。

Recon-ng 最适合希望拥有开放、可自动化侦察框架并能自行维护环境的安全从业者。有效的评估应检查来源覆盖、证据来源、实体解析、导出控制、协作、误报以及收集的法律依据。两个需要特别关注的限制:模块可用性和维护情况可能各不相同，且设置、API 凭证和命令行使用需要技术技能。用户在将框架整合到实际调查前，应审查模块代码、来源条款、速率限制和授权边界。这些检查帮助团队判断产品是否匹配其数据、工作流、风险容忍度和运营模式，进而决定是否进行更大范围的部署。

访问 Recon-ng

选择合适的 OSINT 工具

首先确定调查类型和证据标准，然后选择覆盖所需来源的最窄工具集。基础设施分析师需要的收集和验证能力与反欺诈团队、记者、企业调查员或记录网络证据的研究人员不同。

• Maltego — 端到端调查与链接分析。
• Shodan — 发现联网设备和暴露的服务。
• Censys — 互联网资产发现与攻击面情报。
• SpiderFoot — 跨多个公共来源的自动化侦察。
• OSINT Framework — 按调查类型查找专业 OSINT 资源。
• Hunchly — 捕获并保存在线研究证据。
• Social Links — 身份和社交媒体调查。
• OSINT Industries — 快速电子邮件和用户名情报检查。
• BuiltWith — 网站技术与市场情报。
• Recon-ng — 可脚本化的命令行网络侦察。

Maltego 是我们整体最佳的选择，因为它在不限制调查员使用单一数据类型的前提下，连接发现、实体解析、图形分析、监控和证据工作流。Shodan 和 Censys 在暴露基础设施方面是更强的起点，而 SpiderFoot 则是最灵活的自动化导向选项。无论选择何种工具，都应在收集开始前记录来源、核实重要发现，并建立明确的法律和伦理界限。