Cada vez que alguien se entera de que hago investigaciones OSINT, me pregunta lo mismo: «¿usas Kali, no?» Y cada vez me toca explicar que no, que de hecho llevo tiempo sin usarlo para esto.
No es una cuestión de moda ni de purismo técnico. Es que el sistema operativo que eliges para investigar no es un detalle menor: cada decisión – qué distro usar, cómo aislar tu identidad, cómo gestionar las trazas que dejas – afecta directamente a la calidad y la seguridad de la investigación.
Hay dos formas de resolverlo: coger una distribución especializada «lista para usar», o construir tu propio entorno desde una base limpia.
Te cuento por qué yo elijo la segunda, y qué tendrías que saber antes de decidir tú.
Distribuciones Especializadas en OSINT
Kali Linux
La más conocida en el mundo de la ciberseguridad, aunque su enfoque real es el pentesting ofensivo. Para OSINT puro puede ser excesiva: incluye cientos de herramientas que no usarás y el perfil de red de un sistema Kali es reconocible. Su ventaja es que tiene paquetes bien mantenidos y una comunidad enorme.
Cuándo tiene sentido: cuando combinas OSINT con análisis técnico de infraestructura o reconocimiento previo a un pentest.
Su web oficial es https://www.kali.org/
Tails OS
Diseñado para anonimato y privacidad, no específicamente para OSINT. Arranca desde USB sin dejar rastro en el equipo host. Todo el tráfico pasa por Tor. Amnésico por diseño: cada sesión empieza desde cero.
Limitaciones reales:
- Sin persistencia real (aunque existe el volumen persistente cifrado)
- Tor ralentiza investigaciones que requieren velocidad o acceso a servicios que bloquean nodos de salida
- No está pensado para instalar herramientas arbitrarias
Cuándo tiene sentido: investigaciones de alto riesgo donde el anonimato del investigador es la prioridad absoluta.
Su web oficial es https://tails.net/
Whonix
Arquitectura de dos máquinas virtuales: Whonix-Gateway (enruta todo por Tor) y Whonix-Workstation (donde trabajas). Incluso si la workstation está comprometida, no puede revelar tu IP real porque no tiene acceso directo a la red.
Más flexible que Tails para instalar herramientas, pero la dependencia de Tor sigue siendo un factor limitante para ciertas investigaciones.
Su web oficial es https://www.whonix.org/
OSINT VM / Trace Labs OSINT VM
La Trace Labs OSINT VM es quizás la más honesta en su propósito: está construida sobre Ubuntu y viene con herramientas OSINT preinstaladas (Maltego, SpiderFoot, theHarvester, Sherlock, Recon-ng…). Se usa en sus CTF de personas desaparecidas.
Problema central: las VM preconstruidas con muchas herramientas envejecen mal. Las herramientas OSINT dependen de APIs, scraping y endpoints que cambian constantemente. Una VM de hace seis meses puede tener herramientas que ya no funcionan.
Su web oficial es https://tracelabs.org/
REMnux
Especializada en análisis de malware y forense, no en OSINT de fuentes abiertas. Se menciona en este contexto porque a veces el OSINT técnico (análisis de infraestructura, documentos maliciosos) converge con sus capacidades.
Su web oficial es https://remnux.org/
Buscador
Distribución creada específicamente para periodistas e investigadores OSINT, desarrollada por Michael Bazzell (autor del podcast Privacy, Security, & OSINT). Basada en Ubuntu, incluye herramientas curadas y un enfoque en privacidad durante la investigación.
Ha quedado algo desactualizada en sus versiones públicas, pero su filosofía sigue siendo referente: entorno aislado + herramientas curadas + identidad de investigación separada.
La web oficial de creador es https://inteltechniques.com
El Problema Común a Todas las Distros Especializadas
Todas comparten un defecto estructural: están diseñadas por alguien más, para casos de uso genéricos. Una distribución OSINT de propósito general:
- Incluye herramientas que no usarás (ruido)
- Omite herramientas específicas de tu metodología
- Tiene un fingerprint reconocible (user-agent, comportamiento de red)
- Envejece: las herramientas se rompen, los mantenedores abandonan el proyecto
El Enfoque Alternativo: Base Limpia + Construcción Manual
Hay un argumento sólido para ignorar todas las distros anteriores y construir desde cero.
Por Qué Debian como Base
Debian ofrece:
- Estabilidad predecible sin rolling releases que rompan el entorno en medio de una investigación
- Footprint mínimo en instalación netinstall
- Control total sobre qué está instalado y por qué
- Repositorios oficiales maduros + acceso a herramientas via
pip,pipx,git - Sin telemetría, sin «mejoras» automáticas no solicitadas
La superficie de ataque es la que tú defines, no la que decidió el creador de la distro.
Principio de Identidad por Investigación: El Sock Puppet
Aquí está la parte que más distros especializadas ignoran: la higiene de identidad.
Un sock puppet (identidad operativa ficticia) creado específicamente para cada investigación resuelve un problema que ningún sistema operativo puede resolver por sí solo: la contaminación cruzada entre investigaciones.
La metodología correcta implica:
- Cuenta de correo nueva para cada investigación (ProtonMail, Tutanota)
- Perfiles en redes sociales construidos con historial creíble antes de usarlos para acceso
- Separación completa de cookies, sesiones y fingerprint del navegador
- Nunca mezclar la identidad de investigación con la identidad real del investigador
Esto no lo hace Kali. No lo hace Tails. Lo hace el procedimiento.
Herramientas: Instalar Solo Lo Que Se Necesita
Un entorno OSINT funcional en Debian típicamente incluye capas bien diferenciadas:
Gestión de identidad y navegación:
- Firefox con perfiles separados por identidad
- Extensiones: uBlock Origin, Cookie AutoDelete, User-Agent Switcher
- VPN o Tor según el nivel de anonimato requerido
Reconocimiento pasivo:
theHarvester,recon-ng,amasspara infraestructurasherlock,maigretpara usernamesexiftoolpara metadatos
Análisis de redes sociales:
osintgram(Instagram), Twint (Twitter/X, con caveats por cambios de API)- Instaloader
Automatización y scripting:
- Python con entornos virtuales (
pipxpara herramientas CLI) - Jupyter Notebooks para documentar investigaciones con código reproducible
Infraestructura:
- VM separada por investigación o al menos por cliente (VirtualBox / KVM)
- Snapshots antes de cada sesión
La web oficial de https://www.debian.org/index.es.html
Comparativa Resumida
| Criterio | Kali | Tails | Whonix | Trace Labs VM | Debian limpio |
|---|---|---|---|---|---|
| Anonimato | Bajo | Alto | Alto | Bajo | Variable |
| Control del entorno | Medio | Bajo | Medio | Bajo | Total |
| Herramientas OSINT | Genéricas | Mínimas | Mínimas | Curadas | Las que eliges |
| Longevidad | Media | Alta | Alta | Baja | Alta |
| Curva de setup | Baja | Baja | Media | Baja | Alta |
| Recomendado para… | Pentest+OSINT | Anonimato crítico | Anonimato+trabajo | CTF | Profesionales |
Conclusión
Las distribuciones especializadas son útiles como punto de partida o para contextos muy concretos (Tails para anonimato extremo, Whonix para trabajo continuo con Tor). Pero para un investigador OSINT profesional con metodología propia, una base Debian con instalación manual de herramientas + un sock puppet fresco por cada investigación supera a cualquier distro preconstruida.
La razón es simple: la seguridad operacional en OSINT no está en el sistema operativo. Está en el procedimiento. Y ninguna distribución puede instalar disciplina operacional.
Si estás empezando en esto, no te compliques: instala Kali o la Trace Labs VM, aprende con ellas y no le des más vueltas por ahora. El día que tu trabajo dependa de verdad de que nadie pueda relacionar dos investigaciones tuyas entre sí, ese es el momento de construirte tu propio entorno. Yo tardé un tiempo en llegar a esa conclusión – y algún disgusto de por medio.
Utilizo Kali Linux en muchas ocasiones, pero ya tengo mi Debian listo para volcar en una maquina que tengo y que cada vez que comienzo una investigación, formateo. Ahí tengo aislado siempre un directorio con toda la investigación en curso, herramientas, las que necesito instalar.
Para mí, el OSINT también es paciencia y tener muchas herramientas es producir en mi investigación mucho ruido.
Si tienes dudas sobre cómo montar tu propio entorno OSINT o quieres que revisemos juntos tu metodología, ya sabes dónde encontrarme.
