Bedrohungszuordnung und Kampagnenverfolgung

Threat Attribution versucht festzustellen, wer einen Angriff durchgeführt hat: ein bestimmter staatlicher Akteur, eine kriminelle Gruppe oder ein Hacktivistenkollektiv. Die Attribution unterstützt strategische Entscheidungen (politische Reaktionen, Strafverfolgung), doch eine Attribution mit hoher Konfidenz ist schwierig und bleibt häufig als nachrichtendienstliche Erkenntnis eingestuft.

Die Belege für eine Attribution umfassen technische Indikatoren (Code-Ähnlichkeiten, gemeinsam genutzte Infrastruktur, C2-Tools), operative Muster (Zielauswahl, Zeitplanung, Branchenfokus), den strategischen Kontext (geopolitisches Motiv), menschliche Quellen (Aussagen von Akteuren, Aktivitäten in Foren) und von Regierungsbehörden gewonnene Signalaufklärung.

Bei der Analyse von Code-Überschneidungen werden Merkmale von Malware-Binärdateien verglichen: Ähnlichkeiten auf Funktionsebene mit BinDiff, eindeutige String-Konstanten, die Sprache von Fehlermeldungen, Compiler-Artefakte und die Wiederverwendung von Code aus gemeinsam genutzten Builder-Tools. APTs verwenden Code in verschiedenen Kampagnen wieder und erzeugen dadurch verknüpfbare Fingerabdrücke, selbst bei unterschiedlichen Malware-Familien.

Angreifer verwenden Infrastruktur wieder: dieselbe C2-IP hostet mehrere Kampagnen, SSL-Zertifikate werden für verschiedene Domains wiederverwendet, und es gibt typische Präferenzen bei ASNs und Hosting-Anbietern. Passives DNS stellt Korrelationen zwischen Infrastrukturen im Zeitverlauf her. Wenn eine C2-Domain aus einer Kampagne auf eine IP-Adresse aufgelöst wird, die in einer anderen Kampagne verwendet wurde, verbindet dies die beiden Kampagnen.

MITRE ATT&CK dokumentiert TTPs (Tactics, Techniques, Procedures) für bekannte Bedrohungsakteure. Durch den Vergleich der in einem Vorfall beobachteten TTPs mit den Gruppenprofilen von ATT&CK lassen sich mögliche Akteure identifizieren. Kein einzelnes TTP ist eindeutig. Für eine Attribution sind Gruppen überlappender Techniken und Tools erforderlich.

Fortgeschrittene Akteure platzieren absichtlich falsche Beweise: Code-Strings in der falschen Sprache, Infrastruktur mit Überschneidungen zu anderen bekannten Akteuren oder zeitliche Übereinstimmungen mit der bekannten Aktivität einer anderen Gruppe. Ordnen Sie einen Angriff niemals anhand eines einzelnen Indikators zu. Operationen unter falscher Flagge zielen gerade auf Methoden ab, die eine Attribution anhand eines einzelnen Indikators vornehmen.

Die Benennungskonventionen der Anbieter unterscheiden sich: Mandiant verwendet APT-Nummern (APT28), Microsoft verwendet Wettermotive (Midnight Blizzard) und CrowdStrike Tiernamen (Fancy Bear). Derselbe Akteur kann mehr als zehn Namen haben. MITRE ATT&CK führt in Berichten verschiedener Anbieter die Aliase für denselben Akteur zusammen.

Das Diamantmodell beschreibt jeden Vorfall anhand von vier Merkmalen: Gegner, Fähigkeit (Malware/TTP), Infrastruktur (C2-IPs/Domains) und Opfer. Beziehungen zwischen den Merkmalen bilden einen Graphen zur Nachverfolgung von Kampagnen. Durch Pivotieren über jedes beliebige Merkmal lassen sich verbundene Vorfälle und Aktivitäten von Akteuren aufdecken.

APT-Kampagnen erstrecken sich über Monate oder Jahre. Verfolgen Sie Kampagnen anhand von konsistenten Zielmustern (dieselbe Branche), der Malware-Entwicklung (neue Versionen derselben Familie), Mustern beim Infrastrukturwechsel und der TTP-Konsistenz. Eine zeitliche Zuordnung über mehrere Vorfälle hinweg zeigt die Phasen einer Kampagne und die Entwicklung ihrer Ziele.

Konfidenzstufen in der Nachrichtengewinnung: niedrig (wenige schwache Indikatoren), mittel (mehrere sich gegenseitig bestätigende technische Indikatoren), hoch (technische, operative und kontextbezogene Belege, bestätigt durch unabhängige Forschende). Staatliche Attributionen können eingestufte nachrichtendienstliche Erkenntnisse enthalten, die in öffentlichen Berichten nicht aufgeführt sind. Dadurch kann die angegebene Konfidenz über das hinausgehen, was allein eine technische Analyse stützt.

Öffentliche Attribution beeinflusst politische Entscheidungen, die Strafverfolgung und die Reaktion der Industrie. Eine verfrühte oder falsche Attribution führt zu diplomatischen Zwischenfällen und lenkt defensive Ressourcen in die falsche Richtung. Eine verantwortungsvolle Attribution erfordert strenge Belegstandards, die Anerkennung von Unsicherheiten und die Aktualisierung von Schlussfolgerungen, sobald neue Belege auftauchen.

Threat Attribution kombiniert Ähnlichkeiten im Malware-Code, die Analyse der Wiederverwendung von Infrastruktur, die Zuordnung von TTPs zu ATT&CK-Gruppen und das Diamantmodell, um evidenzbasierte Profile von Akteuren zu erstellen. Eine Attribution mit hoher Konfidenz erfordert mehrere unabhängige Belegquellen, das Bewusstsein für Operationen unter falscher Flagge und eine angemessene Einschätzung der Konfidenz.