Atribusi Ancaman dan Pelacakan Kampanye

Atribusi ancaman berupaya mengidentifikasi pihak yang melakukan serangan: aktor negara-bangsa tertentu, kelompok kriminal, atau kolektif aktivis peretasan. Atribusi membantu pengambilan keputusan strategis (respons kebijakan, penegakan hukum), tetapi atribusi dengan tingkat keyakinan tinggi sulit dilakukan dan sering kali tetap menjadi informasi intelijen rahasia.

Bukti atribusi mencakup: indikator teknis (kemiripan kode, infrastruktur bersama, perangkat C2), pola operasional (penargetan, waktu, fokus industri), konteks strategis (motif geopolitik), intelijen manusia (pernyataan aktor, aktivitas forum), dan intelijen sinyal dari badan pemerintah.

Analisis tumpang tindih kode membandingkan fitur biner perangkat lunak berbahaya: kemiripan tingkat fungsi melalui BinDiff, konstanta teks unik, bahasa dalam pesan kesalahan, artefak kompilator, dan penggunaan ulang kode dari alat pembuat bersama. APT menggunakan ulang kode di berbagai kampanye, sehingga menciptakan sidik jari yang dapat dihubungkan bahkan di antara keluarga perangkat lunak berbahaya yang berbeda.

Penyerang menggunakan ulang infrastruktur: IP C2 yang sama menjadi tempat bagi beberapa kampanye, sertifikat SSL yang digunakan ulang di berbagai domain, preferensi ASN, dan pola penyedia hosting. DNS pasif menghubungkan infrastruktur dari waktu ke waktu—domain C2 dari satu kampanye yang mengarah ke IP yang digunakan dalam kampanye lain menghubungkan kedua kampanye tersebut.

Kelompok MITRE ATT&CK mendokumentasikan TTP (Taktik, Teknik, Prosedur) untuk aktor ancaman yang telah diketahui. Membandingkan TTP yang diamati dalam suatu insiden dengan profil kelompok ATT&CK dapat mengidentifikasi aktor yang mungkin. Tidak ada satu TTP pun yang unik—atribusi memerlukan kelompok teknik dan alat yang saling tumpang tindih.

Aktor canggih sengaja menanamkan bukti palsu: teks kode dalam bahasa yang keliru, infrastruktur yang tumpang tindih dengan aktor lain yang telah diketahui, atau waktu yang diselaraskan dengan aktivitas yang diketahui dari kelompok lain. Jangan pernah melakukan atribusi berdasarkan satu indikator—operasi bendera palsu secara khusus menargetkan metode atribusi berdasarkan satu indikator.

Konvensi penamaan penyedia berbeda-beda: Mandiant menggunakan nomor APT (APT28), Microsoft menggunakan tema cuaca (Midnight Blizzard), dan CrowdStrike menggunakan nama hewan (Fancy Bear). Aktor yang sama mungkin memiliki lebih dari 10 nama. Kelompok MITRE ATT&CK menggabungkan alias untuk aktor yang sama di berbagai laporan penyedia.

Model Berlian menggambarkan setiap intrusi dengan empat fitur: lawan, kemampuan (perangkat lunak berbahaya/TTP), infrastruktur (IP/domain C2), dan korban. Hubungan antarfitur membentuk grafik untuk melacak kampanye. Menelusuri dari fitur mana pun dapat mengungkap insiden yang terhubung dan aktivitas aktor.

Kampanye APT berlangsung selama berbulan-bulan atau bertahun-tahun. Lacak kampanye berdasarkan: pola penargetan yang konsisten (sektor industri yang sama), evolusi perangkat lunak berbahaya (versi baru dari keluarga yang sama), pola pergantian infrastruktur, dan konsistensi TTP. Pemetaan linimasa di berbagai insiden mengungkap tahapan kampanye dan perubahan tujuan.

Tingkat keyakinan intelijen: Rendah (beberapa indikator lemah), Sedang (beberapa indikator teknis yang saling menguatkan), Tinggi (bukti teknis, operasional, dan kontekstual yang dikonfirmasi oleh peneliti independen). Atribusi pemerintah mungkin mencakup intelijen rahasia yang tidak terdapat dalam laporan publik, sehingga meningkatkan tingkat keyakinan yang dinyatakan melampaui dukungan analisis teknis semata.

Atribusi publik memengaruhi kebijakan, penegakan hukum, dan respons industri. Atribusi yang terlalu dini atau keliru dapat menyebabkan insiden diplomatik dan mengarahkan sumber daya pertahanan secara keliru. Atribusi yang bertanggung jawab memerlukan standar bukti yang ketat, pengakuan atas ketidakpastian, serta pembaruan kesimpulan ketika bukti baru muncul.

Mengapa penggunaan ulang infrastruktur berharga untuk atribusi aktor ancaman?

Atribusi ancaman menggabungkan kemiripan kode perangkat lunak berbahaya, analisis penggunaan ulang infrastruktur, pemetaan TTP ke kelompok ATT&CK, dan Model Berlian untuk membangun profil aktor berdasarkan bukti. Atribusi dengan tingkat keyakinan tinggi memerlukan beberapa aliran bukti independen, pemahaman tentang operasi bendera palsu, dan kalibrasi tingkat keyakinan yang sesuai.