Attribuzione delle minacce e monitoraggio delle campagne

L'attribuzione delle minacce cerca di identificare chi ha condotto un attacco: uno specifico attore statale, un gruppo criminale o una collettività di hacktivisti. L'attribuzione orienta decisioni strategiche (risposte politiche, attività delle forze dell'ordine), ma un'attribuzione ad alta affidabilità è difficile e spesso rimane coperta dal segreto d'intelligence.

Le prove per l'attribuzione comprendono: indicatori tecnici (somiglianza del codice, infrastruttura condivisa, strumenti C2), pattern operativi (obiettivi, tempistiche, settore di interesse), contesto strategico (motivazione geopolitica), human intelligence (dichiarazioni degli attori, attività sui forum) e signals intelligence proveniente da agenzie governative.

L'analisi delle sovrapposizioni del codice confronta le caratteristiche dei binari dei malware: somiglianza a livello di funzione tramite BinDiff, costanti stringa distintive, lingua dei messaggi di errore, artefatti del compilatore e riutilizzo del codice proveniente da strumenti di build condivisi. Gli APT riutilizzano il codice in campagne diverse, creando fingerprint correlabili anche tra famiglie di malware differenti.

Gli attaccanti riutilizzano l'infrastruttura: lo stesso IP C2 che ospita più campagne, certificati SSL riutilizzati su domini diversi, preferenze relative agli ASN e pattern dei provider di hosting. Il DNS passivo mette in correlazione l'infrastruttura nel tempo: se un dominio C2 di una campagna risolve verso un IP utilizzato in un'altra, le due campagne risultano collegate.

I gruppi MITRE ATT&CK documentano le TTP (Tactics, Techniques, Procedures) degli attori delle minacce noti. Il confronto tra le TTP osservate in un incidente e i profili dei gruppi ATT&CK permette di identificare gli attori candidati. Nessuna singola TTP è univoca: l'attribuzione richiede insiemi di tecniche e strumenti sovrapposti.

Gli attori più sofisticati inseriscono deliberatamente prove false: stringhe di codice nella lingua sbagliata, infrastrutture sovrapposte a quelle di altri attori noti oppure tempistiche allineate all'attività nota di un altro gruppo. Non attribuite mai un attacco sulla base di un singolo indicatore: le false flag prendono di mira proprio i metodi di attribuzione basati su un unico indicatore.

Le convenzioni di denominazione dei vendor differiscono: Mandiant usa numeri APT (APT28), Microsoft usa temi meteorologici (Midnight Blizzard), CrowdStrike usa nomi di animali (Fancy Bear). Lo stesso attore può avere più di 10 nomi. I gruppi MITRE ATT&CK riuniscono gli alias dello stesso attore presenti nei report dei diversi vendor.

Il Diamond Model descrive ogni intrusione attraverso quattro caratteristiche: avversario, capacità (malware/TTP), infrastruttura (IP/domini C2) e vittima. Le relazioni tra le caratteristiche creano un grafo per il monitoraggio delle campagne. Partire da una qualsiasi caratteristica consente di individuare gli incidenti e le attività degli attori collegati.

Le campagne APT si estendono per mesi o anni. Monitorate le campagne in base a: pattern di targeting coerenti (lo stesso settore industriale), evoluzione dei malware (nuove versioni della stessa famiglia), pattern di rotazione dell'infrastruttura e coerenza delle TTP. La mappatura temporale degli incidenti rivela le fasi della campagna e l'evoluzione degli obiettivi.

Livelli di affidabilità dell'intelligence: Basso (pochi indicatori deboli), Medio (molteplici indicatori tecnici corroboranti), Alto (prove tecniche, operative e contestuali confermate da ricercatori indipendenti). L'attribuzione governativa può includere informazioni d'intelligence classificate non presenti nei report pubblici, aumentando il livello di affidabilità dichiarato oltre quanto supportato dalla sola analisi tecnica.

L'attribuzione pubblica influenza le politiche, le attività delle forze dell'ordine e la risposta del settore. Un'attribuzione prematura o errata provoca incidenti diplomatici e indirizza erroneamente le risorse difensive. Un'attribuzione responsabile richiede standard rigorosi per le prove, il riconoscimento dell'incertezza e l'aggiornamento delle conclusioni quando emergono nuove prove.

L'attribuzione delle minacce combina la somiglianza del codice dei malware, l'analisi del riutilizzo dell'infrastruttura, la mappatura delle TTP sui gruppi ATT&CK e il Diamond Model per creare profili degli attori basati sulle prove. Un'attribuzione ad alta affidabilità richiede molteplici fonti di prove indipendenti, consapevolezza delle operazioni false flag e un'adeguata calibrazione del livello di affidabilità.