Atrybucja zagrożeń i śledzenie kampanii

Atrybucja zagrożenia ma na celu ustalenie, kto przeprowadził atak: konkretna grupa działająca na rzecz państwa, grupa przestępcza lub kolektyw haktywistyczny. Atrybucja pomaga podejmować decyzje strategiczne (dotyczące reakcji politycznej i działań organów ścigania), jednak atrybucja o wysokim poziomie pewności jest trudna i często pozostaje informacją niejawną.

Dowody atrybucji obejmują: wskaźniki techniczne (podobieństwo kodu, współdzieloną infrastrukturę i narzędzia C2), wzorce działań (dobór celów, czas przeprowadzania ataków i koncentrację na określonych branżach), kontekst strategiczny (motyw geopolityczny), dane wywiadu osobowego (oświadczenia osób atakujących i aktywność na forach) oraz dane wywiadu elektronicznego pochodzące od agencji rządowych.

Analiza podobieństw kodu porównuje cechy binarne złośliwego oprogramowania: podobieństwo na poziomie funkcji za pomocą BinDiff, unikatowe stałe tekstowe, język komunikatów o błędach, artefakty kompilatora oraz ponowne wykorzystanie kodu ze współdzielonych narzędzi budujących. Grupy APT ponownie wykorzystują kod w różnych kampaniach, tworząc możliwe do powiązania odciski nawet w przypadku różnych rodzin złośliwego oprogramowania.

Osoby atakujące ponownie wykorzystują infrastrukturę: ten sam adres IP C2 do hostowania wielu kampanii, certyfikaty SSL używane w różnych domenach, preferowane numery ASN oraz wzorce wyboru dostawców hostingu. Pasywny DNS koreluje infrastrukturę na przestrzeni czasu — domena C2 z jednej kampanii, która rozwiązuje się do adresu IP używanego w innej kampanii, pozwala je ze sobą powiązać.

Grupy w MITRE ATT&CK opisują TTP (taktyki, techniki i procedury) znanych osób atakujących. Porównanie zaobserwowanych TTP podczas incydentu z profilami grup w ATT&CK pozwala wskazać potencjalne osoby atakujące. Żadne pojedyncze TTP nie jest unikatowe — atrybucja wymaga klastrów nakładających się technik i narzędzi.

Wyrafinowane grupy celowo pozostawiają fałszywe dowody: ciągi kodu w niewłaściwym języku, infrastrukturę nakładającą się na infrastrukturę innych znanych grup lub czas działań zgodny ze znaną aktywnością innej grupy. Nigdy nie należy dokonywać atrybucji na podstawie pojedynczego wskaźnika — operacje pod fałszywą flagą są wymierzone właśnie w metody atrybucji oparte na jednym wskaźniku.

Konwencje nazewnictwa dostawców różnią się: Mandiant używa numerów APT (APT28), Microsoft wykorzystuje motywy pogodowe (Midnight Blizzard), a CrowdStrike stosuje nazwy zwierząt (Fancy Bear). Ta sama grupa może mieć ponad 10 nazw. Grupy MITRE ATT&CK konsolidują aliasy tej samej grupy na podstawie raportów różnych dostawców.

Diamentowy model opisuje każde włamanie za pomocą czterech cech: przeciwnika, zdolności (złośliwego oprogramowania/TTP), infrastruktury (adresów IP/domen C2) oraz ofiary. Relacje między cechami tworzą graf służący do śledzenia kampanii. Rozpoczęcie analizy od dowolnej cechy ujawnia powiązane incydenty i aktywność grupy.

Kampanie APT trwają miesiące lub lata. Kampanie należy śledzić na podstawie: spójnych wzorców doboru celów (tego samego sektora), ewolucji złośliwego oprogramowania (nowych wersji tej samej rodziny), wzorców rotacji infrastruktury oraz spójności TTP. Mapowanie osi czasu obejmującej wiele incydentów ujawnia fazy kampanii i zmiany jej celów.

Poziomy pewności wywiadowczej: niski (kilka słabych wskaźników), średni (wiele potwierdzających się wskaźników technicznych), wysoki (dowody techniczne, operacyjne i kontekstowe potwierdzone przez niezależnych badaczy). Atrybucja rządowa może obejmować informacje niejawne, których nie ma w publicznych raportach, co podnosi deklarowany poziom pewności ponad ten, który wynikałby wyłącznie z analizy technicznej.

Publiczna atrybucja wpływa na politykę, działania organów ścigania i reakcję branży. Przedwczesna lub błędna atrybucja prowadzi do incydentów dyplomatycznych i kieruje zasoby obronne na niewłaściwe cele. Odpowiedzialna atrybucja wymaga rygorystycznych standardów dowodowych, uznawania niepewności oraz aktualizowania wniosków, gdy pojawiają się nowe dowody.

Dlaczego ponowne wykorzystanie infrastruktury jest cenne przy atrybucji grup zagrażających?

Atrybucja zagrożenia łączy analizę podobieństwa kodu złośliwego oprogramowania, analizę ponownego wykorzystania infrastruktury, mapowanie TTP do grup ATT&CK oraz Diamentowy model w celu tworzenia opartych na dowodach profili osób atakujących. Atrybucja o wysokim poziomie pewności wymaga wielu niezależnych strumieni dowodów, uwzględnienia operacji pod fałszywą flagą oraz właściwego określenia poziomu pewności.