Атрибуция угроз и отслеживание кампаний

Атрибуция угроз направлена на установление того, кто совершил атаку: конкретный государственный субъект, преступная группа или объединение хактивистов. Атрибуция помогает принимать стратегические решения (политические меры, действия правоохранительных органов), но атрибуция с высокой степенью уверенности затруднена и часто остаётся засекреченной разведывательной информацией.

Доказательства для атрибуции охватывают технические индикаторы (сходство кода, общая инфраструктура, инструменты C2), операционные закономерности (выбор целей, время атак, направленность на отрасль), стратегический контекст (геополитические мотивы), сведения от людей (заявления участников, активность на форумах) и разведданные, полученные государственными учреждениями.

Анализ совпадений кода сравнивает признаки двоичных файлов вредоносных программ: сходство на уровне функций с помощью BinDiff, уникальные строковые константы, язык сообщений об ошибках, артефакты компилятора и повторное использование кода из общих средств сборки. APT повторно используют код в разных кампаниях, создавая связываемые отпечатки даже у разных семейств вредоносных программ.

Злоумышленники повторно используют инфраструктуру: один и тот же IP-адрес C2 размещает несколько кампаний, сертификаты SSL используются в разных доменах, а также повторяются предпочтения ASN и схемы выбора поставщиков услуг хостинга. Пассивный анализ DNS сопоставляет инфраструктуру во времени: если домен C2 из одной кампании разрешается в IP-адрес, использованный в другой, это связывает кампании.

Группы MITRE ATT&CK описывают TTP (тактики, методы и процедуры) известных субъектов угроз. Сравнение наблюдаемых в инциденте TTP с профилями групп ATT&CK позволяет определить возможных субъектов атак. Ни один отдельный TTP не является уникальным — для атрибуции требуются совокупности пересекающихся методов и инструментов.

Искусные субъекты атак намеренно оставляют ложные свидетельства: строки кода на неподходящем языке, инфраструктуру, пересекающуюся с инфраструктурой других известных субъектов, или время атак, совпадающее с известной активностью другой группы. Никогда не проводите атрибуцию по одному индикатору: операции под чужим флагом специально нацелены на методы атрибуции по единственному индикатору.

Соглашения об именовании у поставщиков различаются: Mandiant использует номера APT (APT28), Microsoft — темы, связанные с погодой (Midnight Blizzard), а CrowdStrike — названия животных (Fancy Bear). У одного субъекта атак может быть более десяти названий. Группы MITRE ATT&CK объединяют псевдонимы одного субъекта в отчётах разных поставщиков.

Алмазная модель описывает каждое вторжение с помощью четырёх признаков: противник, возможности (вредоносная программа или TTP), инфраструктура (IP-адреса и домены C2) и жертва. Связи между признаками создают граф для отслеживания кампании. Переход от любого признака позволяет выявить связанные инциденты и активность субъекта атак.

Кампании APT могут длиться месяцами или годами. Отслеживайте кампании по постоянным закономерностям выбора целей (одна и та же отрасль), развитию вредоносных программ (новые версии одного семейства), схемам смены инфраструктуры и постоянству TTP. Сопоставление временных шкал разных инцидентов раскрывает этапы кампании и изменение её целей.

Уровни уверенности в разведывательной оценке: низкий (несколько слабых индикаторов), средний (несколько подтверждающих друг друга технических индикаторов), высокий (технические, операционные и контекстные доказательства, подтверждённые независимыми исследователями). Государственная атрибуция может включать засекреченные разведданные, отсутствующие в общедоступных отчётах, — это повышает заявленный уровень уверенности по сравнению с тем, который подтверждает один лишь технический анализ.

Публичная атрибуция влияет на политические решения, действия правоохранительных органов и реакцию отрасли. Преждевременная или ошибочная атрибуция провоцирует дипломатические инциденты и направляет защитные ресурсы не на те цели. Ответственная атрибуция требует строгих стандартов доказательности, признания неопределённости и обновления выводов при появлении новых свидетельств.

Атрибуция угроз объединяет анализ сходства кода вредоносных программ, повторного использования инфраструктуры, сопоставление TTP с группами ATT&CK и Алмазную модель для построения профилей субъектов атак на основе доказательств. Атрибуция с высокой степенью уверенности требует нескольких независимых потоков доказательств, учёта операций под чужим флагом и правильной калибровки уровня уверенности.