การระบุแหล่งที่มาของภัยคุกคามและติดตามแคมเปญ

การระบุแหล่งที่มาของภัยคุกคามพยายามค้นหาว่าใครเป็นผู้ก่อการโจมตี ไม่ว่าจะเป็นผู้โจมตีที่เป็นตัวแทนของรัฐชาติ กลุ่มอาชญากร หรือกลุ่มนักเคลื่อนไหวทางไซเบอร์ การระบุแหล่งที่มาช่วยสนับสนุนการตัดสินใจเชิงกลยุทธ์ (การตอบสนองเชิงนโยบายและการบังคับใช้กฎหมาย) แต่การระบุแหล่งที่มาด้วยความเชื่อมั่นสูงทำได้ยาก และมักยังคงเป็นข่าวกรองชั้นความลับ

หลักฐานสำหรับการระบุแหล่งที่มาครอบคลุมหลายด้าน ได้แก่ เครื่องชี้วัดทางเทคนิค (ความคล้ายกันของโค้ด โครงสร้างพื้นฐานร่วม และเครื่องมือ C2) รูปแบบการปฏิบัติการ (เป้าหมาย ช่วงเวลา และอุตสาหกรรมที่มุ่งเน้น) บริบทเชิงกลยุทธ์ (แรงจูงใจทางภูมิรัฐศาสตร์) ข่าวกรองจากมนุษย์ (คำแถลงของผู้โจมตีและกิจกรรมในฟอรัม) และข่าวกรองสัญญาณจากหน่วยงานรัฐบาล

การวิเคราะห์ความซ้ำซ้อนของโค้ดจะเปรียบเทียบคุณลักษณะของไบนารีมัลแวร์ ได้แก่ ความคล้ายกันในระดับฟังก์ชันด้วย BinDiff ค่าคงที่ของสตริงที่มีลักษณะเฉพาะ ภาษาของข้อความแสดงข้อผิดพลาด ร่องรอยจากคอมไพเลอร์ และการนำโค้ดจากเครื่องมือสร้างร่วมกลับมาใช้ใหม่ APT มักนำโค้ดกลับมาใช้ซ้ำในหลายแคมเปญ ทำให้เกิดลายนิ้วมือที่เชื่อมโยงกันได้ แม้จะเป็นมัลแวร์คนละตระกูล

ผู้โจมตีมักใช้โครงสร้างพื้นฐานซ้ำ เช่น IP C2 เดียวกันที่โฮสต์หลายแคมเปญ ใบรับรอง SSL ที่นำกลับมาใช้กับโดเมนต่างกัน การเลือกใช้ ASN และรูปแบบของผู้ให้บริการโฮสต์ DNS แบบพาสซีฟช่วยเชื่อมโยงโครงสร้างพื้นฐานข้ามช่วงเวลา หากโดเมน C2 จากแคมเปญหนึ่งชี้ไปยัง IP ที่เคยใช้ในอีกแคมเปญหนึ่ง ก็สามารถใช้เชื่อมโยงทั้งสองแคมเปญเข้าด้วยกันได้

กลุ่ม MITRE ATT&CK จัดทำเอกสารเกี่ยวกับ TTP (ยุทธวิธี เทคนิค และกระบวนการ) ของผู้ก่อภัยคุกคามที่รู้จัก การเปรียบเทียบ TTP ที่สังเกตพบในเหตุการณ์กับโพรไฟล์กลุ่มใน ATT&CK ช่วยระบุตัวผู้โจมตีที่เป็นไปได้ ไม่มี TTP ใดมีลักษณะเฉพาะเพียงกลุ่มเดียว การระบุแหล่งที่มาจึงต้องอาศัยกลุ่มก้อนของเทคนิคและเครื่องมือที่ทับซ้อนกัน

ผู้โจมตีที่มีความซับซ้อนจะจงใจสร้างหลักฐานเท็จ เช่น ฝังสตริงโค้ดเป็นภาษาที่ไม่ใช่ภาษาของตน ใช้โครงสร้างพื้นฐานที่ทับซ้อนกับผู้โจมตีที่รู้จักกลุ่มอื่น หรือกำหนดช่วงเวลาให้สอดคล้องกับกิจกรรมที่ทราบว่าเป็นของอีกกลุ่มหนึ่ง อย่าระบุแหล่งที่มาจากตัวบ่งชี้เพียงรายการเดียว เพราะปฏิบัติการธงปลอมมุ่งโจมตีวิธีการระบุแหล่งที่มาที่ใช้ตัวบ่งชี้เดียวโดยเฉพาะ

หลักการตั้งชื่อของผู้จำหน่ายแตกต่างกันไป Mandiant ใช้หมายเลข APT (APT28) Microsoft ใช้ธีมสภาพอากาศ (Midnight Blizzard) และ CrowdStrike ใช้ชื่อสัตว์ (Fancy Bear) ผู้โจมตีคนเดียวกันอาจมีชื่อมากกว่า 10 ชื่อ กลุ่ม MITRE ATT&CK จะรวบรวมชื่อเรียกต่าง ๆ ของผู้โจมตีคนเดียวกันไว้ด้วยกันจากรายงานของผู้จำหน่ายแต่ละราย

แบบจำลองเพชรอธิบายการบุกรุกทุกครั้งผ่านคุณลักษณะสี่ประการ ได้แก่ ฝ่ายตรงข้าม ขีดความสามารถ (มัลแวร์/TTP) โครงสร้างพื้นฐาน (IP และโดเมน C2) และเหยื่อ ความสัมพันธ์ระหว่างคุณลักษณะเหล่านี้จะสร้างกราฟสำหรับติดตามแคมเปญ การสืบค้นต่อยอดจากคุณลักษณะใดก็ตามจะช่วยเปิดเผยเหตุการณ์ที่เชื่อมโยงกันและกิจกรรมของผู้โจมตี

แคมเปญของ APT อาจดำเนินนานหลายเดือนหรือหลายปี ควรติดตามแคมเปญโดยพิจารณาจากรูปแบบการกำหนดเป้าหมายที่สม่ำเสมอ (มุ่งอุตสาหกรรมเดียวกัน) วิวัฒนาการของมัลแวร์ (รุ่นใหม่ของตระกูลเดิม) รูปแบบการสับเปลี่ยนโครงสร้างพื้นฐาน และความสม่ำเสมอของ TTP การทำแผนผังเส้นเวลาข้ามเหตุการณ์ต่าง ๆ จะช่วยเปิดเผยระยะของแคมเปญและการเปลี่ยนแปลงของเจตนา

ระดับความเชื่อมั่นของข่าวกรองมีดังนี้: ต่ำ (มีตัวบ่งชี้อ่อนเพียงไม่กี่รายการ) ปานกลาง (มีตัวบ่งชี้ทางเทคนิคหลายรายการที่สนับสนุนซึ่งกันและกัน) สูง (มีหลักฐานทางเทคนิค การปฏิบัติการ และบริบทที่สอดคล้องกัน พร้อมการยืนยันจากนักวิจัยอิสระ) การระบุแหล่งที่มาของรัฐบาลอาจรวมข่าวกรองชั้นความลับที่ไม่มีอยู่ในรายงานสาธารณะ ทำให้ระดับความเชื่อมั่นที่ระบุไว้สูงกว่าที่การวิเคราะห์ทางเทคนิคเพียงอย่างเดียวจะรองรับ

การระบุแหล่งที่มาต่อสาธารณะมีอิทธิพลต่อนโยบาย การบังคับใช้กฎหมาย และการตอบสนองของอุตสาหกรรม การระบุแหล่งที่มาก่อนเวลาอันควรหรือไม่ถูกต้องอาจทำให้เกิดเหตุการณ์ทางการทูตและทำให้ทรัพยากรด้านการป้องกันถูกนำไปใช้ผิดทิศทาง การระบุแหล่งที่มาอย่างมีความรับผิดชอบต้องใช้มาตรฐานหลักฐานที่เข้มงวด ยอมรับความไม่แน่นอน และปรับปรุงข้อสรุปเมื่อมีหลักฐานใหม่ปรากฏ

การระบุแหล่งที่มาของภัยคุกคามผสานการวิเคราะห์ความคล้ายกันของโค้ดมัลแวร์ การวิเคราะห์การใช้โครงสร้างพื้นฐานซ้ำ การจับคู่ TTP กับกลุ่มใน ATT&CK และแบบจำลองเพชร เพื่อสร้างโพรไฟล์ผู้โจมตีจากหลักฐาน การระบุแหล่งที่มาด้วยความเชื่อมั่นสูงต้องอาศัยหลักฐานหลายสายที่เป็นอิสระต่อกัน ตระหนักถึงปฏิบัติการธงปลอม และปรับระดับความเชื่อมั่นให้เหมาะสม