Атрибуция кибератак — процесс установления того, кто стоит за кибератакой, — конкретная группировка, человек или государство — на основе технических улик, разведданных и контекста.
Как проводится атрибуция
Аналитики сопоставляют несколько уровней улик:
- Технический — сходство кода вредоносного ПО, повторно используемая инфраструктура, индикаторы компрометации, временные метки компиляции, языковые настройки и ошибки в коде.
- Поведенческий — тактики, техники и процедуры, сопоставленные с MITRE ATT&CK, рабочие часы и выбор целей.
- Стратегический — кому это выгодно, геополитический контекст и данные агентурной и радиоэлектронной разведки, доступные государствам.
Вендоры безопасности отслеживают кластеры активности под собственными названиями, поэтому у одного злоумышленника может быть несколько имён: APT28, например, также известна как Fancy Bear. Структурировать улики помогают модели вроде ромбовидной модели анализа вторжений (Diamond Model).
Почему это важно
Знание противника помогает предсказывать его следующие шаги и расставлять приоритеты в киберразведке. Для государств атрибуция открывает путь к обвинениям, санкциям и дипломатическим мерам: США публично обвинили Северную Корею в атаке на Sony Pictures в 2014 году, а в 2018 году США, Великобритания и союзники возложили ответственность за NotPetya на российских военных.
При этом атрибуция сложна, а иногда её намеренно сбивают с толку. Атакующие используют «ложные флаги»: вредонос Olympic Destroyer, поразивший зимнюю Олимпиаду 2018 года, содержал улики, указывающие на северокорейскую Lazarus Group, но позже был приписан подразделению ГРУ, известному как Sandworm. Общие инструменты, утёкшее вредоносное ПО и наёмные подрядчики ещё больше запутывают картину, поэтому серьёзные аналитики выражают выводы об атрибуции в виде уровней уверенности.
Рекомендации
- Сосредоточиться на остановке атаки — атрибуция может подождать.
- Сохранять журналы и криминалистические улики для аналитиков и правоохранительных органов.
- Осторожно относиться к единичным индикаторам и искать несколько независимых источников.
- Отслеживать профили APT-группировок, актуальных для вашей отрасли.
