Атрибуція кібератак — процес встановлення того, хто стоїть за кібератакою, — конкретне угруповання, людина чи держава — на основі технічних доказів, розвідданих і контексту.
Як проводять атрибуцію
Аналітики зіставляють кілька рівнів доказів:
- Технічний — схожість коду шкідливого ПЗ, повторно використана інфраструктура, індикатори компрометації, часові мітки компіляції, мовні налаштування й помилки в коді.
- Поведінковий — тактики, техніки та процедури, зіставлені з MITRE ATT&CK, робочі години й вибір цілей.
- Стратегічний — кому це вигідно, геополітичний контекст і дані агентурної та радіоелектронної розвідки, доступні державам.
Вендори безпеки відстежують кластери активності під власними назвами, тож один зловмисник може мати кілька імен: APT28, наприклад, також відоме як Fancy Bear. Структурувати докази допомагають моделі на кшталт ромбоподібної моделі аналізу вторгнень (Diamond Model).
Чому це важливо
Знання супротивника допомагає передбачати його наступні кроки й визначати пріоритети в кіберрозвідці. Для держав атрибуція відкриває шлях до обвинувачень, санкцій і дипломатичних заходів: США публічно звинуватили Північну Корею в атаці на Sony Pictures у 2014 році, а у 2018 році США, Велика Британія та союзники поклали відповідальність за NotPetya на російських військових.
Водночас атрибуція складна, а іноді її навмисно збивають з пантелику. Зловмисники використовують «фальшиві прапори»: шкідливе ПЗ Olympic Destroyer, яке вразило зимову Олімпіаду 2018 року, містило сліди, що вказували на північнокорейську Lazarus Group, але згодом його приписали підрозділу ГРУ, відомому як Sandworm. Спільні інструменти, шкідливе ПЗ із витоків і найняті підрядники ще більше заплутують картину, тому серйозні аналітики формулюють висновки про атрибуцію у вигляді рівнів упевненості.
Рекомендації
- Зосередитися на зупиненні атаки — атрибуція може зачекати.
- Зберігати журнали й криміналістичні докази для аналітиків і правоохоронних органів.
- Обережно ставитися до поодиноких індикаторів і шукати кілька незалежних джерел.
- Відстежувати профілі APT-угруповань, актуальних для вашої галузі.
