Atrybucja aktorów zagrożeń: metodologia, poziomy pewności i pułapki

Atrybucja jest najważniejszym i najbardziej podatnym na błędy produktem, jaki dostarcza zespół wywiadowczy. Pewna, dobrze uzasadniona atrybucja informuje o sankcjach, postawie sił i ujawnianiu informacji sojusznikom; nieostrożna niszczy wiarygodność i może zostać wykorzystana przeciwko analitykowi, który ją wydał. Różnica między nimi rzadko leży w jakości danych — leży w dyscyplinie metody. Niniejszy artykuł przedstawia powtarzalną metodologię atrybucji cybernetycznych aktorów zagrożeń: jak dowody są zbierane i klastrowane, jak model diamentu je strukturyzuje, jak taktyki, techniki i procedury (TTPs) tworzą trwałe grupy aktywności, jak wyraża się i propaguje pewność oraz jak analitycy unikają konkretnych trybów awarii — fałszywych flag, cyklicznego pozyskiwania źródeł i przedwczesnego nazywania — które prowadzą do fałszywej atrybucji.

Co atrybucja faktycznie oznacza

Atrybucja to nie jeden wyrok, lecz drabina coraz mocniejszych twierdzeń, z których każde wymaga więcej dowodów niż poprzednie. Pierwszy szczebel to powiązanie włamania ze śledzonym klastrem aktywności — zdefiniowaną przez analityka grupą powiązanych zdarzeń, która może jeszcze nie mieć nazwy. Drugi szczebel to powiązanie tego klastra z nazwaną grupą (oznaczenia, które przypisują dostawcy i CERTy, takie jak różne nazwy APT oraz określenia „bear" czy „panda"). Trzeci i najtrudniejszy szczebel to powiązanie nazwanej grupy z organizacją sponsorującą lub państwem, co przenosi ocenę z analizy technicznej do domeny polityki i stosunków państwowych.

Większość operacyjnej pracy atrybucyjnej odbywa się na pierwszych dwóch szczeblach, a większość błędów atrybucji wynika z przeskoczenia wprost do trzeciego. Dająca się obronić metodologia utrzymuje te szczeble w wyraźnym oddzieleniu, aby czytelnik widział dokładnie, jak wysoko na drabinie dowody rzeczywiście podtrzymują twierdzenie. Mylenie „to pasuje do klastra, który śledzimy" z „to była państwowa służba wywiadowcza" to najczęstszy grzech analityczny w tej dziedzinie.

Piramida dowodów: od wskaźników do zachowania

Nie wszystkie dowody są równe, a centralny wniosek nowoczesnej atrybucji jest taki, że najtańsze do zebrania dowody są też najtańsze do sfałszowania przez przeciwnika. Piramida bólu Davida Bianco to ujmuje: wartości skrótów, adresy IP i nazwy domen znajdują się na dole, ponieważ przeciwnik może je rotować między operacjami praktycznie bezkosztowo. Artefakty sieciowe i hosta zajmują wyższe miejsce; narzędzia jeszcze wyższe; a TTPs — behawioralne metody działania, które aktor wielokrotnie stosuje w operacjach — znajdują się na szczycie, bo ich zmiana wymaga przeszkolenia operatorów i przebudowania oprzyrządowania.

Ta kolejność decyduje o tym, jak dowody powinny być ważone w ocenie atrybucji. Adres IP współdzielony między dwoma włamaniami to trop, nie wniosek — mógłby to być wielokrotnie używany serwer towarowy, przejęty przekaźnik lub celowo podrzucona okruszyna chleba. Wielokrotnie używany niestandardowy loader z idiosynkratyczną procedurą deszyfrowania konfiguracji jest znacznie mocniejszy. Spójny wzorzec operacyjny — ta sama sekwencja etapowania, ta sama preferencja ruchu bocznego, te same godziny pracy zmapowane na strefę czasową — jest jeszcze mocniejszy, bo odzwierciedla nawyki ludzkiego zespołu, a nie wymienialny artefakt. Atrybucja opierająca się przede wszystkim na wskaźnikach z dołu piramidy jest krucha z założenia.

Praktyczną konsekwencją jest to, że ocena atrybucji powinna dać się odczytać jako stos ważonych dowodów, a nie płaska lista. Każdy przyczyniający się fakt niesie dwie adnotacje: gdzie na piramidzie się znajduje (jak trudno go sfałszować lub zmienić) oraz jak jest niezależny od pozostałych faktów. Trzy nazwy domen, które wszystkie rozwiązują się do jednego konta hostingowego, to jeden element dowodów infrastrukturalnych, nie trzy; analityk, który liczy je jako trzy, zawyżył pozorną wagę najsłabszego poziomu. Zdyscyplinowany dokument sprawia, że obie adnotacje są jawne, tak aby recenzent — lub przyszłe ja analityka — mógł dokładnie zrekonstruować, które ogniwa są nośne, a które są jedynie spójną dekoracją.

Model diamentu jako ramowy schemat organizacyjny

Model diamentu analizy włamania to standardowe ramy dla strukturyzowania dowodów atrybucji i naturalnie łączy się z silnikiem korelacji opartym na grafach z obronnej platformy CTI. Każde złośliwe zdarzenie jest reprezentowane jako cztery powiązane cechy — wierzchołki diamentu: przeciwnik (aktor i jego operator), zdolność (użyte złośliwe oprogramowanie, exploit lub technika), infrastruktura (adresy IP, domeny i zasoby fizyczne dostarczające zdolność) oraz ofiara (atakowana organizacja lub osoba). Krawędzie łączą wierzchołki: przeciwnik wdraża zdolność przez infrastrukturę przeciwko ofierze.

Siłą modelu jest przestawianie. Zaczynając od jednej ofiary, analityk przestawia się wzdłuż krawędzi infrastruktury, aby odkryć każdą inną ofiarę, z którą zetknął się ten sam serwer dowodzenia i kontroli; z tej infrastruktury przestawia się na dostarczoną zdolność; ze zdolności przestawia się w kierunku przeciwnika, rozpoznając artefakty deweloperskie, ponowne użycie kodu lub zachowanie operatora. Każde przestawienie zamienia jedną obserwację w powiązany graf zdarzeń, a kształt i gęstość tego grafu — a nie żaden pojedynczy węzeł — jest tym, co wspiera twierdzenie atrybucyjne. Druga warstwa analityczna dodaje meta-cechy społeczno-polityczne i technologiczne: kto czerpie korzyść z atakowania tego zestawu ofiar i jaki wspólny stos technologiczny łączy zdarzenia. Te meta-cechy przenoszą ocenę od „nazwanej grupy" do „sponsora".

Przestawianie bez zanieczyszczania klastra

Agresywne przestawianie ma tryb awarii: zanieczyszczenie klastra. Jeśli kryterium dodania zdarzenia do klastra jest zbyt luźne — powiedzmy, dowolny współdzielony adres IP — klaster wkrótce wchłania niepowiązane działania, które jedynie współdzielą infrastrukturę towarową, a powstały „aktor" jest artefaktem własnego łączenia przez analityka. Dyscyplina polega na wymaganiu, aby każde połączenie było uzasadnione co najmniej jednym powiązaniem ze środka lub szczytu piramidy (wspólne niestandardowe oprzyrządowanie lub charakterystyczne TTP), a nie wskaźnikiem, który mogłoby współdzielić wielu aktorów. Dokumentowanie konkretnej krawędzi, która uzasadniła każde połączenie, sprawia, że klaster jest audytowalny i odwracalny, gdy powiązanie okaże się później przypadkowe.

Klastrowanie TTP względem MITRE ATT&CK

Klastrowanie TTP to technika operacyjna zamieniająca szczyt piramidy w użyteczny mechanizm grupowania. Każde zaobserwowane zachowanie we włamaniu jest oznaczane odpowiednią techniką i pod-techniką MITRE ATT&CK — na przykład spearphishing z załącznikiem dla wstępnego dostępu, zaplanowane zadanie dla trwałości i konkretny binarny plik living-off-the-land dla wykonania. Pełna sekwencja oznaczonych technik staje się behawioralną sygnaturą włamania.

Klastrowanie na tych sygnaturach produkuje grupy aktywności znacznie trwalsze niż grupowania oparte na wskaźnikach. Dwa włamania oddzielone rokiem, korzystające z całkowicie innej infrastruktury i przekompilowanego złośliwego oprogramowania, można nadal rozpoznać jako tego samego aktora, jeśli metody działania na poziomie procedury pasują: ta sama niezwykła flaga przekazana do narzędzia, ta sama idiosynkratyczna kolejność operacji, ta sama rutyna archiwizowania i eksfiltracji. ATT&CK dostarcza wspólnego słownictwa, które sprawia, że to porównanie jest rygorystyczne między analitykami i organizacjami, co jest niezbędne, gdy dowody atrybucji są wymieniane między partnerskimi CERTami.

Subtelność polega na tym, że techniki wysokiego poziomu są wspólne dla wielu aktorów — prawie wszyscy używają phishingu do wstępnego dostępu — więc samo dopasowanie na poziomie technik słabo dyskryminuje. Dyskryminacja pojawia się na poziomie procedury: konkretne, niskopoziomowe jak wykonywania techniki. Metodologia, która klastruje na procedurach i traktuje dopasowanie na poziomie technik jedynie jako słabe potwierdzenie, unika pułapki ogłaszania dwóch aktorów identycznymi dlatego, że obaj — jak większość aktorów — stosują phishing.

Poziomy pewności: właściwy wynik

Wynikiem atrybucji nie jest nazwa. To nazwa plus poziom pewności, a poziom pewności jest częścią, która ma znaczenie operacyjne. Dyscyplina zapożyczona od społeczności wywiadowczej stosuje ustandaryzowaną skalę szacunkową — niski, umiarkowany i wysoki poziom pewności — stosowaną do każdego odrębnego twierdzenia, a następnie propagowaną do każdego wniosku na nim opartego.

Niski poziom pewności odzwierciedla pojedynczy słaby lub niepotwierdzone wskaźnik, informacje ze niesprawdzonego źródła lub znaczące nierozwiązane alternatywne wyjaśnienia. Umiarkowany poziom pewności odzwierciedla wiele spójnych źródeł lub typów dowodów, gdy wiarygodne alternatywy nadal pozostają. Wysoki poziom pewności wymaga zbieżnych, niezależnych dowodów z kilku wierzchołków modelu diamentu z zasadniczo wykluczonymi wiodącymi alternatywami. Co ważne, pewność musi być propagowana ostrożnie: wniosek zależny od ogniwa o niskim poziomie pewności nie może sam mieć wysokiego poziomu pewności, bez względu na to, jak mocne są pozostałe wejścia. Najsłabsze nośne ogniwo ogranicza łańcuch.

Pułapki: fałszywe flagi, cykliczne raportowanie i błędy poznawcze

Najniebezpieczniejszą pułapką jest celowa fałszywa flaga. Zdolny przeciwnik zna metodologię atrybucji i zasiewa ją mylącymi dowodami: podrzucając narzędzia innej grupy, wielokrotnie używając infrastruktury powiązanej z innym aktorem, osadzając ciągi znaków w obcych językach lub kompilując podczas godzin pracy innej strefy czasowej. Ponieważ najłatwiejsze do podrzucenia dowody to dokładnie te z dołu piramidy, które nieostrożni analitycy nadmiernie ważą, obrona jest strukturalna — należy przypisywać większą wagę trudno fałszowanym behawioralnym i operacyjnym metodom działania niż fałszowalnym artefaktom i traktować każdy wygodnie oczywisty wskaźnik jako kandydata do podrzucenia, a nie jako prezent.

Drugą pułapką jest cykliczne raportowanie. Trzy raporty dostawców, które wszystkie śledzą do jednego oryginalnego źródła, to jedno źródło, nie trzy, ale czytają się jako niezależne potwierdzenie, jeśli provenancja nie jest śledzona. Rygorystyczna metodologia rejestruje pochodzenie każdego twierdzenia i zwija duplikaty przed zliczeniem ich jako zgodność. Trzecią pułapką jest błąd poznawczy — błąd potwierdzenia w kierunku „zwykłego podejrzanego" i zakotwiczenie na pierwszej hipotezie. Remedium to analiza konkurujących hipotez (ACH): wymień wszystkich kandydujących aktorów jako jawne hipotezy, oceń każdy dowód pod kątem tego, jak dobrze dyskryminuje między nimi i aktywnie szukaj dowodów obalających. Przy ACH przeżywająca hipoteza to ta, przeciwko której dowody przemawiają najmniej — znacznie solidniejszy standard niż ta, której dowody po prostu pasują.

Ostatnią pułapką jest przedwczesne publiczne nazywanie. Atrybucja solidna przy umiarkowanym poziomie pewności wewnątrz SOC może stać się nie do obronienia po skompresowaniu do prasowego nagłówka, który usuwa kwalifikator pewności. Utrzymywanie produktu analitycznego i publicznego oświadczenia jako osobnych artefaktów — i zachowywanie języka pewności dołączonego do obu — to ostatnia linia obrony przed rozmontowaniem metodologii w tłumaczeniu. Dla strony zbierania źródeł tej dyscypliny, patrz nasze omówienie monitorowania zagrożeń opartego na OSINT.

Operacjonalizacja metody

W praktyce ta metodologia jest zakodowana w narzędziach analityka, a nie pozostawiona pamięci. Platforma CTI przechowuje zdarzenia jako węzły modelu diamentu w grafie, wymusza oznaczanie ATT&CK podczas ingestion, tak aby klastrowanie TTP było dostępne do zapytania, dołącza pole pewności do każdej krawędzi i śledzi provenancję źródeł, tak aby cykliczne raportowanie automatycznie się zwija. Platforma nie produkuje atrybucji — robi to analityk — ale sprawia, że zdyscyplinowana ścieżka jest ścieżką najmniejszego oporu, co jest jedynym sposobem, aby metoda przetrwała kontakt z tempem operacyjnym.

Oprzyrządowanie wymusza też odwracalność, która odróżnia żywą atrybucję od zamrożonego werdyktu. Każde połączenie klastrów rejestruje konkretną krawędź, która je uzasadniła, więc gdy powiązanie okaże się później przypadkowe — współdzielony serwer okazuje się przekaźnikiem towarowym, nakładanie się kodu okazuje się biblioteką publiczną — połączenie można rozwiązać i ponownie przeliczyć downstream poziomy pewności bez ręcznego ponownego uruchamiania całej analizy. Atrybucja jest z natury prowizoryczna: nowe dowody rutynowo wzmacniają, osłabiają lub odwracają wcześniejszy osąd, a metodologia, która nie może sprawnie się zrewidować, zamiast tego skrystalizuje się wokół swojego pierwszego domysłu.

Nic z tego nie usuwa osądu analityka z pętli; dyscyplinuje go. Ramy — ważenie piramidy, przestawianie w modelu diamentu, klastrowanie TTP zakotwiczone w ATT&CK, szacunkowa pewność i analiza konkurujących hipotez — istnieją po to, aby rozumowanie było czytelne, audytowalne i odporne na przewidywalne tryby awarii. Zespół, który internalizuje te nawyki, produkuje atrybucję wytrzymującą kwestionowanie przez przeciwnika, agencję partnerską lub sąd, ponieważ wniosek dociera opakowany w dowody i pewność, które go zarobiły, a nie jako twierdzenie z samą nazwą.