Атрибуція загрозливих акторів: методологія, рівень довіри та пастки

Атрибуція — найбільш значущий і найбільш схильний до помилок продукт, який випускає розвідувальна команда. Впевнена, добре обґрунтована атрибуція інформує про санкції, бойову готовність і розкриття інформації союзникам; необережна — підриває довіру і може бути використана проти аналітика, який її підготував. Різниця між ними рідко полягає в якості даних — вона полягає в дисципліні методу. У цій статті викладено відтворювану методологію атрибуції кіберзагрозливих акторів: як збираються та кластеризуються докази, як діамантова модель їх структурує, як тактики, техніки та процедури (TTPs) дають стійкі групи активності, як виражається та поширюється рівень довіри і як аналітики уникають конкретних видів відмов — фальшивих прапорів, кругового джерелоназивання та передчасного іменування, — що призводять до хибної атрибуції.

Що насправді означає атрибуція

Атрибуція — не єдине судження, а сходинки дедалі сильніших тверджень, кожне з яких вимагає більше доказів, ніж попереднє. Перша сходинка — пов'язати вторгнення з відстежуваним кластером активності — визначеним аналітиком угрупованням пов'язаних подій, яке може ще не мати імені. Друга сходинка — пов'язати цей кластер із іменованою групою (мітки, які присвоюють постачальники та CERT, такі як позначення APT, «ведмідь» або «панда»). Третя і найважча сходинка — пов'язати іменовану групу з організацією-спонсором або державою, що переносить оцінку з технічного аналізу в сферу політики та державного управління.

Більшість оперативної роботи з атрибуції знаходиться на перших двох сходинках, і більшість помилок атрибуції виникає від того, що одразу переходять до третьої. Захищена методологія явно розділяє ці сходинки, щоб читач міг точно побачити, наскільки далеко докази насправді підкріплюють твердження. Змішування «це відповідає кластеру, який ми відстежуємо» з «це була державна розвідувальна служба» — найпоширеніший аналітичний гріх у цій галузі.

Піраміда доказів: від індикаторів до поведінки

Не всі докази рівноцінні, і центральна ідея сучасної атрибуції полягає в тому, що найдешевший для збору доказ — також найдешевший для підробки зловмисником. «Піраміда болю» Девіда Б'янко відображає це: хеші, IP-адреси та доменні імена знаходяться внизу, тому що зловмисник може ротувати їх між операціями майже без витрат. Мережеві та хостові артефакти знаходяться вище; інструменти — ще вище; а TTPs — поведінкові методи роботи, які актор повторно використовує в операціях, — знаходяться на вершині, тому що їх зміна вимагає перенавчання операторів і перебудови інструментарію.

Цей порядок диктує, як слід зважувати докази при оцінці атрибуції. IP-адреса, спільна для двох вторгнень, — це зачіпка, а не висновок: це може бути повторно використаний комерційний сервер, скомпрометований ретранслятор або навмисно підкинута «хлібна крихта». Повторно використаний кастомний завантажувач з ідіосинкратичною процедурою дешифрування конфігурації — значно сильніший доказ. Послідовний операційний патерн — та сама послідовність підготовки, той самий спосіб переміщення в мережі, ті самі робочі години, прив'язані до часового поясу, — ще сильніший, тому що відображає звички людської команди, а не замінний артефакт. Атрибуція, що спирається переважно на індикатори з нижньої частини піраміди, є крихкою за своєю конструкцією.

Практичний наслідок: оцінка атрибуції має бути читабельна як стек зважених доказів, а не як плоский список. Кожен факт, що сприяє, несе дві анотації: де на піраміді він знаходиться (наскільки важко його підробити або змінити) і наскільки він незалежний від інших фактів. Три доменних імені, що всі резолвяться до одного хостингового акаунту, — це один доказ інфраструктури, а не три; аналітик, який рахує їх як три, роздуває очевидну вагу найслабшого рівня. Дисциплінований звіт робить обидві анотації явними, щоб рецензент — або сам аналітик у майбутньому — міг відновити, які зв'язки є несучими, а які лише узгоджуються.

Діамантова модель як організаційна основа

Діамантова модель аналізу вторгнень — стандартна основа для структурування доказів атрибуції, що природно поєднується з двигуном кореляції на основі графів платформи кіберрозвідки оборони. Кожна шкідлива подія представляється як чотири пов'язані характеристики — вершини ромба: супротивник (актор і його оператор), можливість (використане шкідливе ПЗ, експлойт або техніка), інфраструктура (IP-адреси, домени та фізичні активи, що доставляють можливість) та жертва (ціль — організація або особа). Ребра з'єднують вершини: супротивник розгортає можливість через інфраструктуру проти жертви.

Сила моделі — у переміщенні між вершинами. Починаючи з однієї жертви, аналітик переміщується за ребром інфраструктури, щоб виявити кожну іншу жертву, яку торкнувся той самий сервер керування та контролю; від цієї інфраструктури переміщується до доставленої можливості; від можливості — до супротивника, розпізнаючи артефакти розробки, повторне використання коду або поведінку оператора. Кожне переміщення перетворює одне спостереження на зв'язаний граф подій, і форма та щільність цього графа — а не будь-який окремий вузол — є тим, що підтримує твердження про атрибуцію. Другий аналітичний рівень додає соціально-політичні та технологічні метахарактеристики: хто виграє від атаки на цей набір жертв і який спільний технологічний стек пов'язує події. Саме ці метахарактеристики переносять оцінку від «іменованої групи» до «спонсора».

Переміщення між вершинами без забруднення кластера

Агресивне переміщення між вершинами має свій спосіб відмови: забруднення кластера. Якщо критерій додавання події до кластера занадто м'який — наприклад, будь-яка спільна IP-адреса, — кластер незабаром поглинає непов'язану активність, що лише поділяє комерційну інфраструктуру, і отриманий «актор» є артефактом власного злиття аналітика. Дисципліна тут — вимагати, щоб будь-яке злиття було обґрунтоване принаймні одним зв'язком середнього або верхнього рівня піраміди (спільний кастомний інструментарій або характерний TTP), а не індикатором, який може поділяти багато акторів. Документування конкретного ребра, що обґрунтувало кожне злиття, зберігає кластер перевіреним і оборотним, коли зв'язок згодом виявляється випадковим.

Кластеризація TTP за MITRE ATT&CK

Кластеризація TTP — оперативна техніка, що перетворює вершину піраміди на придатний механізм угруповання. Кожна спостережувана поведінка у вторгненні позначається відповідною технікою та підтехнікою MITRE ATT&CK — наприклад, фішинговий вкладення для початкового доступу, запланована задача для забезпечення стійкості та конкретний двійковий файл «живлення за рахунок землі» для виконання. Повна послідовність позначених технік стає поведінковим підписом вторгнення.

Кластеризація на основі цих підписів дає групи активності, значно стійкіші за угруповання на основі індикаторів. Два вторгнення, розділені роком, що використовують повністю різну інфраструктуру та перекомпільоване шкідливе ПЗ, все одно можна розпізнати як одного актора, якщо процедурні методи роботи збігаються: той самий незвичайний прапор, переданий інструменту, той самий ідіосинкратичний порядок операцій, та сама процедура архівування та ексфільтрації. ATT&CK забезпечує спільний словник, що робить це порівняння суворим між аналітиками та організаціями — що суттєво, коли докази атрибуції передаються між CERT-партнерами.

Тонкість полягає в тому, що техніки високого рівня поширені серед багатьох акторів — майже всі використовують фішинг для початкового доступу, — тому збіги лише на рівні технік погано розрізняють. Розрізнення відбувається на рівні процедур: конкретний, деталізований спосіб виконання техніки. Методологія, що кластеризує на рівні процедур і розглядає збіги на рівні технік лише як слабке підтвердження, уникає пастки оголошення двох акторів ідентичними лише тому, що обидва, як і більшість акторів, вдаються до фішингу.

Рівні довіри: справжній результат

Результат атрибуції — не ім'я. Це ім'я плюс рівень довіри, і саме рівень довіри має значення оперативно. Дисципліна, запозичена з розвідувального співтовариства, використовує стандартизовану оціночну шкалу — низький, середній та високий рівень довіри, — що застосовується до кожного окремого твердження і потім поширюється на будь-який висновок, побудований на його основі.

Низький рівень довіри відображає один слабкий або непідкріплений індикатор, інформацію з неперевіреного джерела або значні нерозв'язані альтернативні пояснення. Середній рівень довіри відображає кілька узгоджених джерел або типів доказів, де правдоподібні альтернативи ще залишаються. Високий рівень довіри вимагає конвергентних незалежних доказів з кількох вершин діамантової моделі, при суттєвому виключенні провідних альтернатив. Критично важливо, що довіра має поширюватися консервативно: висновок, що залежить від зв'язку низького рівня довіри, сам не може мати високий рівень довіри, незалежно від міцності інших складових. Найслабший несучий зв'язок обмежує ланцюжок.

Пастки: фальшиві прапори, кругова звітність та упередженість

Найнебезпечніша пастка — навмисний фальшивий прапор. Досвідчений зловмисник знає методологію атрибуції та підкидає дезорієнтуючі докази: підсаджує інструменти іншої групи, повторно використовує інфраструктуру, пов'язану з іншим актором, вставляє рядки іноземною мовою або компілює під час робочих годин іншого часового поясу. Оскільки найпростіші для підсадки докази — саме ті докази нижньої частини піраміди, яким недбалі аналітики надають надмірну вагу, захист є структурним: надавайте більшої ваги поведінковим і операційним методам роботи, важким для підробки, замість підроблюваних артефактів, і розглядайте будь-який зручно очевидний індикатор як можливу підсадку, а не як подарунок.

Друга пастка — кругова звітність. Три звіти постачальників, що всі відносяться до одного оригінального джерела, є одним джерелом, а не трьома, але читаються як незалежне підтвердження, якщо походження не відстежується. Сувора методологія фіксує походження кожного твердження та згортає дублікати перед тим, як рахувати їх як згоду. Третя пастка — когнітивна упередженість: упередженість підтвердження щодо «звичного підозрюваного» та якоріння на першій гіпотезі. Засіб — аналіз конкуруючих гіпотез (ACH): перелічіть усіх акторів-кандидатів як явні гіпотези, оцініть кожен доказ за тим, наскільки добре він розрізняє між ними, і активно шукайте докази, що спростовують. За ACH гіпотеза, що вижила, — та, проти якої докази суперечать найменше, — значно суворіший стандарт, ніж той, якому докази просто відповідають.

Остання пастка — передчасне публічне іменування. Атрибуція, що є обґрунтованою при середньому рівні довіри всередині SOC, може стати незахищуваною, коли стиснута у заголовок преси, який позбавляє кваліфікатора довіри. Збереження аналітичного продукту та публічного заяви як окремих артефактів — і збереження мови рівня довіри прикріпленою до обох — є останньою лінією захисту проти того, щоб методологія не зазнала збою при перекладі. Щодо сторони збору джерел у цій дисципліні, дивіться наш матеріал про моніторинг загроз на основі OSINT.

Операціоналізація методу

На практиці ця методологія закодована в інструментах аналітика, а не залишена пам'яті. Платформа CTI зберігає події як вузли діамантової моделі в графі, забезпечує маркування ATT&CK при прийомі, щоб кластеризація TTP була доступна для запитів, прикріплює поле довіри до кожного ребра та відстежує провенанс джерела, щоб кругова звітність згорталася автоматично. Платформа не виробляє атрибуцію — її виробляє аналітик, — але вона робить дисциплінований шлях шляхом найменшого опору, що є єдиним способом, яким метод виживає при контакті з оперативним темпом.

Інструментарій також забезпечує оборотність, що відрізняє живу атрибуцію від замороженого вердикту. Кожне злиття кластера записує конкретне ребро, що його обґрунтувало, тому коли зв'язок згодом виявляється випадковим — спільний сервер виявляється комерційним ретранслятором, збіг коду виявляється публічною бібліотекою — злиття можна розгорнути і рівні довіри нижче за течією перерахувати без повторного запуску всього аналізу вручну. Атрибуція є за своєю природою попередньою: нові докази регулярно посилюють, послаблюють або скасовують попереднє судження, і методологія, яка не може витончено переглядати себе, натомість закостеніє навколо своєї першої здогадки.

Жодна з цих речей не виключає судження аналітика з процесу; вона його дисциплінує. Основа — зважування пірамід, переміщення в ромбі, кластеризація TTP з прив'язкою до ATT&CK, оціночна довіра та аналіз конкуруючих гіпотез — існує для того, щоб зробити міркування читабельним, перевіреним і стійким до передбачуваних видів відмов. Команда, яка засвоює ці звички, виробляє атрибуцію, що витримує виклики з боку зловмисника, партнерського агентства або суду, тому що висновок надходить загорнутим у докази та рівень довіри, що його здобули, а не стверджується як голе ім'я.