Əsas fikir
Aktorun adı və ehtimal olunan motivi istintaqa kontekst verir, lakin təkbaşına atribusiya sübutu deyil. Girişə, davamlılığa və məlumatla qarşılıqlı əlaqəyə dair siqnalları yoxlayın.
Aktorları məqsəd və giriş imkanlarına görə ayırın
Təhdid aktoru sistemə və ya məlumata qarşı zərərli fəaliyyət göstərən şəxs, qrup və ya təşkilatdır. Maddi qazanc güdən kibercinayətkarlar, casusluq və ya strateji üstünlük axtaran dövlətlə əlaqəli qruplar, ideoloji məqsəd daşıyan haktivistlər və hüquqlarından sui-istifadə edən daxili şəxslər fərqli risk yaradır. Texniki bacarıqla zərərli niyyəti qarışdırmayın: “haker” bacarığı təsvir edə bilər, “təhdid aktoru” isə rolu və niyyəti. Bəzi aktorlar hazır xidmətlərə və ya sosial manipulyasiyaya güvənir.
Maddi qazanc
Fırıldaq, oğurlanmış məlumat satışı və ya şifrələmə ilə hədə-qorxu (ransomware) vasitəsilə gəlir əldə etməyə çalışırlar.
Casusluq və strateji məqsəd
Uzunmüddətli giriş və məlumat toplama dövlət və ya siyasi məqsədlərə xidmət edə bilər.
İdeoloji fəaliyyət və daxili risk
Haktivistlər ictimai mesaj yaymaq üçün xidmətləri poza və məlumatı ifşa edə bilər; daxili risk isə həm qəsdən, həm də təsadüfən yarana bilər.
APT kampaniyası uzun müddət gizli qala bilər
Advanced persistent threat (APT) hədəfli və uzunmüddətli giriş əldə etməyə çalışan hazırlıqlı rəqibi təsvir edir; termin onun kampaniyası üçün də işlədilir. Kəşfiyyat dəyərli sistemləri və giriş yollarını müəyyən edir, mövqenin saxlanması və fəaliyyətin gizlədilməsi isə uzunmüddətli əməliyyatı dəstəkləyir. Giriş fişinq, zəiflikdən istifadə və ya təchizat zəncirindən başlaya, ardınca hesab və cihazlara girişin genişləndirilməsi, legitim idarəetmə alətlərindən istifadə, casusluq və məlumatın çıxarılması gələ bilər. Dövlət, maliyyə, səhiyyə, texnologiya və kritik xidmətlərdəki məlumat və sistemlər yüksək maraq doğura bilər; hər təşkilat riskini öz aktivlərinə görə qiymətləndirməlidir.
Hadisələri motivdən çox sübutla əlaqələndirin
Məlum hadisələr fərqli riskləri göstərir. SolarWinds hadisəsində təchizatçının etibarlı yeniləməsi hücumun yayılma yoluna çevrildi; Colonial Pipeline isə fidyə proqramı hücumuna cavab olaraq boru kəməri fəaliyyətini dayandırdı. Anonymous ilə əlaqəli şəxslər 2010-cu ildə WikiLeaks ianə hesabının bağlanmasına etiraz olaraq PayPal-a xidmətin dayanmasına yönəlmiş DDoS hücumu etdilər. Haktivizm saytın dəyişdirilməsi, xidmətin pozulması və ya məlumatın yayılması ilə nəticələnə bilər; ideoloji məqsəd istifadəçilərə zərəri aradan qaldırmır. Tək bir göstərici və ya qrup adı kifayət deyil: kampaniya izlərini, infrastrukturu, davranışı və etibarlı hadisə təhlilini müqayisə edin, əlaqələndirmədə əminlik dərəcəsini göstərin.
Müdafiəni davranış və kritik aktivlər ətrafında qurun
Yalnız aktor adlarının siyahısına güvənməyin. Hesabların və cihazların normal istifadəsini görünən edin, qeyri-adi girişləri və alətlərdən fərqli istifadəni araşdırın, inzibati hüquqları minimumda saxlayın, kritik sistemləri seqmentləşdirin və bərpa edilə bilən ehtiyat nüsxələr saxlayın. Təhdid kəşfiyyatı müşahidə olunan davranışla uyğun gələndə axtarışı istiqamətləndirə bilər; SOC və ya insident qrupu təhdid əlamətlərini yoxlamalı, təsir dairəsini müəyyən etməli və cavab planını işə salmalıdır.