Главная мысль
Название группы и предполагаемый мотив дают контекст расследованию, но сами по себе не доказывают причастность. Проверяйте признаки доступа, закрепления и взаимодействия с данными.
Различайте злоумышленников по цели и доступу
Термин «злоумышленник» охватывает человека, группу или организацию, которые пытаются причинить вред системе или данным. Финансово мотивированные преступники, связанные с государством группы, ведущие шпионаж или добивающиеся стратегического преимущества, хактивисты с идеологическими целями и внутренние пользователи, злоупотребляющие доступом, создают разные риски. Не смешивайте технические навыки и намерение: «хакер» описывает умение, а «злоумышленник» — роль и цель. Некоторые полагаются на готовые сервисы или манипуляцию людьми.
Финансовая выгода
Стремятся получить доход от мошенничества, продажи украденных данных или атак программ-вымогателей.
Шпионаж и стратегические цели
Длительный доступ и сбор данных могут служить государственным или политическим целям.
Идеологические действия и внутренний риск
Хактивисты могут использовать сбои и утечки для публичного заявления; внутренний риск может быть умышленным или случайным.
APT-кампания может долго оставаться незамеченной
Advanced persistent threat (APT) — подготовленный противник, который стремится получить и длительно сохранять целевой доступ; термин также используют для его кампании. Разведка выявляет ценные системы и пути входа, а закрепление и сокрытие активности поддерживают длительную операцию. Началом может быть фишинг, эксплуатация уязвимости или атака через цепочку поставок; затем следуют расширение доступа к учётным записям и устройствам, использование штатных средств администрирования, шпионаж и вынос данных. Данные и системы государства, финансов, здравоохранения, технологий и критических служб могут представлять интерес; каждая организация оценивает риск по своим активам.
Связывайте инциденты с доказательствами, а не только с мотивом
Известные инциденты показывают разные риски. При атаке SolarWinds доверенное обновление поставщика стало каналом распространения; Colonial Pipeline остановила трубопровод в ответ на атаку программы-вымогателя. В 2010 году участники, связанные с Anonymous, провели DDoS-атаку на PayPal в знак протеста против закрытия счёта для пожертвований WikiLeaks. Хактивизм может приводить к изменению сайта, отказу в обслуживании или публикации данных; идеологическая цель не отменяет вреда пользователям. Одного индикатора или названия группы недостаточно: сопоставляйте следы кампании, инфраструктуру, поведение и надёжный разбор инцидента и указывайте степень уверенности в выводах о причастности.
Стройте защиту вокруг поведения и важных активов
Не полагайтесь только на списки названий групп. Обеспечьте видимость обычного использования учётных записей и устройств, проверяйте необычные входы и нестандартное применение инструментов, ограничивайте административные права, сегментируйте критичные системы и храните резервные копии с проверенным восстановлением. Данные об угрозах могут направить поиск, если согласуются с наблюдаемым поведением; SOC или группа реагирования должны проверить признаки угрозы, определить масштаб и запустить план действий.