Automatizēta uzbrucēju atribūcija: kā atšķirt pierādījumus no kļūdainas pārliecības?

Kiberdrošības incidenta sākumā organizācijai parasti ir atsevišķi novērojumi: aizdomīgas autentifikācijas, neparastas piekļuves tiesību izmaiņas, tīkla savienojumi, iespējama datu noplūde vai atklāta ļaunprātīga programmatūra. Šie pierādījumi var būt pietiekami, lai sāktu incidenta ierobežošanu, pārbaudītu piekļuves apmēru un atjaunotu sistēmu drošību. Tomēr, tiklīdz parādās iespēja pieminēt konkrētu uzbrucēju grupējumu, tehniskais incidents iegūst daudz vieglāk uztveramu stāstu. Vadībai tiek piedāvāts nosaukums, medijiem — skaidrs virsraksts, bet drošības komandai — šķietami gatavs skaidrojums par notikušo.

Šāda vēlme pēc konkrētas identitātes ir saprotama. Organizācijas grib zināt, pret ko tās aizstāvas, vai uzbrukums var atkārtoties un kādas intereses stāv aiz konkrētās darbības. Tomēr atribūcija kļūst problemātiska brīdī, kad nepieciešamība pēc skaidrojuma sāk noteikt pierādījumu interpretāciju. Ja sistēma vispirms piemeklē zināmu grupējumu un tikai pēc tam uzskaita pazīmes, kas ar to saskan, izmeklēšana riskē kļūt par sākotnējā pieņēmuma apstiprināšanu. Iedomāsimies automātisku platformu, kura incidentā atpazīst vairākas ATT&CK tehnikas, salīdzina tās ar publiski dokumentētiem grupējumu profiliem un parāda: “Iespējamais uzbrucējs — grupa X; pārliecība — 92 %.” Šāds rezultāts izskatās precīzs. Taču bez skaidrojuma par izmantoto datu neatkarību, piemērotību un modeļa kalibrāciju procentuālā vērtība var būt tikai šķietama precizitāte.

Vēl nozīmīgāks ir jautājums, kas notiek tālāk. Vai organizācija sāk izmeklēt tikai ar grupu X saistītos paņēmienus? Vai tā ignorē citu iespējamu uzbrucēju? Vai šis secinājums nonāk publiskā paziņojumā? Vai to izmanto politiska vai juridiska rakstura apsūdzībai? Šajā brīdī atribūcijas kļūda vairs nav tikai neprecīzs ieraksts datubāzē.

Kiberdrošības kontekstā atribūcijai ir vairāki līmeņi, kuri dažādās publikācijās nereti tiek apvienoti. Mandiant 2023. gada analīzē par atribūcijas kompromisiem uzsvēra, ka pastāv būtiska atšķirība starp atsevišķu ļaunprātīgas aktivitātes kopu sasaistīšanu un konkrētu cilvēku identificēšanu. Šiem uzdevumiem nepieciešami atšķirīgi pierādījumi un analīzes dziļums. S01 Tehniskās aktivitātes grupēšana nozīmē secināt, ka vairāki incidenti varētu būt saistīti ar vienu operacionālu darbību kopu. Šādu secinājumu var pamatot kopīga infrastruktūra, specifiski rīki, uzvedības secība vai citi novērojumi. Tomēr pat veiksmīga grupēšana ne vienmēr atklāj, kas faktiski kontrolē šo darbību.

Operacionālā atribūcija mēģina sasaistīt novērotās aktivitātes ar zināmu kampaņu vai pētnieku definētu uzbrucēju klasteri. Arī šajā gadījumā nosaukums var apzīmēt analītiski grupētu uzvedību, nevis juridiski identificētu organizāciju. Organizatoriskā vai personiskā atribūcija jau prasa noskaidrot konkrētus cilvēkus, komandvadības struktūru vai organizāciju. Šeit var būt nepieciešami pierādījumi, kuri publiskajos tehniskajos ziņojumos nav pieejami. Valsts līmeņa atribūcija ietver vēl plašāku jautājumu loku. Noteikta uzbrukuma infrastruktūra, ģeogrāfiska izcelsme vai uzbrucēja deklarēta piederība pati par sevi nepierāda valsts norādījumus, kontroli vai juridisko atbildību.

Šos līmeņus nedrīkst uztvert kā automātisku kāpņu sistēmu, kurā katrs tehniskais pierādījums tuvina viennozīmīgai politiskai atbildei. Atsevišķos gadījumos izmeklēšana var ļoti pārliecinoši rekonstruēt tehnisko darbību, bet nekad neiegūt pietiekamus pierādījumus konkrētam personiskās vai valsts atbildības secinājumam. Tas nav neveiksmīgs izmeklēšanas rezultāts. Tā ir godīga pierādījumu robežas atzīšana.

Pieņemsim, ka drošības pētnieki identificē ļaunprātīgu programmatūru, kas iepriekš izmantota kampaņā, kura publiski saistīta ar noteiktas valsts interesēm. Jaunā incidentā atrasta tā pati programmatūras saime vai līdzīga komunikācijas struktūra. Ko tas pierāda? Vispirms — iespējamu tehnisku saikni. Ja sakritības ir pietiekami specifiskas un apstiprinātas, tās var pamatot hipotēzi par kopīgu rīku, izstrādes vēsturi vai infrastruktūras izmantošanu. Taču tas automātiski nepierāda vienu un to pašu operatoru. Rīki var tikt pārņemti, kopēti, pārdoti vai izmantoti citās kampaņās. Infrastruktūra var tikt kompromitēta un izmantota bez tās īpašnieka piekrišanas.

Arī laika sakritība nav pietiekams pamats. Uzbrukums darba laikā konkrētā laika joslā var šķist raksturīgs noteiktam reģionam, bet darba grafiki, automatizācija, izkliedētas komandas un apzināta maldināšana šādu indikatoru padara nepietiekamu neatkarīgai atribūcijai. Mērķa izvēle var palīdzēt formulēt hipotēzi par motivāciju. Tomēr arī interese par noteiktu valsts institūciju vai kritisko infrastruktūru nav unikāla vienam uzbrucējam. Dažādi dalībnieki var būt ieinteresēti vienos un tajos pašos datos. Tāpēc tehniskās atribūcijas uzdevums nav mehāniski summēt pazīmes. Jāizvērtē, cik katra pazīme ir specifiska, vai tai pastāv citi skaidrojumi un vai iegūtā informācija patiešām palīdz atšķirt konkurējošas hipotēzes.

Publiskā komunikācijā šo jautājumu bieži aizēno nosaukumu politika. Grupējuma etiķete kļūst par īsu aizstājēju daudz sarežģītākam pierādījumu kopumam. Taču šāds saīsinājums ir pieļaujams tikai tad, ja tiek saglabāta tā faktiskā nozīme un nenoteiktība.

2024. gada februārī CISA kopā ar partnerinstitūcijām publicēja kopīgu kiberdrošības brīdinājumu par Volt Typhoon darbībām ASV kritiskajā infrastruktūrā. Ziņojumā aprakstīta leģitīmu kontu un sistēmā jau esošu rīku izmantošana, kā arī ilgstošas piekļuves saglabāšanas pazīmes. Autori kampaņu publiski saistīja ar Ķīnas Tautas Republikas valsts atbalstītiem dalībniekiem. S02 Šeit jānošķir divas lietas. Viens ir kopīgajā brīdinājumā aprakstītie tehniskie paņēmieni un konkrētie aizsardzības ieteikumi. Otrs ir autorinstitūciju publiskais atribūcijas vērtējums. Šī vērtējuma avots ir nozīmīgs, taču pats publiski pieejamais materiāls ne vienmēr ļauj neatkarīgam pētniekam rekonstruēt visus pierādījumus, kas izmantoti valsts līmeņa secinājumam.

Vēl precīzāk: no tā, ka organizācijas infrastruktūrā atrasts viens Volt Typhoon brīdinājumā pieminēts administrēšanas paņēmiens, nevar automātiski secināt Volt Typhoon klātbūtni. Daži dokumentētie paņēmieni ir izmantojami arī leģitīmā administrēšanā un citu uzbrucēju darbībā. Savukārt Microsoft izmeklēšanā par Storm-0558 2023. gadā analizēta konkrēta autentifikācijas infrastruktūras kompromitēšana un ar to saistīta ļaunprātīga aktivitāte. Microsoft publicēja tehniskās izmeklēšanas rezultātus un vēlāk precizēja noteiktas sākotnējās hipotēzes par parakstīšanas atslēgas iegūšanas apstākļiem. S03

Šis piemērs ir svarīgs ne tikai incidenta nopietnības dēļ. Tas parāda, ka pat pēc padziļinātas izmeklēšanas tehniskie secinājumi var mainīties, parādoties jaunai informācijai. Ja atribūcijas platforma nespēj saglabāt iepriekšējo vērtējumu versijas un to maiņas pamatojumu, tā zaudē vienu no svarīgākajām pētniecības kvalitātes īpašībām. Abos gadījumos publiskie paziņojumi jāuztver precīzi: tie dokumentē konkrētu institūciju tehniskos novērojumus un vērtējumus, nevis dod ikvienam ārējam analītiķim universālu tiesību katru līdzīgu uzvedības modeli piedēvēt tam pašam dalībniekam.

Izmeklēšanas sākumā organizācijai var būt pierādījums, ka noteiktā laikā izveidots administratīvs konts, izpildīta programma vai veikts tīkla savienojums. Šāds fakts ir atkarīgs no žurnāla integritātes, datu kvalitātes un pareizas interpretācijas, taču tam vismaz pastāv konkrēts sākotnējais novērojums. Nākamais solis var būt secinājums, ka notikums atbilst zināmam uzbrucēja paņēmienam. Šeit jau sākas analīze: viens un tas pats notikums var atbilst vairākām tehnikām vai leģitīmam administrēšanas scenārijam. Vēl nākamais solis — apgalvojums, ka attiecīgo tehniku izmantojis konkrēts grupējums — prasa papildu informāciju. Tehnikas apraksts pats par sevi nesatur grupējuma identitātes pierādījumu.

Visbeidzot, grupējuma sasaistīšana ar konkrētiem cilvēkiem vai valsti prasa vēl atšķirīgus pierādījumus. Tieši šeit automatizācija var radīt bīstamu ilūziju. Mašīnai ir viegli izveidot formāli pareizu savienojumu virkni: notikums → ATT&CK tehnika → grupējuma profils → valsts nosaukums. Taču katrs savienojums ir atsevišķs apgalvojums ar savu izcelsmi un nenoteiktību. Zināšanu grafā šādu ceļu var attēlot ar vienādām līnijām, lai gan to pierādījumu stiprums krasi atšķiras. Ja atšķirības nav saglabātas datu modelī, vizualizācija kļūst par kļūdainas pārliecības veicinātāju.

MITRE ATT&CK grupējumu kataloga paskaidrojums ir neparasti skaidrs. Tajā grupas raksturotas kā aktivitāšu kopas, kuras drošības kopiena izseko ar dažādiem nosaukumiem un metodoloģijām. MITRE arī uzsver, ka dažādu pētnieku nosaukumu atbilstība var būt nepilnīga un ka saistīto grupu apzīmējumi nenozīmē pilnīgu identitāti. S04 Šim precizējumam jābūt obligātam jebkurā automatizētā atribūcijas sistēmā. Ja divi pētniecības uzņēmumi lieto atšķirīgus nosaukumus līdzīgai aktivitātei, sistēma nedrīkst šos nosaukumus automātiski apvienot vienā entītijā, nepārbaudot sākotnējo definīciju. Vienas aktivitātes kopas robežas var būt noteiktas pēc rīku saimes, citas — pēc infrastruktūras, vēl citas — pēc vairāku gadu kampaņu analīzes.

Šādas definīcijas nav obligāti savstarpēji aizvietojamas. Līdzīgi ATT&CK tehnikas piešķiršana grupējumam nozīmē, ka publiskos avotos dokumentēta attiecīgās tehnikas izmantošana. Tas nenozīmē, ka tehnika ir unikāla šim grupējumam vai ka visi tā uzbrukumi vienmēr izmanto šo paņēmienu. Atribūcijas modelis, kas mehāniski skaita kopīgas ATT&CK tehnikas un izvēlas grupējumu ar lielāko pārklājumu, riskē pārvērtēt plaši izplatītas darbības. Tādas tehnikas kā derīgu kontu izmantošana, skriptu izpilde vai attālināta piekļuve var būt sastopamas ļoti dažādos scenārijos.

Tātad ATT&CK ir ļoti vērtīgs uzvedības aprakstīšanai un detektēšanas plānošanai. Taču tas nav universāls mehānisms konkrēta uzbrucēja identitātes pierādīšanai.

Daudzos automatizētos CTI risinājumos tiek summēts avotu skaits, kuros minēta konkrēta saikne. Piemēram, ja pieci piegādātāji norāda, ka ļaunprātīga programmatūra saistīta ar noteiktu grupējumu, sistēma var šo apgalvojumu novērtēt kā īpaši ticamu. Taču cik no šiem pieciem piegādātājiem veikuši neatkarīgu izmeklēšanu? Ja četri pārpublicējuši piektā pētījumu, faktiski ir tikai viens sākotnējais informācijas avots. Ja pirmavots pieļāvis kļūdu, atvasināto publikāciju skaits šo kļūdu nepārvērš patiesībā. Tāpēc nepieciešams ne tikai avotu katalogs, bet arī atvasinājumu vēsture. Sistēmai jāspēj identificēt, kura publikācija citē kuru, kāds ir apgalvojuma sākotnējais formulējums un vai vēlākie avoti pievienojuši jaunus novērojumus.

Neatkarība nav tikai atšķirīgs domēna nosaukums vai cits datu piegādātājs. Neatkarība attiecas uz pašu pierādījuma iegūšanas procesu. Piemēram, divas atsevišķas incidentu izmeklēšanas ar savstarpēji neatkarīgu telemetriju var sniegt spēcīgāku apstiprinājumu nekā desmit raksti, kuros atkārtots viens un tas pats publiskais secinājums. Arī pretrunīgi avoti ir jāglabā. Ja viens pētnieks apšauba atribūciju, šo informāciju nevajadzētu izslēgt tikai tāpēc, ka pārējie avoti atbalsta populārāko skaidrojumu. Tieši pierādījumu neatkarība, kvalitāte un alternatīvu izvērtēšana dod pamatu uzticamam atribūcijas vērtējumam.

Kļūdainu atribūciju var radīt ne tikai analītiķa kļūda. Uzbrucējs var apzināti veidot pazīmes, kas atgādina cita dalībnieka uzvedību. Tehniskā līmenī tas var izpausties kā publiski pieejamu rīku izmantošana, atsevišķu programmatūras komponentu pārņemšana, citām kampaņām raksturīgu nosaukumu lietošana vai tādu artefaktu ievietošana, kuri provocē noteiktu secinājumu. Tomēr arī aizdomas par apzinātu maldināšanu jāvērtē piesardzīgi. Ne katra līdzība starp divām kampaņām ir mērķtiecīgi izveidota nepareiza pēda. Dažkārt cēlonis ir vienkārši kopīgi rīki vai līdzīgs tehniskais uzdevums.

Tādēļ analīzē jānošķir trīs hipotēzes: aktivitātes patiešām ir saistītas, aktivitātes neatkarīgi izmanto līdzīgus paņēmienus vai līdzība radīta apzināti, lai maldinātu izmeklētājus. Svarīgi arī izvērtēt katras hipotēzes paredzamos novērojumus. Ja kopīga operatora teorija ir pareiza, kādus citus pierādījumus mēs sagaidītu? Ja izmantots publiski pieejams rīks, kādas pazīmes nevarētu uzskatīt par specifiskām? Šādi jautājumi palīdz izvairīties no nepārtrauktas jebkura jauna fakta pielāgošanas sākotnējai versijai. Labs atribūcijas process ir gatavs mainīt secinājumu, nevis tikai meklēt aizvien jaunus apstiprinājumus.

Automatizēta atribūcija var izmantot noteikumu sistēmas, statistiskus modeļus, grafu analītiku, mašīnmācīšanos vai lielos valodas modeļus. Katram risinājumam ir atšķirīgas priekšrocības un ierobežojumi. Noteikumu sistēma var būt salīdzinoši viegli auditējama, bet tai var būt grūti apstrādāt negaidītus uzbrukumu variantus. Statistisks modelis var atklāt sarežģītas sakarības, taču tā rezultāts būs atkarīgs no apmācības datu kvalitātes. Savukārt valodas modelis var noderīgi apkopot atšķirīgus ziņojumus, bet arī nepamatoti pārliecinoši apvienot nesavietojamus apgalvojumus.

Viena no būtiskākajām problēmām ir vēsturisko datu nevienmērība. Publiski zināmie grupējumi nav vienlīdz plaši pētīti. Par dažām kampaņām pastāv detalizētas tehniskās analīzes, par citām — tikai atsevišķi fragmenti. Modelis var biežāk izvēlēties labāk dokumentētu grupējumu nevis tāpēc, ka tas tiešām ir uzbrucējs, bet tāpēc, ka par to datubāzē ir vairāk ierakstu. Otra problēma ir datu noplūde vērtēšanā. Ja modeļa apmācības un testēšanas kopās ir savstarpēji atvasināti vienu un to pašu incidentu apraksti, šķietami augsta precizitāte var neatspoguļot spēju analizēt patiesi jaunu kampaņu.

Trešā problēma ir iepriekš nezināms uzbrucējs. Sistēma, kurai vienmēr jāizvēlas kāds no zināmo grupējumu saraksta, nevar korekti pateikt “nav pietiekamu pierādījumu” vai “iespējams iepriekš nedokumentēts dalībnieks”. Tāpēc es prasītu, lai automatizētā atribūcijas sistēmā būtu iespējama atteikšanās no klasifikācijas, nevis piespiedu izvēle starp pazīstamiem nosaukumiem. Šāda atturība nav sistēmas trūkums. Tā ir nepieciešama uzticamības īpašība.

Kiberdraudu izlūkošanas ziņojumos bieži lieto apzīmējumus “zema”, “vidēja” vai “augsta pārliecība”. Dažās automatizētās sistēmās tiem pievieno skaitliskas vērtības. Taču pārliecība un iespējamība nav viens un tas pats. Analītiķis var ar augstu pārliecību apgalvot, ka konkrētais novērojums nav pietiekams atribūcijai. Tāpat viņš var uzskatīt kādu hipotēzi par ticamāku nekā alternatīvas, bet vienlaikus atzīt būtiskus pierādījumu trūkumus. ASV Nacionālā izlūkdienestu direktora biroja analītiskie standarti ICD 203 īpaši pieprasa skaidri aprakstīt nenoteiktību, nošķirt informāciju no pieņēmumiem un izvērtēt alternatīvas hipotēzes. S05 Tie ir ASV izlūkošanas kopienas standarti, nevis automātiski saistošs regulējums Latvijas uzņēmumiem, tomēr to metodoloģiskais pienesums ir piemērojams arī kiberdrošības analīzē.

Ja sistēma parāda “92 % pārliecība”, jāzina, ko šis skaitlis patiesībā nozīmē. Vai tas ir modeļa iekšējais klasifikācijas rezultāts? Vai tas ir kalibrēts pret neatkarīgu testu kopu? Vai rezultāts nozīmē, ka līdzīgos gadījumos sistēma ir pareiza apmēram 92 % reižu? Vai arī tas ir tikai algoritma izveidots rādītājs, kuram šāda interpretācija nav pamatota? Ja šie jautājumi nav atbildēti, skaitli nedrīkst izmantot kā objektīvu varbūtību, ka konkrētais uzbrucējs ir identificēts.

Būtisks ir arī vērtējuma tvērums. Pārliecība par divu aktivitāšu tehnisku sasaisti var būt augsta, kamēr pārliecība par tās pašas aktivitātes valstisko izcelsmi saglabājas zema. Šādus novērtējumus nedrīkst mehāniski apvienot.

Atbildīga atribūcija nav tikai labākās hipotēzes atrašana. Tā ir arī spēja godīgi izvērtēt, kāpēc pārējās hipotēzes varētu būt pareizas. Pieņemsim, ka organizācijas vidē atrasta ļaunprātīga programmatūra, kas iepriekš dokumentēta kādas grupas kampaņā. Var formulēt vismaz trīs skaidrojumus. Pirmais — darbību tiešām veicis tas pats dalībnieks. Otrais — cits dalībnieks izmanto to pašu vai atvasinātu programmatūru. Trešais — konstatētais artefakts ir kļūdaini klasificēts vai iegūts ārpus sākotnēji pieņemtā konteksta.

Pārbaudei jānosaka, kuri novērojumi palīdz atšķirt šos skaidrojumus. Ja visām trim hipotēzēm atbilst atrastā faila kontrolsumma, šī pazīme viena pati nepalīdz izšķirties. Ja papildus ir neatkarīgi un reti sastopami operacionāli elementi, tie var būt nozīmīgāki, taču arī tiem jāvērtē alternatīvas interpretācijas. Ir svarīgi izvairīties no metodoloģijas, kurā sākotnēji izvēlētais grupējums saņem arvien vairāk punktu par jebkuru līdzību, bet konkurējošās hipotēzes netiek sistemātiski pārbaudītas. Analītiskās disciplīnas mērķis nav garantēt vienu noteiktu atbildi. Mērķis ir padarīt redzamu, kāda informācija atbalsta katru variantu un kuras neatbildētās lietas varētu mainīt vērtējumu.

Īpaši nozīmīgs ir iepriekš definēts pārskatīšanas nosacījums. Ja parādītos jauns neatkarīgs pierādījums, kas pretrunā izvēlētajai atribūcijai, vai sistēma mainītu secinājumu? Ja atbilde nav skaidra, atribūcija drīzāk kļuvusi par dogmu, nevis pārbaudāmu analīzi.

Tālāk piedāvātais modelis ir praktisks autora analītiskais ietvars, nevis oficiāls MITRE vai ODNI standarts. Tā mērķis ir novērst situāciju, kurā automatizācija apsteidz pierādījumu kvalitātes pārbaudi.

Šādu modeli es ieviestu kā posmu ķēdi ar stingriem pārejas nosacījumiem. Sistēma nedrīkstētu automātiski pāriet no tehniskas aktivitāšu grupēšanas uz konkrētas organizācijas vai valsts nosaukšanu tikai tāpēc, ka algoritmā šim variantam ir visaugstākais vērtējums. Atribūcijas apgalvojuma stiprumam jābūt samērīgam ar tā pierādījumu tipu un kvalitāti. Tas ir īpaši svarīgi gadījumos, kad secinājums var tikt izmantots publiskā ziņojumā, regulatoram sniegtā informācijā vai juridiski nozīmīgā dokumentā.

Pirmais scenārijs ir kopīgas uzbrukuma tehnikas. Divi vai vairāki grupējumi dokumentēti kā vienas ATT&CK tehnikas izmantotāji. Automatizētā sistēma, pamatojoties uz šo līdzību, izvēlas vienu no tiem. Skeptiskais jautājums ir, vai izmantotā tehnika vispār ir pietiekami specifiska, lai palīdzētu atšķirt dalībniekus. Otrais scenārijs ir viens pirmavots, daudzi pārpublicētāji. Pieci datu piegādātāji piedāvā vienu un to pašu atribūciju, bet visi atsaucas uz sākotnējo ziņojumu. Ja modelis šos ierakstus skaita kā neatkarīgus pierādījumus, tā pārliecības rādītājs var kļūt nepamatoti augsts.

Trešais scenārijs ir vēsturiska infrastruktūra. Konkrēta IP adrese agrāk bijusi saistīta ar kādu kampaņu, bet vēlāk mainījies tās operators vai izmantošanas konteksts. Ja atribūcija ignorē laiku, veca saite var kļūdaini ietekmēt jaunu incidentu. Ceturtais scenārijs ir iepriekš nezināms dalībnieks. Modelim pieejami tikai zināmi grupējumi, tādēļ tas vienmēr izvēlas līdzīgāko. Skeptiska pārbaude prasa iespēju secināt, ka nav pietiekama pamata jebkuram no zināmajiem nosaukumiem. Piektais scenārijs ir MI radīta cita avota interpretācija. Valodas modelis pārstāsta ziņojumu, kurā apgalvojums formulēts kā iespējama saikne, bet kopsavilkumā tas kļūst par apstiprinātu identitāti. Ja sistēma nesaglabā sākotnējo formulējumu un tā citātu, šāda kļūda var nemanāmi izplatīties visā CTI arhitektūrā.

Šie scenāriji nav tikai teorētiski vingrinājumi. Tie pārbauda dažādas kvalitātes dimensijas: semantiku, pierādījumu neatkarību, laika kontekstu, nenoteiktības pieļaušanu un automatizētas interpretācijas precizitāti.

Iepriekšējā rakstā analizēju, kā zināšanu grafos nodalīt novērojumus, ārēju avotu apgalvojumus, hipotēzes un pārbaudītus secinājumus. Atribūcija ir viens no gadījumiem, kur šāda nodalīšana kļūst īpaši nozīmīga. Grafā var būt novērots tehnisks objekts, ar to saistīts ATT&CK paņēmiens, ārēja pētnieka izteikta atribūcija un pašas organizācijas pārbaudes rezultāts. Šiem elementiem jābūt atšķirīgiem datu objektiem ar skaidri definētām attiecībām. Piemēram, attiecība “lieto tehniku” nenozīmē “ir identisks grupējumam”. Attiecība “pētnieks sasaistījis ar grupējumu” nenozīmē “grupējums neatkarīgi apstiprināts”. Savukārt vairākas atvasinātas atsauces uz vienu avotu nenozīmē vairākus savstarpēji neatkarīgus novērojumus.

Katram atribūcijas apgalvojumam es saglabātu sākotnējo formulējumu, avota identitāti, publikācijas laiku, paša secinājuma laiku, pārliecības kvalifikāciju un atkarību no konkrētiem novērojumiem. Ļoti svarīga ir iespēja secinājumu atsaukt. Ja kļūdaina atribūcija jau ietekmējusi incidentu klasifikāciju vai threat hunting prioritātes, sistēmai jāspēj identificēt atkarīgos lēmumus un ierosināt to pārskatīšanu. Bez šādas funkcijas zināšanu grafs riskē kļūt par kļūdainu pieņēmumu ilgtermiņa glabātuvi.

Viens no neērtākajiem jautājumiem kiberdraudu izlūkošanā ir, vai aizsargājamai organizācijai vispār vienmēr nepieciešams zināt konkrētu grupējuma nosaukumu. Daudzos gadījumos — nē. Ja tiek novērota neatļauta privileģētās piekļuves izmantošana, svarīgi noteikt, kuri konti kompromitēti, kādas darbības veiktas, vai ir saglabāta noturīga piekļuve un kā novērst turpmāko kaitējumu. Šīs darbības nav atkarīgas no tā, vai uzbrucējs nosaukts par grupu X vai Y. Arī ievainojamības labošanas prioritāti bieži vairāk nosaka faktiskā ekspozīcija un ekspluatācijas pierādījumi nekā uzbrucēja publiskais grupējuma nosaukums.

Tomēr atribūcija var būt nozīmīga ilgtermiņa apdraudējuma novērtējumā. Ja ir pietiekami ticama informācija par kampaņas turpināšanos, uzbrucēja darbības mērķiem vai atkārtoti novērotām operacionālām pazīmēm, tā var palīdzēt plānot specifiskas aizsardzības kontroles. Tātad atribūcijas vērtība ir atkarīga no konkrētā lēmuma. Manuprāt, drošības komandai jāspēj paskaidrot, kuru rīcību mainītu attiecīgā uzbrucēja identificēšana. Ja šādas atšķirības nav, grupējuma nosaukuma publicēšana var būt mazāk svarīga par precīzu incidenta tehnisko rekonstrukciju.

Automatizētas atribūcijas vērtēšanā bieži būtu ērti izmantot klasifikācijas precizitāti. Taču arī šāds rādītājs ir atkarīgs no tā, kā noteikta pareizā atbilde. Publiskās kiberdraudu datu kopās grupējumu etiķetes nereti ir pašu pētnieku analītiskie vērtējumi, nevis neatkarīgi juridiski apstiprinātas identitātes. Ja modelis tiek testēts pret tādiem pašiem vērtējumiem, tas var labi atkārtot dominējošo pētniecības taksonomiju, bet ne obligāti droši identificēt faktiskos uzbrucējus. Tāpēc es kvalitātes pārbaudē iekļautu gan tehniskus, gan metodoloģiskus rādītājus.

Nepieciešams noteikt, vai modelis pareizi nošķir zināmas un nezināmas klases, vai tas spēj atturēties no atribūcijas, vai rezultāti mainās, noņemot koplietojamus vai novecojušus indikatorus, un vai katram secinājumam iespējams izsekot avotu vēsturei. Jāpārbauda arī vēsturiska reproducējamība: ko modelis būtu secinājis, izmantojot tikai informāciju, kas bija pieejama konkrētajā datumā? Ja testā tiek izmantoti vēlāk publiskoti fakti, rezultāts neatspoguļo agrākā lēmuma faktisko kvalitāti. Īpaši uzmanīgi jāvērtē precizitāte attiecībā uz mazāk dokumentētiem vai iepriekš nezināmiem uzbrucējiem.

Savukārt publiskiem atribūcijas paziņojumiem es vērtētu arī kļūdainas pozitīvas atribūcijas ietekmi. Nepareizi piedēvēt darbību konkrētai personai, organizācijai vai valstij ir kvalitatīvi atšķirīgs risks no tā, ka iekšējā CTI datubāzē nepareizi klasificēta viena programmatūras saime.

Matrica nav paredzēta absolūtai visu atribūcijas situāciju klasificēšanai. Tās uzdevums ir piesaistīt formulējuma stiprumu konkrēti pieejamajiem pierādījumiem. Svarīgi ir arī tas, ka atribūcijas vērtējums var mainīties. Jaunas ziņas var gan nostiprināt, gan vājināt iepriekšējo secinājumu. Sistēmai un publiskajai komunikācijai šādas izmaiņas jāspēj godīgi atspoguļot.

Ja automatizētas atribūcijas sistēma piešķir uzbrucēja nosaukumu, balstoties uz rīka fragmentu vai infrastruktūras līdzību, vajadzētu pārbaudīt, kas notiek, kad šī pazīme ir apzināti pārņemta vai viltota. Es salīdzinātu secinājumu ar alternatīvu hipotēzi, kurā uzbrucējs izmanto publiski pieejamu rīku, koplietojamu infrastruktūru vai citas grupas taktiku. Ja sistēmas pārliecība nemainās, kaut arī tās galvenais pierādījums kļūst nedrošs, modelis nav pietiekami jutīgs pret pierādījumu kvalitāti. Atribūcijas pārskatā būtu atsevišķi jāparāda novērotās tehniskās pazīmes, to interpretācija, iespējamie neatkarīgie apstiprinājumi un secinājuma institucionālais tvērums. Aizsardzības komandai visbiežāk pietiek ar pārbaudāmiem uzvedības indikatoriem un kontroles uzdevumiem; politiska vai juridiska atbildība prasa citādu pierādījumu līmeni. «Līdzīgs pazīstama grupējuma darbības modelim» nav tas pats, kas «šo uzbrukumu veica attiecīgais grupējums».

Aktuālais MITRE ATT&CK laidiens (2026. gada 13. oktobris)

MITRE 2026. gada 13. oktobrī publicēja ATT&CK v20.0, kas aizstāj iepriekšējo laidienu kā aktuālo katalogu. Tas ir jāatšķir no ATT&CK v18 2025. gada oktobrī ieviestās detektēšanas modeļa pārstrukturēšanas. S10 Atribūcijas modelī jaunam ATT&CK grupējuma, kampaņas vai tehnikas ierakstam nedrīkst automātiski piešķirt pierādījuma spēku par konkrētu incidentu. Katalogs strukturē publiski dokumentētu uzvedību, bet attribution confidence prasa analizēt pašu pierādījumu neatkarību, laiku un alternatīvās hipotēzes.

Atribūcijas ķēdē tehniski līdzīgi notikumi vispirms ir grupēšanas hipotēze, nevis pierādījums par konkrēta cilvēka vai valsts atbildību. Grupējuma nosaukumu datubāzes un ATT&CK modeļa izmaiņas prasa versēšanu, taču jauna kataloga ieraksta parādīšanās pati par sevi nepalielina jau esošu incidenta pierādījumu spēku. Neatkarīgi avoti un alternatīvās hipotēzes ir jāvērtē atsevišķi.

Automatizācija kiberdraudu izlūkošanā var būt ļoti noderīga. Tā palīdz atrast līdzīgus tehniskus notikumus, sasaistīt kampaņas, identificēt iespējamas kopīgas pazīmes un organizēt lielu informācijas apjomu. Taču uzbrucēja atribūcija nav tikai klasifikācijas uzdevums. Tas ir secinājums par iespējamu saikni starp notikumiem, tehniskiem resursiem, operacionālām struktūrām un reizēm arī konkrētiem cilvēkiem vai valstīm. Katram no šiem līmeņiem ir nepieciešama atšķirīga pierādījumu kvalitāte. MITRE ATT&CK sniedz vērtīgu aktivitāšu un uzvedības struktūru, taču tā grupējumu katalogs nav juridisku identitāšu reģistrs. Mandiant publiskā metodoloģija parāda, cik atšķirīgi ir aktivitāšu grupēšanas un cilvēku identificēšanas uzdevumi. Savukārt ICD 203 analītiskie standarti atgādina, ka nenoteiktība un alternatīvie skaidrojumi nav analīzes trūkums, bet tās kvalitātes sastāvdaļa.

Manuprāt, automatizētas atribūcijas sistēmai ir jāspēj izdarīt trīs lietas: pamatot katru būtisko saiti, parādīt to, kas vēl nav zināms, un atteikties no konkrēta uzbrucēja nosaukšanas, ja pierādījumu nepietiek. Ja sistēma vienmēr dod pārliecinošu atbildi, pat tad, kad dati ir pretrunīgi vai nepilnīgi, tā nevis samazina nenoteiktību, bet paslēpj to aiz skaitļa un grupējuma nosaukuma. Savukārt organizācijām, kas faktiski aizsargā sistēmas, būtu jāsaglabā vienkārša prioritāte: vispirms noskaidrot, kas noticis, kā tas bijis iespējams un kā nepieļaut atkārtošanos. Uzbrucēja nosaukums ir vērtīgs tikai tik daudz, cik tas palīdz pieņemt labāku, ar pierādījumiem pamatotu lēmumu.