Popisuje cíl a sběrnou aktivitu, nikoli jedinou rodinu malwaru či důkaz státního sponzorství. Kampaně často prioritizují utajení a trvalý přístup, protože objevení může ukončit jejich zpravodajskou hodnotu.
Operátoři mohou používat phishing, ukradené přihlašovací údaje, softwarové zranitelnosti, vztahy důvěry nebo přístup dodavatelského řetězce k dosažení e-mailu, cloudových služeb, výzkumu, návrhů, jednání či vládních informací. Totéž vniknutí může také připravovat pozdější narušení, krádež či ovlivňování, takže obránci by měli vyšetřovat pozorovaný přístup a záměr, aniž by předpokládali, že sběr je jediný cíl.
Klíčové body
Prioritní aktivaIdentifikujte informace, jejichž ztráta by ovlivnila národní zájmy, jednání, bezpečnost, výzkum, duševní vlastnictví, tržní pozici či budoucí operace, a mapujte identity a systémy, které je mohou dosáhnout.
Detekce a vymezeníKorelujte důkazy identit, koncových zařízení, sítě, cloudu, přístupu k datům a exfiltrace v čase; sběr v malém objemu může být relevantnější než hlučné výstrahy malwaru.
Snížení rizikaAplikujte princip nejmenších oprávnění, silnou autentizaci, segmentaci, zabezpečenou správu, kontroly dodavatelů, chráněné logování, řízení dat a nacvičenou reakci kolem nejzávažnějších cest informací.
Důležité omezeníTechniky asociované se špionáží jsou používány také pro zločin a správu systémů. Podobné nástroje, infrastruktura či cíle samy o sobě nezakládají motiv, sponzora, řízení ani atribuci.