Označení pokrývá široké spektrum motivací a schopností, včetně státem sponzorovaných operátorů, organizovaných zločineckých skupin, afiliantů ransomwaru, hacktivistů, insiderů a málo kvalifikovaných oportunistů. Aktér hrozeb může jednat samostatně nebo operovat uvnitř většího ekosystému dodavatelů, brokerů přístupu a poskytovatelů služeb.
Atribuce je samostatný, na důkazech závislý úsudek. Veřejné zprávy připisují aktivitu pojmenovaným skupinám s různou mírou jistoty, konvence pojmenování se mezi výzkumnými organizacemi liší a infrastruktura a nástroje jsou často sdíleny nebo napodobovány. Analytici by měli sledovat pozorované chování a úrovně jistoty, místo aby považovali veřejné jméno za ustálený fakt.
Klíčové body
Kategorie motivaceŠpionáž, finanční zisk, narušení, ideologie a oportunismus produkují různé cílení, postupy a profily rizika pro obránce.
Důkazy atribuceZnovupoužití infrastruktury, rodiny malwaru a nástrojů, operační vzory, volby cílení, jazykové či časové stopy a potvrzující zpravodajství — vše přispívá, a vše může být manipulováno.
Obranné využitíProfily aktérů pomáhají prioritizovat, kterým taktikám, technikám a postupům čelit, ale kontroly by neměly záviset na správném uhodnutí, kdo útočí.
Důležité omezeníOznačení aktéra hrozeb nedokazuje odpovědnost, sponzorství ani jedinou řídicí entitu. Sdílené nástroje, záměrné falešné vlajky a recyklovaná infrastruktura činí jistou atribuci obtížnou a obranné závěry vyvozené pouze z označení mohou reakci misrovat.