A címke a motivációk és képességek széles körét fedi le: államilag támogatott üzemeltetők, szervezett bűnözői csoportok, zsarolóprogram-partnerek, hacktivisták, belső szereplők és alacsony képzettségű opportunisták egyaránt. A fenyegetési szereplő egyedül cselekedhet, vagy beszállítókból, hozzáférés-brókerekből és szolgáltatókból álló nagyobb ökoszisztémában működhet.
Az attribúció külön, bizonyítékfüggő megítélés. A nyilvános jelentések eltérő bizonyossággal kötik a tevékenységet megnevezett csoportokhoz, az elnevezési konvenciók kutatószervezetenként különböznek, és az infrastruktúrát és eszközöket gyakran megosztják vagy utánozzák. Az elemzőknek a megfigyelt viselkedést és a bizonyossági szinteket kell követniük ahelyett, hogy a nyilvános nevet megállapított tényként kezelnék.
Legfontosabb pontok
Motivációs kategóriákA kémkedés, a pénzügyi nyereség, a zavarás, az ideológia és az opportunizmus eltérő célzást, módszertant és kockázati profilt jelent a védekezőknek.
Attribúciós bizonyítékokAz infrastruktúra-újrafelhasználás, a kártevő- és eszközcsaládok, a működési minták, a célzásbeli választások, a nyelvi vagy időzítési nyomok és a megerősítő felderítés mind hozzájárulnak — és mind manipulálhatók.
Védelmi felhasználásA szereplőprofilok segítenek priorizálni, mely taktikákra, technikákra és eljárásokra kell védekezni, de a kontrollok nem függhetnek a támadó helyes kitalálásától.
Fontos korlátA fenyegetésiszereplő-címke nem bizonyít felelősséget, támogatottságot vagy egyetlen irányító entitást. A megosztott eszközök, a szándékos false flag-ek és az újrahasznosított infrastruktúra megnehezítik a magabiztos attribúciót, és a címkéből levont védelmi következtetések félrevezethetik a reagálást.