Opisuje cel i działanie zbierania, a nie konkretną rodzinę złośliwego oprogramowania czy dowód sponsorstwa państwowego. Kampanie często priorytetyzują skrytość i trwały dostęp, bo wykrycie może zakończyć ich wartość wywiadowczą.
Operatorzy mogą używać phishingu, skradzionych poświadczeń, podatności oprogramowania, zaufanych relacji lub dostępu przez łańcuch dostaw, by sięgnąć do poczty, usług chmurowych, badań, projektów, negocjacji lub informacji rządowych. Ta sama intruzja może też przygotowywać późniejsze zakłócanie, kradzież lub wpływ, więc obrońcy powinni badać zaobserwowany dostęp i zamiar, nie zakładając, że zbieranie jest jedynym celem.
Najważniejsze punkty
Priorytetowe zasobyZidentyfikuj informacje, których utrata wpłynęłaby na interesy państwowe, negocjacje, bezpieczeństwo, badania, własność intelektualną, pozycję rynkową lub przyszłe operacje, i zmapuj tożsamości oraz systemy mogące do nich sięgać.
Detekcja i określanie zakresuKoreluj dowody tożsamości, punktów końcowych, sieci, chmury, dostępu do danych i eksfiltracji w czasie; ciche zbieranie małej objętości może być bardziej istotne niż hałaśliwe alerty złośliwego oprogramowania.
Redukcja ryzykaStosuj minimalne uprawnienia, silne uwierzytelnianie, segmentację, bezpieczną administrację, kontrole dostawców, chronione logowanie, zarządzanie danymi i przećwiczoną reakcję wokół najbardziej znaczących ścieżek informacji.
Istotne ograniczenieTechniki związane ze szpiegostwem są używane też do przestępczości i administracji systemowej. Podobne narzędzia, infrastruktura lub cele same nie ustalają motywu, sponsora, kierowania ani atrybucji.