Etykieta obejmuje szeroki zakres motywacji i możliwości, w tym operatorów sponsorowanych państwowo, zorganizowane grupy przestępcze, podmioty stowarzyszone ransomware, haktywistów, osoby z wewnątrz i nisko wykwalifikowanych oportunistów. Aktor zagrożeń może działać samotnie lub w większym ekosystemie dostawców, brokerów dostępu i usługodawców.
Atrybucja to odrębna, zależna od dowodów ocena. Publiczne raporty przypisują aktywność nazwanym grupom z różnym poziomem pewności, konwencje nazewnicze różnią się między organizacjami badawczymi, a infrastruktura i narzędzia są często współdzielone lub imitowane. Analitycy powinni śledzić obserwowane zachowanie i poziomy pewności zamiast traktować publiczną nazwę jako ustalony fakt.
Najważniejsze punkty
Kategorie motywacjiSzpiegostwo, zysk finansowy, zakłócanie, ideologia i oportunizm produkują różne profile celowania, warsztatu i ryzyka dla obrońców.
Dowody atrybucjiPonowne użycie infrastruktury, rodziny złośliwego oprogramowania i narzędzi, wzorce operacyjne, wybory celów, wskazówki językowe lub czasowe oraz potwierdzający wywiad — wszystkie współtworzą obraz i wszystkie mogą być manipulowane.
Zastosowanie obronneProfile aktorów pomagają priorytetyzować taktyki, techniki i procedury do obrony, ale kontrole nie powinny zależeć od poprawnego odgadnięcia, kto atakuje.
Istotne ograniczenieEtykieta aktora zagrożeń nie dowodzi odpowiedzialności, sponsorstwa ani jednego sterującego podmiotu. Współdzielone narzędzia, celowe fałszywe flagi i recyklingowana infrastruktura utrudniają pewną atrybucję, a wnioski obronne wyciągane tylko z etykiety mogą błędnie kierować reakcją.