Eticheta acoperă o gamă largă de motivații și capabilități, inclusiv operatori sponsorizați de stat, grupuri criminal organizate, afiliați ransomware, hacktiviști, insideri și oportuniști cu abilități reduse. Un actor de amenințare poate acționa singur sau poate opera într-un ecosistem mai larg de furnizori, brokeri de acces și furnizori de servicii.
Atribuirea este o apreciere separată, dependentă de dovezi. Raportarea publică atribuie activitatea unor grupuri numite cu grade variabile de încredere, convențiile de denumire diferă între organizațiile de cercetare, iar infrastructura și uneltele sunt frecvent partajate sau imitate. Analiștii trebuie să urmărească comportamentul observat și nivelurile de încredere, nu să trateze un nume public ca fapt stabilit.
Puncte esențiale
Categorii de motivațieSpionajul, câștigul financiar, perturbarea, ideologia și oportunismul produc țintire, tradecraft și profiluri de risc diferite pentru apărători.
Dovezi de atribuireReutilizarea infrastructurii, familiile de malware și instrumente, tiparele operaționale, alegerile de țintire, indiciile de limbă sau moment și informațiile coroborative despre amenințări contribuie toate — și toate pot fi manipulate.
Utilizare defensivăProfilurile actorilor ajută la prioritizarea tacticilor, tehnicilor și procedurilor împotriva cărora să vă apărați, dar controalele nu trebuie să depindă de ghicirea corectă a cine atacă.
Limitare importantăO etichetă de actor de amenințare nu dovedește responsabilitatea, sponsorizarea sau o singură entitate de control. Instrumentele partajate, false flag-urile deliberate și infrastructura reciclată îngreauă atribuirea cu un grad ridicat de încredere, iar concluziile defensive trase doar din etichetă pot directiona greșit răspunsul.