NA
Но вот давайте еще раз. Я тут не поспорить пришел, а спросить что можно почитать по этой теме.
Size: a a a
2021 July 30
NA
"ничего нет, читай гугол" - тоже будет понятным ответом
B
ключевое слово при атрибуции: UMBRAGE. Впервые про это Wikileaks написал, а потом уже статьи пошли https://securityaffairs.co/wordpress/56983/intelligence/wikileaks-vault7-cia-umbrage-team.html
AD
А цель какая? Идентифицировать человека написавшего ВПО? Так он мог его написать на заказ и ни разу сам не использовать. Идентифицировать группировку? Ну это вроде делают уже, по тем же тактикам и техникам, используемой инфраструктуре и тд. Идентифицировать страну? Тут вообще сложно, есть конечно государственные, они вероятно не выезжают из страны, а вот частники могут свободно перемещаться по разным странам, сегодня получается будет одна страна атаковать при такой атрибуции, а завтра другая, люди при этом одни и те же.
NA
Ок, упростим. Сфокусируемся на принадлежности к группировке.
NA
TTP - это достаточно для атрибуции?
NA
Цель простая - понять на основе чего сейчас проводится атрибуция и какую достоверность дает каждый их параметров атрибуции.
NA
Спасибо, почитаю.
2021 July 31
AL
AL
Посмотри еще Q Model Рида и Буханана
AL
Или фреймворк по атрибуции от Эндрю Гротто
NA
Супер! Огромное спасибо!
B
Интересное выступление было у ЛК на RSA про то почему нельзя доверять атрибуции и почему ее они не делают https://published-prd.lanyonevents.com/published/rsaus17/sessionsFiles/5001/HT-W11-Hello-False-Flags-The-art-of-deception-in-targeted-attack-attribution.pdf на русском языке я такую презентацию не видел
2021 August 02
AL
Ну для начала стоило бы определиться с термином атрибуция, так как он понимается всеми по-разному. На видео, ссылку на которое я давал выше, Сергей Голованов говорит, что назвать конкретное физлицо или государство, стоящее за атакой, нормальный специалист по ИБ не возьмется, так как это может сделать только суд. А вот назвать группировку или пользователя - вполне возможно по набору атрибутов
$
В презе выше - как раз про группировки
AL
Именно. Группировки ЛК вполне себе атрибутирует, как и многие другие ИБ-компании. А вот атрибутировать государство или спецслужбу - нет. И ЛК от этого открещивается. И по ссылке Дениса как раз об этом и говорилось на RSAC.
AL
Еще нашел видео - там есть ссылки на пару других проектов по атрибуции - WOMBAT и от DARPA - https://www.youtube.com/watch?v=32JCSrD9u-0
NA
СУПЕР-СПАСИБО!!!!!! Буду погружаться!!!
VK
В общем погружайся, но пока остаешься в кибер-пространстве - это более менее решаемая задача и то с кучей исключений, допустим это и это одной группы