მთავარი დასკვნა
მოქმედი პირის სახელი და სავარაუდო მოტივი გამოძიებას კონტექსტს ამატებს, მაგრამ პასუხისმგებლობის მიკუთვნებას არ ამტკიცებს. შეამოწმეთ წვდომის, მდგრადი დამკვიდრებისა და მონაცემებთან ურთიერთქმედების მტკიცებულებები.
განასხვავეთ მოქმედი პირები მოტივითა და წვდომით
საფრთხის მოქმედი პირი არის ადამიანი, ჯგუფი ან ორგანიზაცია, რომელიც სისტემის ან მისი მონაცემების წინააღმდეგ მოქმედებს. ფინანსურად მოტივირებული დამნაშავეები, ჯაშუშობის ან სტრატეგიული უპირატესობის მაძიებელი სახელმწიფოსთან დაკავშირებული ჯგუფები, იდეოლოგიურად მოტივირებული ჰაქტივისტები და წვდომის ბოროტად მომხმარებელი ინსაიდერები განსხვავებულ რისკებს ქმნის. ტექნიკური უნარი განზრახვაში არ აგერიოთ: „ჰაკერი“ შეიძლება უნარს აღწერდეს, „საფრთხის მოქმედი პირი“ კი როლსა და მიზანს. ზოგი მოქმედი პირი შეძენილ სერვისებს ან სოციალურ მანიპულაციას ეყრდნობა.
ფინანსური სარგებელი
შემოსავალს ეძებენ თაღლითობით, მოპარული მონაცემების გაყიდვით ან გამოსასყიდის მომთხოვნი პროგრამებით.
ჯაშუშობა და სტრატეგიული მიზნები
გრძელვადიანი წვდომა და ინფორმაციის შეგროვება შეიძლება სახელმწიფო ან პოლიტიკურ მიზნებს ემსახურებოდეს.
იდეოლოგიური მოქმედება და ინსაიდერული რისკი
ჰაქტივისტებმა შეიძლება შეფერხება ან გაჟონვა იდეის გასაპიარებლად გამოიყენონ; ინსაიდერული რისკი შეიძლება განზრახი ან შემთხვევითი იყოს.
APT‑კამპანია დროთა განმავლობაში შეიძლება ფარულად დარჩეს
მოწინავე მდგრადი საფრთხე (APT) აღწერს უნარიან მოწინააღმდეგეს, რომელიც მიზნობრივ, ხანგრძლივ წვდომას ცდილობს და ტერმინი შესაბამისი კამპანიისთვისაც გამოიყენება. დაზვერვა ღირებულ სისტემებსა და წვდომის გზებს ადგენს; საყრდენი წერტილის შენარჩუნება და აქტივობის დამალვა ხანგრძლივ ოპერაციას ემსახურება. საწყისი წვდომა შეიძლება ფიშინგით, მოწყვლადობით ან მიწოდების ჯაჭვის კომპრომეტირებით მოხდეს, რასაც მოჰყვება ანგარიშებსა და მოწყობილობებზე წვდომის გაფართოება, ლეგიტიმური ადმინისტრაციული ხელსაწყოების გამოყენება, ჯაშუშობა და მონაცემების მოპარვა. მთავრობის, ფინანსების, ჯანდაცვის, ტექნოლოგიისა და კრიტიკული სერვისების აქტივებმა შეიძლება ყურადღება მიიპყროს; თითოეულმა ორგანიზაციამ თავისი აქტივების მიხედვით უნდა შეაფასოს საფრთხის წინაშე ყოფნა.
ინციდენტები მტკიცებულებებით დააკავშირეთ და არა მხოლოდ მოტივით
ცნობილი ინციდენტები სხვადასხვა რისკს აჩვენებს. SolarWinds‑ში სანდო მომწოდებლის განახლება მიწოდების გზად იქცა; Colonial Pipeline‑მა გამოსასყიდის მომთხოვნი პროგრამით შეტევის საპასუხოდ მილსადენი გააჩერა. 2010 წელს Anonymous‑თან დაკავშირებულმა პირებმა PayPal‑ზე DDoS‑შეტევა განახორციელეს WikiLeaks‑ის შემოწირულობების ანგარიშის დახურვის გასაპროტესტებლად. ჰაქტივიზმი შეიძლება მოიცავდეს საიტის დამახინჯებას, სერვისის უარყოფას ან მონაცემების გამოქვეყნებას; იდეოლოგიური მიზანი მომხმარებლებისთვის ზიანს არ აქრობს. ერთი ინდიკატორი ან ჯგუფის სახელი საკმარისი არ არის: შეადარეთ კამპანიის მტკიცებულებები, ინფრასტრუქტურა, ქცევა და ინციდენტის სანდო ანალიზი და მიუთითეთ პასუხისმგებლობის მიკუთვნების სანდოობა.
დაცვა ქცევასა და კრიტიკულ აქტივებზე ააგეთ
მხოლოდ მოქმედი პირების სახელების სიებს ნუ დაეყრდნობით. ხილული გახადეთ ანგარიშებისა და მოწყობილობების ნორმალური გამოყენება, გამოიკვლიეთ უჩვეულო შესვლები და ხელსაწყოების გამოყენება, შეზღუდეთ ადმინისტრაციული პრივილეგიები, დაყავით კრიტიკული სისტემები სეგმენტებად და შეინახეთ აღდგენადი სარეზერვო ასლები. კიბერსაფრთხეების შესახებ ინფორმაციას შეუძლია ნადირობა წარმართოს, როდესაც ის დაფიქსირებულ ქცევას შეესაბამება; SOC‑მა ან ინციდენტის გუნდმა უნდა გადაამოწმოს მიგნება, განსაზღვროს ფარგლები და რეაგირების გეგმას მიჰყვეს.