Attribution and its Limitations

L'attribution est la détermination d'une cause ou d'une origine d'action. Dans le domaine de la cybersécurité, nous sommes particulièrement préoccupés par ce problème lorsque des acteurs malveillants sont en jeu, et nous devons déterminer qui, quoi ou où une cyberviolation ou une intrusion s'est produite. L'attribution ne vise pas uniquement à rejeter la faute, mais aussi à recueillir des informations. Un nouvel utilisateur peut provoquer par inadvertance une défaillance du système, ce qui serait attribué à un manque d'expérience plutôt qu'à un acte malveillant.

Attribution automatique

Attribuer une cyberactivité malveillante à une machine ou à plusieurs machines reviendrait à identifier la ou les machines utilisées lors d'une attaque. Cela nécessite généralement d'examiner des éléments tels que l'adresse IP, les fichiers journaux qui documentent ce qui se passe sur le réseau, les personnes qui se sont connectées à la machine. Nous avons donc pu découvrir que la machine d'Azleon a été utilisée lors d'une attaque, mais trouver une piste menant à la machine de Jupiter qui était le point d'origine de l'attaque. Il peut y avoir plusieurs machines sur une piste. L'adresse IP peut se trouver dans un autre pays ou nécessiter une enquête plus approfondie. Si l'adresse IP renvoyait à Azleon, les forces de l'ordre pourraient saisir cette machine à des fins d'enquête.

Attribution humaine

Attribuer l'activité malveillante à un être humain revient à découvrir l'identité de la ou des personnes responsables de l'activité, c'est-à-dire de ceux qui ont appuyé sur les touches. La criminalistique technique qui examine les données laissées sur place peut ne pas être très utile. Les informations d'identification peuvent pointer vers une seule personne, mais il se peut qu'il ne s'agisse pas de la personne qui a physiquement exécuté l'attaque. Des informations d'identification sont volées ou des machines sont compromises. Les moyens techniques peuvent ne pas être suffisants pour identifier la personne concernée, car les données collectées devraient être comparées à une base de données pour correspondre à une identité. La qualité de la base de données dépend donc de la qualité de la base de données. Si vous pouvez identifier le responsable, il est essentiel de savoir pourquoi cela a été commis et si d'autres parties étaient impliquées.

Attribution responsable en fin de compte

Le fait d'attribuer cette activité malveillante à la partie responsable en dernier ressort répond à la question de savoir qui est responsable. L'acteur travaillait-il seul et pleinement responsable ou travaillait-il pour le compte d'une organisation ou d'un État-nation ? Le « pourquoi » est souvent un facteur plus important à cet égard, car les gens peuvent être contraints de commettre ces actes ou se trouver dans une situation qu'ils estiment ne pas pouvoir refuser. Les forces de l'ordre peuvent décider de poursuivre un individu ou une nation peut décider d'engager des discussions diplomatiques avec le pays fautif, puis attribuer cela à une organisation et engager des poursuites, voire prendre des mesures de représailles.

Comme vous pouvez le constater, le processus d'attribution peut être difficile et compliqué, d'autant plus lorsqu'il est facile d'utiliser des proxys dans d'autres pays. Ensuite, pour exiger des enquêtes plus approfondies et plus longues, il faudra renforcer la coopération avec d'autres agences.

Attribution

Indicateurs clés d'attribution

• Tradecraft — Comportements fréquemment utilisés, tels que les techniques, les outils et les procédures utilisés par un attaquant pour mener des cyberattaques.
• Infrastructure : machines physiques ou réseaux utilisés lors de l'attaque ; ils sont souvent compromis par d'autres moyens avant l'attaque.
• Malwares : les malwares peuvent être spécifiques à un acteur de la menace ; ils peuvent être réutilisés ou modifiés rapidement si une compromission est suspectée afin d'éviter toute attribution.
• Intention — L'intention qui sous-tend l'attaque, la motivation ou le raisonnement.
• Sources externes : rapports externes provenant d'organisations telles que des entreprises de cybersécurité, des médias et même des étudiants.

Techniques d'attribution cybernétique

Les enquêteurs utilisent de nombreux outils et programmes différents pour révéler des informations sur les attaques. À titre d'exemple, prenons l'exemple d'une entreprise basée aux États-Unis qui a été attaquée par un logiciel malveillant. Cela a été écrit dans une langue non maternelle, l'alphabet cyrillique. Ces informations peuvent être utilisées par les professionnels de la sécurité pour identifier les acteurs à l'origine de ces informations. Si le malware lui-même est écrit avec des références en cyrillique, des acteurs russes pourraient être impliqués.

Certains acteurs de la menace, en fonction de leurs intentions et de leurs motivations, peuvent vouloir être reconnus pour leurs attaques. Cela peut par exemple inclure la prise intentionnelle d'empreintes digitales de fichiers malveillants, la définition de noms de fichiers spécifiques lors d'attaques, l'établissement de connexions à partir d'adresses IP ou de domaines précédemment liés à l'acteur, et l'utilisation de logiciels malveillants personnalisés non utilisés par aucun autre groupe.

Problèmes liés à l'attribution

L'une des principales difficultés de l'analyse des données issues d'attaques est de déterminer ce qui peut être fiable. Les métadonnées telles que les adresses IP sources, les données de courrier électronique, les noms de domaine, les noms d'utilisateur et les données d'enregistrement peuvent toutes être utiles. Néanmoins, elle peut être truquée, par le biais de proxys et en utilisant d'autres cibles compromises pour mener à bien l'attaque. Le navigateur TOR peut améliorer l'anonymat des acteurs malveillants et crypte automatiquement le trafic.

Les acteurs de la menace peuvent choisir de partager leur infrastructure afin de rendre plus difficile l'attribution à un seul groupe, ou d'utiliser des malwares classiques ou des techniques traditionnelles pour empêcher l'identification à l'aide d'outils ou de techniques uniques. Les attaques Copy-Cat peuvent se produire lorsqu'un acteur malveillant utilise les mêmes outils et techniques qu'un autre acteur pour tenter de faire croire aux chercheurs et aux analystes du renseignement sur les menaces que l'attaque a été menée par l'autre groupe.

Vous vous souvenez de notre exemple d'une entreprise américaine victime d'un logiciel malveillant contenant des phrases russes ? Cela aurait pu être conçu par des acteurs de la menace d'un autre pays dans le but d'induire en erreur les analystes et les chercheurs !