Analisando Evidências de Atribuição de Campanhas

Visão Geral

A análise de atribuição de campanhas envolve a avaliação sistemática de evidências para determinar qual ator ou grupo de ameaças é responsável por uma operação cibernética. Esta habilidade abrange a coleta e ponderação de indicadores de atribuição usando o Modelo Diamante e ACH (Análise de Hipóteses Concorrentes), analisando sobreposições de infraestrutura, consistência de TTPs, similaridades de código de malware, padrões de tempo operacional e artefatos de linguagem para construir avaliações de atribuição com confiança ponderada.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de evidências de atribuição de campanhas.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com bibliotecas attackcti, stix2, networkx.
• Acesso a plataformas de inteligência de ameaças (MISP, OpenCTI).
• Compreensão do Modelo Diamante de Análise de Intrusão.
• Familiaridade com perfis de grupos de ameaças do MITRE ATT&CK.
• Conhecimento de análise de malware e técnicas de rastreamento de infraestrutura.

Conceitos Chave

Categorias de Evidências de Atribuição

1. Sobreposição de Infraestrutura: Servidores C2 compartilhados, domínios, faixas de IP, provedores de hospedagem.
2. Consistência de TTPs: Técnicas e sub-técnicas do ATT&CK correspondentes entre campanhas.
3. Similaridade de Código de Malware: Bases de código compartilhadas, compiladores, caminhos PDB, rotinas de criptografia.
4. Padrões Operacionais: Horário (horário de trabalho, fusos horários), padrões de segmentação, ritmo operacional.
5. Artefatos de Linguagem: Strings incorporadas, nomes de variáveis, mensagens de erro em idiomas específicos.
6. Vitimização: Consistência do setor alvo, geografia e perfil organizacional.

Níveis de Confiança

• Alta Confiança: Múltiplas categorias de evidências independentes convergem para o mesmo ator.
• Confiança Moderada: Várias categorias de evidências correspondem, alguma ambiguidade permanece.
• Baixa Confiança: Evidências limitadas, possíveis bandeiras falsas ou ferramentas compartilhadas.

Análise de Hipóteses Concorrentes (ACH)

Método analítico estruturado que avalia evidências contra múltiplas hipóteses concorrentes. Cada peça de evidência é pontuada como consistente, inconsistente ou neutra em relação a cada hipótese. A hipótese com o menor número de evidências inconsistentes é favorecida.

Fluxo de Trabalho

Etapa 1: Coletar Evidências de Atribuição

from stix2 import MemoryStore, Filter
from collections import defaultdict

class AttributionAnalyzer:
    def __init__(self):
        self.evidence = []
        self.hypotheses = {}

    def add_evidence(self, category, description, value, confidence):
        self.evidence.append({
            "category": category,
            "description": description,
            "value": value,
            "confidence": confidence,
            "timestamp": None,
        })

    def add_hypothesis(self, actor_name, actor_id=""):
        self.hypotheses[actor_name] = {
            "actor_id": actor_id,
            "consistent_evidence": [],
            "inconsistent_evidence": [],
            "neutral_evidence": [],
            "score": 0,
        }

    def evaluate_evidence(self, evidence_idx, actor_name, assessment):
        """Avalia a evidência contra uma hipótese: consistente/inconsistente/neutra."""
        if assessment == "consistent":
            self.hypotheses[actor_name]["consistent_evidence"].append(evidence_idx)
            self.hypotheses[actor_name]["score"] += self.evidence[evidence_idx]["confidence"]
        elif assessment == "inconsistent":
            self.hypotheses[actor_name]["inconsistent_evidence"].append(evidence_idx)
            self.hypotheses[actor_name]["score"] -= self.evidence[evidence_idx]["confidence"] * 2
        else:
            self.hypotheses[actor_name]["neutral_evidence"].append(evidence_idx)

    def rank_hypotheses(self):
        """Classifica as hipóteses por pontuação de atribuição."""
        ranked = sorted(
            self.hypotheses.items(),
            key=lambda x: x[1]["score"],
            reverse=True,
        )
        return [
            {
                "actor": name,
                "score": data["score"],
                "consistent": len(data["consistent_evidence"]),
                "inconsistent": len(data["inconsistent_evidence"]),
                "confidence": self._score_to_confidence(data["score"]),
            }
            for name, data in ranked
        ]


…