Come possono i servizi di intelligence essere così sicuri che la Russia sia il colpevole? [chiuso]

Questo è quasi un dupe di come fanno le organizzazioni a controllare cosa è stato violato? Mentre quella domanda si occupa di svelare che , stai chiedendo di sbrogliare come e da chi .

What other possibilities are there to identify an attacker, when he knows his business and is hiding his IP/Info and not making stupid mistakes?

Ci sono molte possibilità. C'è un lotto in più per rimanere non attribuiti che "non fare errori stupidi"! è giusto dire che qualsiasi attore dell'APT (stato-nazione) verrà attribuito, alla fine, da qualsiasi difensore di livello nazionale. La Difesa nazionale ottiene più risorse di quante, ad esempio, stai cercando di capire chi ha approfittato del tuo Yahoo! le credenziali.

Se leggi l'elenco delle misure forensi che possono essere intraprese, i metodi di backtracking si basano su tutti i bit di dati, ognuno dei quali è un piccolo pezzo del puzzle.

Dati con cui inizierai:

• Indirizzi IP utilizzati nell'attacco
• Strumenti di attacco utilizzati nell'attacco e lasciati sui server di destinazione
• Tempi di attività (come dici tu, non conclusivi, ma un pezzo del puzzle)

Per citare la Bibbia, "Dai loro frutti li riconoscerai". I gruppi avanzati di hacking costruiscono i propri strumenti specializzati, a volte usano gli stessi IP per instradarsi da soli e mostrano una coerenza sufficiente nei tempi di attività per compensarli da altri gruppi avanzati.

Alcune di queste cose possono diventare davvero grintose. Singoli attori sono stati identificati personalmente perché il loro nome utente è stato incorporato in una directory che è stata incorporata in un file compilato dall'origine che ha fatto riferimento a tale directory. Piccole stringhe trovate in un set di file sono state sufficienti a legare insieme quell'attacco con un altro che aveva anche le stesse stringhe di firma.

A livello nazionale, le persone che stanno lavorando per difendere e investigare hanno accesso a una quantità enorme di pezzi del puzzle e possono usarli per attribuire le azioni. Potrebbero sapere che l'attacco XYZ, per esempio, è stato palesemente legato alla Russia, e che l'attacco QRS ha una significativa sovrapposizione di indicatori. Basta sovrapposizioni? Concludono che il QRS era anche legato alla Russia.

Se sei interessato a vedere di più su come è fatto, io strongmente consiglio di leggere Mandiant's "APT1: Exposing One of Cyber-Spionage Units"

Questo è come qualsiasi esercizio di investigazione forense. Gli attaccanti lasciano tracce. Questi possono a volte essere correlati alle prove lasciate indietro in altri attacchi. L'ora del giorno potrebbe non sembrare molto, ma se proviene dallo stesso blocco di tempo ogni giorno, potrebbe non essere una coincidenza. Gli strumenti di hacking lasciati indietro possono avere risorse utente in linguaggio nativo, nomi di percorsi di directory personalizzati o timestamp coerenti con altri attacchi riconoscibili con fusi orari simili. Spesso gli strumenti sono personalizzati e lasciano impronte digitali uniche.

Se sei un'organizzazione come la NSA, probabilmente non obbedisci alle regole contro il contraffazione.

Più risorse hai, più prove otterrai dall'analisi forense. L'NSA è piuttosto bravo.