Francis Guibernau, Starszy Inżynier Badań Wrogich w AttackIQ – Seria Wywiadów

Francis Guibernau jest Starszym Inżynierem Badań Wrogich i członkiem Zespołu Badań Wrogich (ART) w AttackIQ. Francis prowadzi dogłębne badania i analizy zagrożeń w celu zaprojektowania i stworzenia wysoko zaawansowanych i realistycznych emulacji wrogich. Nadzoruje również projekt Cyber Threat Intelligence (CTI), który koncentruje się na badaniu, analizie, śledzeniu i dokumentowaniu wrogów, rodzin malware oraz incydentów bezpieczeństwa cybernetycznego. Francis ma rozległe doświadczenie w wywiadzie wroga, obejmujące zarówno zagrożenia państwowe, jak i eCrime, a także w ocenie i zarządzaniu podatnościami, mając wcześniej pracował w Deloitte i BNP Paribas.

AttackIQ to firma cyberbezpieczeństwa, która umożliwia organizacjom wyjście poza założenia dotyczące ich obrony i przechodzenie do ciągłej, opartej na danych weryfikacji. Poprzez emulację taktyki wrogów przy użyciu modelu MITRE ATT&CK oraz oferowanie zautomatyzowanego, bezpiecznego testowania w środowiskach chmurowych, hybrydowych i lokalnych, firma pomaga ujawniać luki w zabezpieczeniach, procesach i ludziach — umożliwiając liderom priorytetowanie naprawy, uzasadnianie inwestycji i przechodzenie od reaktywnej odpowiedzi na cyberzagrożenia do proaktywnej odporności.

Jak zostałeś częścią branży cyberbezpieczeństwa, i dlaczego zdecydowałeś się specjalizować w Cyber Threat Intelligence? Jak CTI ukształtowało twoje rozumienie ewolucji zagrożeń w obu ekosystemach państwowych i przestępczych?

Moja ścieżka do branży cyberbezpieczeństwa nie była zaplanowana; stało się to przez okazję, a nie projekt. Zaczęło się, gdy dołączyłem do dojrzałej organizacji cyberbezpieczeństwa, gdzie pracowałem w dwóch kluczowych obszarach: Ocena i Zarządzanie Podatnościami oraz Cyber Threat Intelligence (CTI). Przez Zarządzanie Podatnościami zdobyłem perspektywę obrońcy — zapewniając, że systemy były odpowiednio utrzymane, załatane i odporne na ataki. W ramach CTI przyjąłem mentalność atakującego, analizując ich motywacje, cele i możliwości. To jest miejsce, w którym stałem się głęboko zaznajomiony z ramą MITRE ATT&CK, którą wykorzystywałem do dokumentowania taktyk, technik i procedur wrogich oraz definiowania ich podręczników operacyjnych.

Ten podwójny doświadczenie dało mi kompleksowe zrozumienie, jak obrońcy i atakujący взаимодействują w ciągle ewoluującym ekosystemie. CTI szybko stało się moją osobistą pasją. Jego strategiczny cel, którym jest zrozumienie, jak wrogowie działają, ewoluują i wpływają na siebie nawzajem, wydawał się niemal przeznaczony. Cieszę się, że mogę nadal pracować w tej dziedzinie, obserwując i analizując rosnącą złożoność globalnego pejzażu zagrożeń, gdzie państwowe i eCrime wrogowie, pomimo ich odrębnych motywacji, coraz częściej nachodzą na siebie i kształtują wzajemnie swoje operacje.

Spójrzając wstecz, jaki konkretny projekt lub doświadczenie oznaczało punkt zwrotny w twojej karierze i ukształtowało twoją perspektywę w cyberbezpieczeństwie? 

Kluczowy moment nastąpił, gdy zacząłem badać i dokumentować TTP wrogów i malware, które wykrywają i unikają kontrolowanych środowisk. To stało się podstawą dla projektu badawczego “Environment Awareness“, który przeprowadziłem z moim kolegą i przyjacielem Ayelen Torello, z którym teraz mam okazję pracować obok w AttackIQ. Nasze badania koncentrowały się na katalogowaniu różnych metod, których wrogowie używają do rozpoznania i uniknięcia sandboxowanych lub wirtualizowanych środowisk, pozwalając im pozostać niewykrytymi podczas zautomatyzowanej analizy. Wynikowy raport został później przyjęty jako podstawa do techniki „T1497 – Virtualization/Sandbox Evasion” w ramie MITRE ATT&CK.

Podczas tego dochodzenia byłem świadkiem ciągłej ewolucji wrogów, z ich ładunkami stającymi się coraz bardziej zaawansowanymi i ich zdolnością do uniknięcia systemów wykrywania automatycznego, zwiększając ich szanse na pomyślne naruszenie rzeczywistych celów. To doświadczenie fundamentalnie ukształtowało moje zrozumienie adaptacyjności wrogów i ciągłego cyklu innowacji, który definiuje nowoczesne zagrożenia.

Od czasu dołączenia do AttackIQ w 2021 roku jako Inżynier Badań Wrogich i kierowania utworzeniem inicjatywy Cyber Threat Intelligence, jak twoje odpowiedzialności ewoluowały, i jak balansujesz koordynację projektu CTI, strategiczne badania zagrożeń i rozwój emulacji wrogich? 

Budowanie programu Cyber Threat Intelligence (CTI) w AttackIQ było złożonym zadaniem. Musieliśmy osiągnąć widoczność w szerokim spektrum zagrożeń szybko. Jako dostawca usług nasza uwaga nie mogła być ograniczona do jednego sektora, regionu lub państwa. Zamiast tego wymagaliśmy bazy wiedzy obejmującej zarówno wrogów, od państwowych do grup eCrime, jak i malware, od komercyjnych do rodzin wytworzonych na zamówienie. Gdy podstawa została ustanowiona, zaczęliśmy koncentrować się na tym, co nazywam “Ciężarowcami”: wysoko aktywnymi i wpływowymi podmiotami, które wpływają na wiele sektorów, regionów i państw. Ten podejście pozwala nam priorytetowo traktować zagrożenia najbardziej istotne dla naszej bazy klientów.

Biorąc pod uwagę dynamiczny pejzaż zagrożeń, balansowanie zbierania wywiadu, analizy zagrożeń i emulacji wrogich jest z natury złożone. Każdy typ emulacji przedstawia odrębne wyzwania. Z jednej strony, emulacje państwowe są zwykle wysoko zaawansowane, dostosowane do konkretnych celów, charakteryzujące się przedłużonym czasem pozostawania i napędzane motywacjami politycznymi. Odtworzenie ich zachowania wymaga głębokiej analizy, cierpliwości i precyzji, czyniąc je intelektualnie wymagającymi i satysfakcjonującymi do emulacji. Z drugiej strony, emulacje eCrime są dynamiczne i oportunisticzne. Ci wrogowie wprowadzają nowe techniki, działają z krótszym czasem pozostawania i często wpływają na wiele sektorów i regionów. Ich użycie udostępnionych, gotowych do użycia narzędzi i komercyjnego oprogramowania szkodliwego, z nakładającymi się TTP między grupami, sprawia, że ich podręczniki są dynamiczne i fascynujące do odtworzenia.

Uderzanie w odpowiednią równowagę jest procesem strategicznym. Wyrównujemy priorytety badań i emulacji z wymaganiami klientów i globalnymi rozwojami, w tym napięciami geopolitycznymi, nowo ujawnionymi krytycznymi podatnościami oraz zaleceniami międzynarodowych organizacji, takich jak Cybersecurity and Infrastructure Security Agency (CISA) i National Cyber Security Centre (NCSC). Ostatecznie ta praca jest wysiłkiem zespołowym. Zespół Badań Wrogich (ART) składa się z niezwykle utalentowanych osób, których wkład sprawia, że realistyczne i bezpieczne emulacje są możliwe. CTI jest tylko częścią procesu; transformowanie wywiadu w autentyczne, kontrolowane emulacje jest złożonym wyzwaniem, które wymaga współpracy, precyzji i wspólnego zaangażowania.

W ramach Zespołu Badań Wrogich w AttackIQ, jak jest zorganizowane badanie i jak są priorytetowe, i jakie są największe wyzwania w tłumaczeniu spostrzeżeń z wywiadu zagrożeń na działające emulacje wrogie?

Kilka czynników wpływa na to, jak priorytetujemy badania w Zespole Badań Wrogich w AttackIQ. Nasz podstawowy cel to emulowanie wrogów, którzy stanowią największe ryzyko dla największego segmentu naszych klientów, zapewniając, że zasoby są zoptymalizowane i skoncentrowane na zagrożeniach o szerokim wpływie przed zajmowaniem się bardziej szczegółowymi.

Ten zakres obejmuje zarówno wrogów, jak i rodziny malware obserwowane w dzikiej przyrodzie. Ciągle śledzimy szeroki zakres podmiotów, z priorytetami napędzanymi potrzebami operacyjnymi, a nie dyrektywami. Pojawiające się zagrożenia często powodują szybką repriorytetację. Eskalujące napięcia geopolityczne, zwiększone raportowanie na temat określonej i krytycznej podatności lub skoncentrowane zalecenia CERT szybko podnoszą te tematy do góry kolejki.

Jednym z naszych podstawowych wyzwań jest utrzymanie spójnej priorytetacji i balansowanie zasobów, aby dostarczyć realistyczne i zaawansowane emulacje, jednocześnie zapewniając wydajność i skalowalność w całym cyklu rozwoju. Kładziemy silny nacisk na rozwijanie szerokich, wielokrotnego użytku zachowań. Poprzez identyfikację wspólnych cech między wrogami i rodzinami malware, koncentrujemy się na replikowaniu technik i procedur, które pojawiają się konsekwentnie w wielu podręcznikach. Mogą one następnie zostać dostosowane i zintegrowane z innymi emulacjami, umożliwiając większą elastyczność i skalowalność. Ten podejście pozwala nam priorytetowo traktować zachowania o wysokiej wielokrotności i operacyjnej istotności, a nie inwestować ciężko w wąskie, jednorazowe implementacje. Stała produkcja, dostarczanie elastycznych, ukierunkowanych i znaczących emulacji.

W Twoim niedawnym badaniu RomCom, jakie były kluczowe punkty zwrotne, które wpłynęły na jego transformację z podstawowego backdoora w wszechstronną platformę wspierającą zarówno szpiegostwo, jak i ekstorsję finansową, i pod jakimi okolicznościami malware przechodzi z samodzielnego ładunku w pełnoprawną platformę? 

Przypadek RomCom jest szczególnie fascynujący, ponieważ po raz pierwszy pojawił się w maju 2022 roku jako dość prosty backdoor zaprojektowany głównie do zdalnego dostępu i podstawowej eksfiltracji danych. Pierwszy znaczący punkt zwrotny nastąpił zaledwie miesiąc później z wydaniem RomCom 2.0, które wprowadziło znaczne usprawnienia, odzwierciedlające bardziej dojrzały, ukierunkowany na stealth zestaw narzędzi zoptymalizowany do operacji szpiegowskich i długoterminowej trwałości. Te aktualizacje znacznie poprawiły możliwości zbierania i eksfiltracji danych, sygnalizując wyraźny zwrot ku bardziej strategicznemu przypadku użycia.

Następny punkt zwrotny nastąpił z wprowadzeniem RomCom 3.0 w lutym 2023 roku, które przyjęło modułową architekturę zorganizowaną w trzy podstawowe komponenty. Reprezentowało to znaczny skok w elastyczności i funkcjonalności, wspierając 42 odrębne polecenia, z których wiele było subtelnymi wariacjami siebie, podkreślającymi focus operatora na elastyczność i operacyjne doskonalenie.

Późniejsze wersje koncentrowały się na udoskonalaniu możliwości i zwiększaniu operacyjnej wytrzymałości. Z czasem RomCom ewoluował z backdoora zaprojektowanego do komodity malware wykorzystywanej przez grupy eCrime do polywalentnej platformy, która umożliwia różnorodne operacje przestępcze. Jego integracja z rodzinami ransomware, takimi jak Cuba, Industrial Spy i Underground, wyraźnie wskazywała na to, że stał się częścią szerszego ekosystemu wroga jako współdzielona infrastruktura. To szerokie przyjęcie nieuchronnie przyciągnęło uwagę państwowych wrogów, szczególnie tych związanych z rosyjskimi interesami, którzy zaczęli wykorzystywać RomCom jako wszechstronną platformę wspierającą szpiegostwo i wpływ geopolityczny.

Ta konwergencja potwierdziła naszą ocenę, że granice między eCrime a państwowymi wrogami stają się coraz bardziej rozmyte. Transformacja z samodzielnego ładunku w pełnoprawną platformę następuje dokładnie na tym skrzyżowaniu, gdy zaczyna być wykorzystywana do zaawansowanych, strategicznych i intangible celów, które wykraczają poza oportunizm lub zysk finansowy. W tym momencie przestaje służyć jednemu taktycznemu celowi i zamiast tego umożliwia wiele, czasem sprzecznych, operacyjnych celów. To sugeruje, że operatorzy traktują ładunek jako wielokrotnego użytku infrastrukturę, a nie zaprojektowany cel.

Ty również obserwowałeś coraz bardziej rozmyte granice między działalnością państwową a eCrime wrogami. Z Twojej perspektywy, jakie są główne czynniki stojące za tą konwergencją, i jak obrońcy powinni myśleć inaczej, gdy oceniają atrybucję i motywację w tych przypadkach? 

Konwergencja między państwowymi a eCrime operacjami jest napędzana przez czynniki pragmatyczne po obu stronach. Dla państwowych wrogów celem jest szybkie zdobycie sprawdzonych i udowodnionych zdolności. Wykorzystywanie istniejącego toolingu lub infrastruktury pozwala im na zdobycie operacyjnej elastyczności bez poświęcania ogromnych zasobów na rozwój niestandardowych narzędzi od podstaw. Jeśli ładunek jest wytrzymały, skuteczny i dostępny, po co go odtwarzać? Z drugiej strony, dla operatorów eCrime dostęp do państwowych zasobów i infrastruktury, w tym wywiadu, danych docelowych i chronionych kanałów dystrybucji, umożliwia szybkie zwiększanie zdolności przy gwarantowanym finansowym wsparciu i minimalnym ryzykiem.

RomCom ilustruje tę konwergencję. Początkowo był to komercyjny malware zaprojektowany do ułatwienia operacji ransomware, później został przyjęty w działaniach związanych z rosyjskimi interesami strategicznymi, celując w ukraińskie instytucje rządowe, podmioty związane z NATO i organizacje humanitarne. Nasza ocena wskazuje, że RomCom przeszedł transformację z czysto zyskowego narzędzia w użyteczność wykorzystywaną w państwowych operacjach, wspierając zarówno szpiegostwo, jak i celowe operacje.

Ta ewolucja podkreśla kluczową zasadę: niezależnie od tego, czy wróg jest motywowany finansowo czy politycznie, wpływ na ofiarę pozostaje taki sam. W tym kontekście, threat-informed defense staje się niezwykle ważna. Organizacje powinny priorytetowo weryfikować swoje obrony i wytrzymałość przeciwko realistycznym, obserwowanym zachowaniom, a nie koncentrować się wyłącznie na atrybucji lub przypuszczalnej motywacji.

Czy mógłbyś powiedzieć, co RomCom ujawnia o konwergencji motywacji finansowych i geopolitycznych wśród wrogów? Szczególnie, jak interpretujesz rosnący trend państwowych grup wykorzystujących infrastrukturę eCrime jako instrumenty wpływu lub wiarygodnej odrzucalności? 

RomCom demonstruje ewolucję grupy przestępczej, która utrzymała długoterminową spójność operacyjną, jednocześnie stopniowo rozszerzając swoją sieć powiązań. W trakcie swojej aktywności ustanowiła wyraźne połączenia z wieloma rodzinami ransomware, wskazując na głęboką integrację w ekosystemie eCrime. Z czasem przeszła transformację z backdoora zaprojektowanego do komodity malware wykorzystywanej przez grupy eCrime do polywalentnej platformy, która umożliwia różnorodne operacje przestępcze. Jej trwałe skupienie na ukraińskich instytucjach rządowych, personelu wojskowego, organizacjach humanitarnych i krajach związanych z NATO wskazuje na operacyjną spójność z rosyjskimi interesami strategicznymi związanymi z wojną na Ukrainie. To nie jest oportunizm; reprezentuje celowe gromadzenie wywiadu i długoterminowy dostęp do operacji. Ten sam malware, mechanizmy dostarczania i operacyjne savoir-faire teraz wspierają zarówno szpiegostwo, jak i operacje ransomware.

RomCom również podkreśla szerszy wzorzec państwowych wrogów, którzy przyjmują lub przerabiają tooling eCrime. Te narzędzia są sprawdzone, skuteczne i służą jako wygodne narzędzia do szerszych celów strategicznych. Rosja pozostaje przykładem: obszerna dokumentacja szczegółowo opisuje rosyjsko związane grupy przestępcze działające jako de facto rozszerzenia operacji państwowych lub będące bezpośrednio wykorzystywane do ich wsparcia. To umożliwia państwom outsourcing nieodrzuconych operacji, szczególnie tych o charakterze destrukcyjnym lub zakłócającym, do aktorów przestępczych lub wchłanianie ich toolingu i infrastruktury. Ostatecznie ten dynamicznymodel ujawnia wzajemnie korzystną relację: operatorzy RomCom i ich afiliaci zyskują wpływ i finansowe nagrody, podczas gdy państwa uzyskują dostęp do zdolnych, nieodrzuconych aktywów. W krajobrazie eCrime lojalność jest transakcyjna, zakorzeniona w wpływie i zysku.

Ten model oferuje wyraźne strategiczne korzyści, dlatego staje się coraz bardziej powszechny. Partnerstwa z przestępcami zapewniają państwom dostęp i zdolności bez bezpośredniej atrybucji, a wynikowa operacyjna niejasność komplikuje dyplomatyczne i prawne odpowiedzi. Rodziny malware skutecznie stały się instrumentami sztuki wojennej, uzupełniając tradycyjne szpiegostwo poprzez przestępczą infrastrukturę, która jest nieodrzucona, skalowalna i samowystarczalna.

Nowoczesne malware często nie ogranicza się do jednej branży lub regionu. Co to sugeruje o priorytetach atakujących lub ograniczeniach, i czy są sektory lub geografie, które uważasz za “następne” do cross-domain expansion? 

Chociaż niektórzy wrogowie mogą samodzielnie narzucać ograniczenia, wielu traktuje pilność i kryzysy jako dodatkowe wektory infekcji, przyspieszając inwazje i wykorzystując rozproszone lub napięte obrony. Motywacja wpływa na celowanie, ale rzadko ogranicza je. Finansowo motywowane grupy priorytetowo traktują cele o wysokim potencjale zysku lub operacyjnych zależności, takich jak finanse, procesory płatności i duże przedsiębiorstwa z surowymi wymogami czasu pracy. Z drugiej strony, państwowe wrogowie koncentrują się na sektorach, które wspierają cele geopolityczne, w tym rząd, obronę i krytyczną infrastrukturę. Jednakże nakładanie się motywacji jest coraz bardziej powszechne.

Taktyki “spray-and-pray” i komercjalizacja będą trwać. Modele Ransomware-as-a-Service (RaaS), komercyjne tooling i zautomatyzowane skanowanie umożliwiają finansowo motywowanym wrogom agresywnie rozszerzać swoje zestawy celów. Każda narażona, słabo broniona usługa jest potencjalnie w zakresie. Geograficzna ekspansja następuje zarówno za oportunizmem, jak i lukami dojrzałości. Regiony przechodzące szybką transformację cyfrową, ale z ograniczoną dojrzałością cybernetyczną lub zdolnością do reagowania na incydenty, są atrakcyjne dla początkowych naruszeń i skalowania operacji. Z drugiej strony, wysoko wartościowe cele w dobrze bronionych regionach są często wpływane poprzez kompromitację łańcucha dostaw lub zlecone dostępy. Spójrzając w przyszłość, ekspansja jest prawdopodobna w regionach sąsiadujących z aktywnymi konfliktami geopolitycznymi, gdzie gromadzenie wywiadu wspiera strategiczne interesy i dojrzałość obronna nadal pozostaje w tyle za zaawansowaniem wrogów.

Gdy tworzysz realistyczne emulacje wrogie, jakie są najtrudniejsze wyzwania techniczne, z którymi się spotykasz? Jak walidujesz, że te emulacje są wystarczająco reprezentatywne dla realnych zagrożeń, i czy są zachowania, które pozostają szczególnie trudne do symulowania w sposób niezawodny?

Jednym z najtrudniejszych wyzwań technicznych jest osiągnięcie wiernego zachowania bez wprowadzania operacyjnego ryzyka. Emulacje muszą odtworzyć realistyczne zachowania z足够ą dokładnością, aby zwalidować wykrywanie i kontrole, pozostając jednocześnie wystarczająco bezpieczne, aby mogły być uruchamiane w środowiskach produkcyjnych. To kompromis jest stały. Zbyt agresywne implementacje ryzykują destabilizację systemów lub produkcję niebezpiecznych fałszywych pozytywów/negatywów, podczas gdy zbyt ostrożne tracą wierność i użyteczność. Priorytetowo traktujemy emulację “punktów wąskich” wrogów, kluczowych zachowań, które determinują, czy inwazja powiedzie się czy nie, i gdzie widoczność obronna i reakcja mają największe znaczenie. Poprzez koncentrowanie wierności na tych decydujących zachowaniach, emulacje dostarczają najwyższej wartości zarówno dla pokrycia wykrywania, jak i walidacji wytrzymałości.

Niektóre techniki są celowo ograniczone lub pomijane, ponieważ stwarzają niedopuszczalne ryzyko lub nie mogą być wiernie emulowane bez uszkodzenia środowiska. Niepoprawna implementacja może sprawić, że testujesz coś, czego wróg nigdy nie robi, lub destabilizujesz system, który próbujesz chronić. Inne wyzwania wynikają z zachowań, które zależą od kontekstu środowiskowego lub wymagają uwierzytelnionego dostępu. Zachowania sieciowe są również ograniczone: na przykład, odtwarzamy wzorce protokołów i zachowania sygnałowe C2 bez łączenia się z złośliwą infrastrukturą.

Tworzenie realistycznych emulacji jest więc iteracyjnym procesem inżynierskim: identyfikacja, dokumentacja, implementacja, testowanie, walidacja i doskonalenie. Każda iteracja balansuje wierność, bezpieczeństwo i operacyjną istotność, aby zapewnić, że emulacje są zarówno realistyczne, jak i wdrożone.

Spójrzając trzy do pięciu lat do przodu, jakie trendy w zaawansowaniu malware, metodologii atakujących lub ekosystemach zagrożeń uważasz za najbardziej niepokojące lub interesujące, i jakie podstawowe kroki byś polecił organizacjom rozpoczynającym swoją podróż w threat-informed defense i emulacji wrogich?

Jednym z najbardziej interesujących i niepokojących trendów jest rosnące zaawansowanie ekosystemów cyberprzestępczych. Przez ostatnią dekadę aktorzy eCrime rozszerzyli swój wpływ dramatycznie.

W wcześniejszych latach liczba uczestników była ograniczona, a ich wpływ był względnie marginalny. Dziś setki powiązanych podmiotów współistnieją i współpracują, każdy pełniąc wyspecjalizowane role. To współzależność tworzy złożony, biznesowy ekosystem, który naśladuje legitimity rynków w strukturze i wydajności. Ekosystem ransomware jest tego idealnym przykładem: dziesiątki aktywnych rodzin współistnieją, ewoluują i zastępują się nawzajem. Ten ciągły przepływ ujawnia skomplikowaną sieć relacji, która staje się coraz trudniejsza do rozplątania.

Innym definiującym trendem jest konwergencja między państwowymi a przestępczymi operacjami. Nie tylko na poziomie operacyjnym, ale również w rozwoju wspólnej infrastruktury i platform malware. RomCom ilustruje tę ewolucję. Przeszedł transformację z czysto zyskowego komercyjnego narzędzia w wszechstronną platformę wykorzystywaną w państwowych operacjach, wspierając rosyjskie cele wywiadowcze, jednocześnie zachowując swoją wszechstronność eCrime.

Dla organizacji nowszych w threat-informed defense, podstawowym krokiem jest przyjęcie ramy MITRE ATT&CK jako wspólnego języka do zrozumienia i dyskusji o zachowaniu wrogów. ATT&CK zapewnia taksonomię behawioralną, która umożliwia obrońcom mapowanie wykrywania i kontroli bezpośrednio na techniki atakujących, a nie statyczne wskaźniki. Priorytetowo traktuj wykrywanie behawioralne nad podejściem opartym na sygnaturach. Wskaźniki kompromitacji zmieniają się ciągle, ale techniki wrogów pozostają względnie stabilne, zasadą ujętą w ramie Pyramid of Pain. Indicators of compromise change constantly, but adversary techniques remain relatively stable, a principle captured in the Pyramid of Pain framework. Dziękujemy za szczegółowe odpowiedzi, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić AttackIQ.