Франсіс Гіберно, старший інженер-дослідник противника в AttackIQ – Інтерв’ю Серія

Франсіс Гіберно є старшим інженером-дослідником противника і членом команди досліджень противника (ART) в AttackIQ. Франсіс проводить глибокі дослідження і аналіз загроз для розробки і створення високоскладних і реалістичних емуляцій противника. Він також координує проєкт кібербезпеки розвідки (CTI), який зосереджується на дослідженнях, аналізі, відстеженні і документуванні противників, сімейств малвару і інцидентів кібербезпеки. Франсіс має великий досвід у сфері розвідки противника, який охоплює як державні, так і злочинні загрози, а також у сфері оцінки і управління уразливостями, працюючи раніше в Deloitte і BNP Paribas.

AttackIQ є фірмою з кібербезпеки, яка дозволяє організаціям рухатися від простих припущень про їх захист до безперервної, даних-орієнтованої перевірки. Емулюючи тактику противника за допомогою моделі MITRE ATT&CK і пропонуючи автоматичну, безпечну для виробництва перевірку в хмарі, гібридних і локальних середовищах, компанія допомагає виявити пробіли в безпеці контролю, процесах і людях – що дозволяє лідерам пріоритезувати виправлення, виправдати інвестиції і перейти від реактивного реагування на кібер-атаки до проактивного відновлення.

Як ви стали частиною галузі кібербезпеки, і чому ви вирішили спеціалізуватися на кібербезпеці розвідки? Як CTI змінила ваше розуміння того, як загрози еволюціонують в обох державних і злочинних екосистемах?

Мій шлях у сфері кібербезпеки не був спланованим; він стався завдяки можливості, а не дизайну. Все почалося, коли я приєднався до зрілої організації з кібербезпеки, де працював над двома ключовими напрямами: оцінкою і управлінням уразливостями, а також кібербезпекою розвідки (CTI). Через управління уразливостями я здобув перспективу захисника – забезпечення того, щоб системи були правильно підтримані, оновлені і стійкі до атак. У сфері CTI я прийняв думку нападника, аналізуючи їх мотивацію, цілі і можливості. Саме тут я глибоко ознайомився з фреймворком MITRE ATT&CK, який я використовував для документації тактик, технік і процедур противника і визначення їх оперативних книг.

Цей подвійний досвід дав мені комплексне розуміння того, як захисники і нападники взаємодіють у постійно еволюціонуючій екосистемі. CTI швидко стала особистою пристрастю. Її стратегічна мета – зрозуміти, як противники діють, еволюціонують і впливають один на одного – відчувалася майже як предістиня. Я вдячний за можливість продовжувати працювати в цій галузі, спостерігаючи і аналізуючи зростаючу складність глобальної карти загроз, де державні і злочинні противники, незважаючи на свої різні мотивації, все частіше перетинаються і формують операції один одного.

Оглянувшись назад, який конкретний проєкт або досвід став поворотним моментом у вашій кар’єрі і змінив вашу перспективу у сфері кібербезпеки? 

Поворотним моментом став момент, коли я почав досліджувати і документувати тактики, техніки і процедури противників і малвару, які використовуються для виявлення і уникнення контрольованих середовищ. Ця робота стала основою для дослідження “Свідомість середовища“, яке я провів разом зі своєю колегою і другом Айелен Торелло, з якою тепер маю можливість працювати в AttackIQ. Наше дослідження зосереджувалося на каталогізації різних методів, які противники використовують для виявлення і уникнення ізольованих або віртуалізованих середовищ, що дозволяє їм залишатися необізнаними під час автоматичного аналізу. Результатом стала白папер, яка пізніше була прийнята як основа для техніки “T1497 – Уклонення від віртуалізації/пісочниці” у фреймворці MITRE ATT&CK.

Під час цього дослідження я став свідком постійної еволюції противників, з їх вантажами, які ставали все більш складними і їх здатністю уникати систем автоматичного виявлення, покращуючи їх шанси на успішне компрометування реальних цілей. Цей досвід фундаментально змінив моє розуміння адаптивності противника і постійного циклу інновацій, який визначає сучасні загрози.

Відтоді, як ви приєдналися до AttackIQ у 2021 році як інженер-дослідник противника і очолили створення ініціативи кібербезпеки розвідки, як змінилися ваші обов’язки, і як ви балансуєте координацію проєкту CTI, стратегічні дослідження загроз і розвиток емуляцій противника? 

Створення програми кібербезпеки розвідки в AttackIQ було складним завданням. Нам потрібно було швидко здобути видимість у широкому спектрі загроз. Як постачальник послуг, наш фокус не міг бути обмежений однією галуззю, регіоном або державою. Натомість нам була потрібна база знань, яка охоплювала як противників, так і малвар, від державних до злочинних груп. Як тільки була закладена основа, ми почали зосереджуватися на тому, що я називаю “Важкими гравцями”: високоактивними і впливовими сутностями, які впливають на 여러 галузі, регіони і держави. Цей підхід дозволяє нам пріоритезувати загрози, які є найбільш актуальними для нашої клієнтської бази.

Ураховуючи швидкозмінний ландшафт загроз, балансування збору розвідки, аналізу загроз і емуляції противника є внутрішньо складним. Кожен тип емуляції представляє окремі виклики. З одного боку, емуляції державних противників зазвичай високоскладні, орієнтовані на конкретні цілі, характеризуються тривалим часом перебування і керуються політичними мотиваціями. Відтворення їх поведінки вимагає глибокого аналізу, терпіння і точності, роблячи їх інтелектуально складними і винагороджувальними для емуляції. З іншого боку, емуляції злочинних противників є швидкоплинними і oportunістичними. Ці противники вводять нові техніки, діють з коротшим часом перебування і часто впливають на кілька галузей і регіонів. Їх використання спільних, готових інструментів і малвару з перекриваються тактиками, техніками і процедурами між групами, робить їхні книги гри динамічними і цікавими для відтворення.

Досягнення правильного балансу є стратегічним процесом. Ми вирівнюємо пріоритети досліджень і емуляцій з вимогами клієнтів і глобальними розвитками, включаючи геополітичні напруження, ново відкриті критичні уразливості і рекомендації міжнародних організацій, таких як Агентство кібербезпеки і інфраструктури (CISA) і Національний центр кібербезпеки (NCSC). У кінцевому підсумку, ця робота є командним зусиллям. Команда досліджень противника складається з надзвичайно талановитих осіб, чиї внески роблять реалістичні і безпечні емуляції можливими. CTI – це лише частина процесу; перетворення розвідки у справжні, контрольовані емуляції – це складний виклик, який вимагає співробітництва, точності і спільної прив’язки.

У складі команди досліджень противника в AttackIQ, як структуровано дослідження і пріоритезується, і які є найбільш значущими викликами у перекладі розвідки загроз у діючі емуляції противника?

Декілька факторів впливають на те, як ми пріоритезуємо дослідження в команді досліджень противника. Наш основний фокус – емулювати противників, які становлять найбільшу загрозу найбільшій частині наших клієнтів, забезпечуючи оптимальне використання ресурсів і концентрацію на загрозах широкого впливу до того, як звернутися до дуже конкретних.

Цей обсяг включає як противників, так і сімейства малвару, які спостерігаються в дикій природі. Ми постійно відстежуємо широкий спектр сутностей, з пріоритезацією, яка керується оперативною необхідністю, а не директивами. Нові загрози часто призводять до швидкої перепріоритезації. Ескалація геополітичних напружень, збільшення звітів про конкретну і критичну уразливість або концентровані рекомендації CERT швидко підвищують теми до вершини черги.

Одним з наших основних викликів є підтримання постійної пріоритезації і балансування ресурсів для надання реалістичних і складних емуляцій, а також забезпечення ефективності і масштабованості під час циклів розробки. Ми ставимо сильний акцент на розробці широких, багаторазових поведінок. Ідентифікуючи спільності між противниками і сімействами малвару, ми фокусуємося на відтворенні технік і процедур, які постійно з’являються у декількох книгах гри, що дозволяє нам пріоритезувати поведінки з високою багаторазовою цінністю і оперативною актуальністю, а не вкладати великі ресурси у вузькі, одномоментні реалізації. Цей підхід дозволяє нам пріоритезувати поведінки з високою багаторазовою цінністю і оперативною актуальністю, а не вкладати великі ресурси у вузькі, одномоментні реалізації.

У вашому недавньому дослідженні RomCom, які були ключовими інфлексійними точками, які вплинули на його перетворення з базового бекдору у універсальну платформу, яка підтримує як шпигунство, так і фінансове вимагання, і під яких обставин малвар переходить з окремого вантажу у повноцінну платформу? 

Справа RomCom особливо цікава, оскільки він спочатку з’явився у травні 2022 року як відносно простий бекдор, призначений для віддаленого доступу і базової екстракції даних. Перша велика інфлексійна точка сталася всього через місяць з випуском RomCom 2.0, який ввів суттєві покращення, які відображали більш зрілу, орієнтовану на стелс інструментальну базу, оптимізовану для операцій шпигунства і довгострокового збереження. Ці оновлення суттєво покращили можливості збору і екстракції даних, сигналізуючи про чіткий зсув у бік більш стратегічного використання.

Наступна інфлексійна точка відбулася з введенням RomCom 3.0 у лютому 2023 року, яке прийняло модульну архітектуру, структуровану на три основні компоненти. Це представляло суттєвий стрибок у гнучкості і функціональності, підтримуючи 42 різних команд, багато з яких були тонкими варіаціями один одного, підкреслюючи фокус оператора на адаптивності і оперативному удосконаленні.

Пізніші версії продовжували зосереджуватися на удосконаленні можливостей і підвищенні оперативної стійкості. З часом RomCom еволюціонував з бекдору у комодитизовану малвар, яку злочинні групи використовували у своїх книгах гри для забезпечення і сприяння різноманітним злочинним операціям. Ця еволюція була підтверджена інтеграцією RomCom з операціями Cuba, Industrial Spy і Underground, чітко вказуючи на те, що він став частиною ширшої екосистеми противників як спільної інфраструктури. Ця широкомасштабна адоптація неминуче привернула увагу державних противників, особливо тих, хто пов’язаний з російськими інтересами, які почали використовувати RomCom як багатофункціональну платформу для шпигунства і стратегічного впливу.

Ця конвергенція підтвердила нашу оцінку того, що кордони між злочинними і державними противниками все частіше стираються. Перехід від окремого вантажу до повноцінної платформи відбувається саме на цьому перетині, коли він починає використовуватися для складних, стратегічних і нематеріальних цілей, які виходять за рамки oportunізму або фінансової вигоди. На цьому етапі він перестає служити одній тактичній меті і замість цього підтримує кілька, іноді суперечливих, оперативних цілей. Це свідчить про те, що оператори розглядають вантаж як багаторазову інфраструктуру, а не як спеціально створений інструмент.

Ви спостерігали все частіше стираються кордони між державною діяльністю і злочинними противниками. З вашої точки зору, які є основними чинниками, які сприяють цій конвергенції, і як захисники повинні думати по-іншому при оцінці атрибуції і мотивації в цих випадках? 

Конвергенція між державними і злочинними операціями в першу чергу викликана прагматичними чинниками з обох сторін. Для державних противників метою є швидко придбати можливості, які вже були перевірені і доведені на полі бою. Використання існуючої інструментальної бази або інфраструктури дозволяє їм придбати оперативну гнучкість без витрат великих ресурсів на розробку спеціальних інструментів з нуля. Якщо вантаж є стійким, ефективним і доступним, чому його не використовувати? Навпаки, для злочинних операторів доступ до державних ресурсів і інфраструктури, включаючи розвідку, дані про цілі і захищені канали розподілу, дозволяє їм швидко розширювати свої можливості, отримуючи гарантований фінансовий підтримку з мінімальним ризиком.

RomCom є прикладом цієї конвергенції. Спочатку він був комодитизованим малваром, призначеним для підтримки операцій з вимаганням викупу, але пізніше був прийнятий у діяльності, пов’язаній з російськими стратегічними інтересами, націлюючись на українські державні установи, організації НАТО і гуманітарні організації. Наша оцінка свідчить про те, що RomCom перейшов від чисто фінансово-орієнтованого інструменту до універсальної платформи, яку використовують у державних операціях, підтримуючи як шпигунство, так і операції з дестабілізації.

Ця еволюція підкреслює ключовий принцип: незалежно від того, чи мотивований противник фінансово чи політично, вплив на жертву залишається тим самим. У цьому контексті оборонна стратегія, інформована загрозами, стає життєво важливою. Організації повинні пріоритезувати перевірку своїх оборонних можливостей і стійкості проти реалістичних, спостережуваних поведінок, а не зосереджуватися виключно на атрибуції або передбачуваній мотивації.

Що RomCom відкриває про конвергенцію фінансових і геополітичних мотивацій серед противників? Зокрема, як ви інтерпретуєте зростаючу тенденцію до використання державними групами інфраструктури злочинних організацій як інструментів впливу або плausибільної відмови? 

RomCom демонструє еволюцію злочинної групи, яка підтримувала довгострокову оперативну послідовність, поступово розширюючи свою мережу афілійованих організацій. Протягом своєї діяльності він встановив чіткі зв’язки з декількома сімействами малвару, зокрема з Cuba, Industrial Spy і Underground, що свідчить про глибоку інтеграцію у злочинну екосистему. З часом RomCom еволюціонував з бекдору у комодитизовану малвар, яку злочинні групи використовували у своїх книгах гри для забезпечення і сприяння різноманітним злочинним операціям. Ця еволюція була підтверджена інтеграцією RomCom з операціями Cuba, Industrial Spy і Underground, чітко вказуючи на те, що він став частиною ширшої екосистеми противників як спільної інфраструктури.

RomCom також підкреслює ширшу тенденцію до використання державними противниками інфраструктури злочинних організацій. Ці інструменти є перевіреними, ефективними і служать зручними засобами для досягнення широких стратегічних цілей. Росія залишається прикладом: численні повідомлення свідчать про те, що російські злочинні групи діють як де-факто розширення державних операцій або використовуються безпосередньо для їх підтримки. Це дозволяє державам аутсорсингувати операції, які можна заперечувати, особливо ті, що мають руйнівний характер, злочинним акторам, або поглинати їх інфраструктуру. У кінцевому підсумку, це створює взаємовигідні відносини: оператори RomCom і їх афілійовані організації отримують вплив і фінансові вигоди, тоді як держави отримують доступ до здатних, заперечуваних активів. У злочинній екосистемі лояльність є транзакційною, ґрунтується на впливі і прибутку.

Ця модель пропонує явні стратегічні переваги, через що вона стає все більш поширеною. Партнерства з злочинними організаціями надають державам доступ до можливостей, які вже були перевірені на полі бою, без прямої атрибуції, а результатом є оперативна неоднозначність, яка ускладнює дипломатичні і юридичні реакції. Сімейства малвару ефективно стали інструментами державної політики, доповнюючи, а не замінюючи традиційну розвідку через злочинну інфраструктуру, яка є заперечуваною, масштабованою і самодостатньою.

Сучасна малвар часто не обмежується однією галуззю або регіоном. Що це свідчить про пріоритети або обмеження нападників, і є галузі або географічні регіони, які, на вашу думку, будуть “наступними” для міждоменного розширення? 

Хоча деякі противники можуть самі накладати обмеження, багато з них розглядають нагальність і кризи як додаткові вектори інфекції, прискорюючи проникнення і використовуючи відволікання або напружені оборони. Мотивація впливає на цілі, але рідко обмежує їх. Фінансово мотивовані групи пріоритезують цілі з високим потенційним прибутком або оперативними залежностями, такими як фінанси, процесори платежів і великі підприємства з суворими вимогами до часу безперебійного доступу. Навпаки, державні противники зосереджуються на галузях, які просувають геополітичні цілі, включаючи уряд, оборону і критичну інфраструктуру. Однак перекриття між цими мотиваціями стає все більш поширеним.

Тактика “спрей-енд-прей” буде продовжуватися. Моделі RaaS, комодитизовані інструменти і автоматичне сканування дозволяють фінансово мотивованим противникам агресивно розширювати свої цілі. Будь-яка вразлива, слабо захищена служба потенційно знаходиться в зоні дії. Географічне розширення слідує за можливостями і пробілами у зрілості. Регіони, які проходять швидку цифрову трансформацію, але мають обмежену кібербезпеку або можливості реагування на інциденти, є привабливими для первинного компрометування і розширення операцій. Навпаки, високоцінні цілі в добре захищених регіонах часто уражаються через компрометування ланцюга постачань або аутсорсинг доступу. Оглянувшись вперед, розширення ймовірне в регіонах, сусідніх з активними геополітичними конфліктами, де збір розвідки підтримує стратегічні інтереси, а зрілість оборони все ще відстає від рівня противників.

При створенні реалістичних емуляцій противника, які є найбільшими технічними викликами, з якими ви стикаєтеся? Як ви валідуєте, що ці емуляції є достатньо репрезентативними для реальних загроз, і є поведінки, які залишаються особливо складними для симуляції?

Одним з найбільш складних технічних викликів є досягнення поведінкової вірності без введення оперативного ризику. Емуляції повинні точно відтворювати реальні поведінки, щоб валідувати засоби виявлення і запобігання, залишаючись при цьому безпечними для виконання у виробничих середовищах. Це постійний компроміс. Занадто агресивні реалізації ризикують дестабілізувати системи або виробляти небезпечні хибні позитиви/негативи, тоді як занадто обережні реалізації втрачають вірність і корисність. Ми пріоритезуємо емуляцію “горловин” противника, критичних поведінок, які визначають, чи успішно відбувається проникнення, і де видимість оборони та реакція мають найбільше значення. Зосереджуючись на цих вирішальних поведінках, емуляції забезпечують найбільшу цінність для покриття виявлення і валідації стійкості.

Деякі техніки є намеренно обмеженими або опущеними, оскільки вони представляють неприйнятний ризик або не можуть бути вірно емульовані без шкоди середовищу. Неправильна реалізація може призвести до тестування чогось, чого противник насправді не робить, або дестабілізації системи, яку ви намагаєтеся захистити. Інші виклики походять від поведінок, які залежать від контексту середовища або вимагають автентифікованого доступу. Сіткові поведінки також обмежені: наприклад, ми відтворюємо шаблони протоколів і поведінки біконінгу для C2 без підключення до зловмисної інфраструктури.

Створення реалістичних емуляцій є, таким чином, ітеративним інженерним процесом: ідентифікація, документація, реалізація, тестування, валідування і уточнення. Кожна ітерація балансує вірність, безпеку і оперативну актуальність, щоб забезпечити, що емуляції є як реалістичними, так і розгортними.

Оглянувшись вперед на три-п’ять років, які тенденції ускладнення малвару, методології нападників або загрозових екосистем ви знаходитесь найбільш турбуючими або цікавими, і які фундаментальні кроки ви б порекомендували організаціям, які починають свій шлях у захисті, інформованому загрозами, і емуляції противника?

Однією з найбільш цікавих і турбуючих тенденцій є зростаюча складність злочинних екосистем. За останні десять років злочинні актори розширили свій вплив суттєво.

У попередні роки кількість учасників була обмеженою, і їх вплив був порівняно маргінальним. Сьогодні сотні взаємопов’язаних сутностей співіснують і співпрацюють, кожна з яких виконує спеціалізовані ролі. Ця взаємозалежність формує складну, бізнес-орієнтовану екосистему, яка дзеркально відображає легітимні ринки за структурою і ефективністю. Екосистема програмного забезпечення для вимагання викупу є ідеальним прикладом цього: десятки активних сімейств співіснують, еволюціонують і успішно змінюють одна одну. Ця постійна зміна розкриває заплутану мережу відносин, яку все складніше розплутувати.

Іншою визначальною тенденцією є конвергенція між державними і злочинними операціями. Не лише на оперативному рівні, але й у розвитку спільної інфраструктури і платформ малвару. RomCom є прикладом цієї еволюції. Він перейшов від чисто фінансово-орієнтованого комодитизованого інструменту до універсальної платформи, яку використовують у державних операціях, підтримуючи як шпигунство, так і операції з дестабілізації.

Для організацій, які тільки починають свій шлях у захисті, інформованому загрозами, фундаментальним кроком є прийняття фреймворку MITRE ATT&CK як спільної мови для розуміння і обговорення поведінки противника. ATT&CK пропонує поведінкову таксономію, яка дозволяє захисникам відображати виявлення і засоби контролю безпосередньо на техніки противника, а не статичні індикатори. Пріоритезуйте поведінкове виявлення над підходами, заснованими на підписах. Індикатори компрометування змінюються постійно, але техніки противника залишаються відносно стабільними, принцип, який відображається у фреймворці “Піраміди болю”.

Дякуємо за детальні відповіді. Читачам, які бажають дізнатися більше, рекомендуємо відвідати AttackIQ.