Palo Alto Networks Birimi 42 Tehdit Araştırma Ekibi, Siber Güvenlik İstihbarat Analizinde uzun süredir devam eden zorlukları ele alarak Tehdit Oyuncu Atıf için Çığır açan bir sistematik yaklaşım getirdi.
31 Temmuz 2025’te tanıtılan birim 42 Atıf Çerçevesi, geleneksel olarak “bilimden daha fazla sanat” olarak kabul edilen şeyi siber tehditleri analiz etmek ve kategorize etmek için yapılandırılmış bir metodolojiye dönüştürür.
Çerçeve, başlangıç aktivitesi gözleminden kesin tehdit aktör tanımlamasına ilerleyen üç katmanlı bir sınıflandırma sistemi sağlayarak tehdit istihbaratındaki kritik boşlukları ele almaktadır.
Bireysel araştırmacı uzmanlığına büyük ölçüde dayanan geleneksel yaklaşımların aksine, bu metodoloji, güvenilirlik ve güvenilirlik değerlendirmesi için standartlaştırılmış puanlama mekanizmaları oluşturmak için müdahale analizinin elmas modelini Amirallik Sistemi ile bütünleştirir.
Siber güvenlik uzmanları uzun zamandır tutarsız tehdit grubu adlandırma sözleşmeleri ve yanlış yönlendirilmiş savunma kaynaklarına yol açabilecek erken ilişkilendirme kararlarıyla mücadele ettiler.
.webp)
Yeni çerçeve, her bir ilişkilendirme seviyesi için net kriterler oluşturur, sınıflandırma hiyerarşisi yoluyla tehditleri yükseltmeden önce birden fazla destekleyici kaynak ve kapsamlı analiz gerektirir.
Palo Alto Networks analistleri, siber güvenlik topluluğunda tehdit aktör adlandırılmasında yaygın karışıklığı gözlemledikten sonra bu sistematik yaklaşıma olan ihtiyacı belirlediler.
Çerçeve, yedi temel tehdit veri kategorisinde titiz standartlar uygular: taktikler, teknikler ve prosedürler (TTP’ler), takım konfigürasyonları, kötü amaçlı yazılım kodu analizi, operasyonel güvenlik tutarlılığı, zaman çizelgesi analizi, ağ altyapısı ve mağdur kalıplar.
Atıf süreci, “Cl-” öneki ve ardından devlet destekli STA, suç motive için CRI veya bilinmeyen motivasyon için unk gibi motivasyon göstergeleri ile belirlenen etkinlik kümeleriyle başlar.
Bu kümeler, uzlaşma, benzer TTP’ler veya zamansal yakınlık göstergelerini paylaşan en az iki ilgili olay gerektirir. Örneğin, aynı SHA256 karmalarına sahip finansal kurumları hedefleyen birden fazla kimlik avı kampanyası, nitelikli bir faaliyet kümesi oluşturacaktır.
Gelişmiş Teknik Uygulama ve Vaka Çalışması Analizi
Çerçevenin teknik karmaşıklığı, minimum altı aylık gözlem süresi ve dört köşede de kapsamlı elmas modeli haritalaması gerektiren geçici tehdit grupları için yükseklik kriterlerinde belirginleşir: düşman, altyapı, yetenek ve kurban.
Geçici tehdit grupları, aynı motivasyon etiketleme sistemlerine sahip “TGR” önekleri alır.
Metodoloji, yalnızca IP adreslerini ve alanlarını değil, paylaşılan barındırma sağlayıcıları ve kayıt kalıpları da dahil olmak üzere altyapı öğeleri arasındaki ilişkileri inceleyerek gelişmiş altyapı analiz tekniklerini içerir.
Kod benzerlik analizi, yapısal işlevselliği, paylaşılan kütüphaneleri ve ortak kalkınma kaynaklarını gösteren benzersiz özellikleri incelemek için basit karma karşılaştırmaların ötesine uzanır.
Example Attribution Scoresheet Elements:
Source Reliability: A-F scale (A=Reliable, F=Unknown)
Information Credibility: 1-6 scale (1=Confirmed, 6=Uncertain)
Default IoC Scores: IP addresses (4), File hashes (2), Domains (3)Çerçevenin pratik uygulaması, 2015 Bookworm Trojan’ın keşfi ile başlayan görkemli Toros aktivitesinin on yıl süren analizi ile gösterilmiştir.
Ünite 42 Araştırmacılar, görünüşte farklı kampanyalar arasındaki altyapı bağlantılarını haritalamak için SHA256 karma analizi kullandılar ve sonuçta 2025’te yeni ilişkilendirme metodolojisi aracılığıyla kesin bağlantılar kurdu.
Çerçeve, sofistike operasyonel güvenlik analizi, kod yazım hataları, meta verilerdeki geliştirici işleri ve açık altyapı yapılandırmaları gibi tutarlı tehdit aktör hatalarını izleme içerir.
Bu “OPSEC parmak izleri”, zamansal korelasyon analizi ve jeopolitik olay haritalaması ile birleştirildiğinde değerli atıf kanıtı sağlar.
Bu sistematik yaklaşım, tehdit istihbarat olgunlaşmasında önemli bir ilerlemeyi temsil ederek, siber güvenlik topluluğunda işbirlikçi tehdit araştırmalarını geliştiren tekrarlanabilir metodolojiler oluştururken, ilişkilendirme kararlarında şeffaflık sunar.
Entegre etmek Herhangi biri. Gelişmiş tehditleri analiz etmek için siem veya soar ile -> 50 ücretsiz deneme aramasını deneyin