Attributie

Attributie in cybersecurity is het proces van het identificeren en toeschrijven van een cyberaanval aan een specifieke actor, groep of natiestaat. Het is een van de meest complexe uitdagingen in het digitale domein, omdat aanvallers bewust en systematisch hun sporen wissen, valse vlaggen planten en hun activiteiten via meerdere landen en systemen routeren. Toch is attributie cruciaal voor effectieve incident response, diplomatieke actie het afschrikken van toekomstige aanvallen en het opbouwen van internationale cybernormen. Zonder attributie weet je misschien wel wat er is gebeurd, maar niet wie erachter zit en waarom.

Het Pentagon heeft 17,3 miljoen dollar geïnvesteerd in onderzoek naar betere attributietechnieken, wat de urgentie en complexiteit van dit vraagstuk illustreert. Nederland heeft internationaal een sterke reputatie opgebouwd op het gebied van cyberattributie. De publieke toeschrijving van de aanval op de OPCW aan de Russische militaire inlichtingendienst GROe in 2018, waarbij de MIVD vier Russische agenten op heterdaad betrapte bij een poging tot wifi-hacking, was een keerpunt in internationale cyberattributie en versterkte het beeld van Nederland als serieuze cyberpower.

Waarom is attributie belangrijk?

Attributie bepaalt hoe een organisatie of land kan reageren op een cyberaanval. Bij een criminele aanval kun je aangifte doen en strafrechtelijke vervolging nastreven. Bij een statelijke aanval liggen diplomatieke sancties, publieke naming-and-shaming en eventuele tegenmaatregelen op tafel. Zonder betrouwbare attributie zijn al deze opties beperkt, omdat je niet kunt reageren op een aanvaller die je niet kunt identificeren.

Voor organisaties is attributie ook operationeel relevant. Wanneer je weet welke dreigingsactor achter een aanval zit, kun je je verdediging aanpassen aan hun bekende tactieken, technieken en procedures (TTP's). Als een aanval wordt toegeschreven aan een specifieke APT-groep, kun je threat intelligence over die groep gebruiken om te controleren of er andere indicatoren van compromittatie in je netwerk aanwezig zijn en om toekomstige aanvallen van dezelfde actor beter te detecteren.

Op geopolitiek niveau speelt attributie een rol in het vaststellen van normen voor verantwoord gedrag in cyberspace. Publieke attributie door overheden draagt bij aan het opbouwen van een internationaal normenkader waarin statelijke cyberaanvallen consequenties hebben. De Nederlandse regering heeft meerdere keren cyberaanvallen publiekelijk toegeschreven aan statelijke actoren, waarmee zij bijdraagt aan internationale normontwikkeling en afschrikking. Het Cybersecuritybeeld Nederland benoemt de toenemende dreiging vanuit statelijke actoren en het belang van attributie als instrument in het Nederlandse cyberbeleid.

Hoe pas je attributie toe?

Technische attributie begint bij digitaal forensisch onderzoek. Analyseer malware die bij de aanval is gebruikt op code-overeenkomsten met eerder toegeschreven aanvallen, compilatietijden die wijzen op specifieke tijdzones en taalsporen in de code. Onderzoek de commandand-control-infrastructuur: welke servers zijn gebruikt, hoe zijn ze geregistreerd en welke verbanden bestaan er met eerder geïdentificeerde infrastructuur van bekende dreigingsactoren?

Combineer technische analyse met intelligence uit andere bronnen. Operationele patronen, zoals de tijdstippen waarop aanvallers actief zijn en de doelwitten die ze kiezen, kunnen wijzen op specifieke groepen. Geopolitieke context helpt bij het bepalen van motivatie: een aanval op een defensiebedrijf past bij spionage door een statelijke actor, terwijl een ransomware-aanval op een ziekenhuis eerder wijst op financieel gemotiveerde criminelen. Het MITRE ATT&CK framework biedt een gestructureerde methode om TTP's te catalogiseren en te matchen met bekende dreigingsgroepen.

Werk samen met externe partners voor betere attributie. Delen van indicators of compromise (IOC's) met sectorale samenwerkingsverbanden, nationale CERT's en commerciele threat intelligence providers vergroot de dataset waarop attributie kan worden gebaseerd. Het NCSC faciliteert informatie-uitwisseling tussen organisaties in Nederland en kan ondersteunen bij attributie van complexe aanvallen op vitale infrastructuur.

Houd rekening met de beperkingen van attributie. Aanvallers gebruiken false flag operaties om de schuld bij een andere actor te leggen. Ze hergebruiken malware en infrastructuur van andere groepen, planten misleidende taalsporen en routeren hun verkeer via landen waarvan ze willen dat die verdacht worden. Attributie is daarom zelden absoluut zeker, maar werkt met graden van waarschijnlijkheid. Overheidsattributie vereist doorgaans een combinatie van technische, operationele en inlichtingenmatige bewijzen voordat een publieke toeschrijving plaatsvindt.

Attributie in de praktijk

Een Nederlands technologiebedrijf ontdekt dat gevoelige R&D-data is geëxfiltreerd via een geavanceerde APT-aanval. Het incident response team start forensisch onderzoek en vindt custom malware die communiceerde met servers in drie verschillende landen. De malware bevat code-fragmenten die overeenkomen met eerder aan een Chinese APT-groep toegeschreven tools. De aanvallers waren actief tijdens kantooruren in UTC+8, consistent met Chinese tijdzones.

Het bedrijf deelt de IOC's met het NCSC en een commerciële threat intelligence provider. Beide bevestigen de overeenkomst met de bekende APT-groep en identificeren aanvullende indicatoren in de infrastructuur van het bedrijf die eerder over het hoofd waren gezien. Op basis van deze attributie past het bedrijf zijn verdediging aan: het implementeert detectieregels voor alle bekende TTP's van de geïdentificeerde groep, versterkt de beveiliging van R&D-systemen en herziet zijn toegangsbeleid voor intellectueel eigendom.

De overheid besluit na eigen analyse de aanval niet publiekelijk toe te schrijven, maar neemt de informatie mee in bilaterale diplomatieke contacten. Dit illustreert dat attributie op organisatieniveau en op staatsniveau verschillende doelen dient: het bedrijf gebruikt attributie om zijn verdediging te verbeteren, de overheid gebruikt het als instrument in internationale betrekkingen en normstelling rondom verantwoord gedrag in cyberspace. Beide perspectieven versterken elkaar en dragen bij aan een veiliger digitaal ecosysteem.

Veelgestelde vragen over attributie

Hoe betrouwbaar is cyberattributie?

Attributie werkt met graden van waarschijnlijkheid, niet met absolute zekerheid. Technische indicatoren kunnen worden vervalst, maar de combinatie van technische, operationele en inlichtingenmatige bewijzen maakt betrouwbare attributie mogelijk. Overheidsattributie vereist doorgaans een hogere bewijslast dan attributie door private security bedrijven.

Wat zijn false flags bij cyberaanvallen?

False flags zijn bewuste pogingen om de schuld bij een andere actor te leggen. Aanvallers planten misleidende aanwijzingen zoals taalsporen, code-fragmenten of infrastructuurverbanden die naar een andere groep wijzen. Ervaren analisten herkennen false flags door inconsistenties in het totaalbeeld van de aanval.

Kan een organisatie zelf attributie uitvoeren?

Organisaties kunnen technische attributie uitvoeren door forensisch onderzoek en het matchen van IOC's tegen threat intelligence databases. Volledige attributie aan een natiestaat vereist echter inlichtingencapaciteiten die alleen overheden bezitten. Samenwerking met het NCSC en commerciele threat intelligence providers versterkt de kwaliteit en betrouwbaarheid van attributie aanzienlijk.

Welke rol speelt MITRE ATT&CK bij attributie?

MITRE ATT&CK catalogiseert de tactieken, technieken en procedures van bekende dreigingsgroepen. Door de TTP's van een aanval te matchen met het framework, kun je potentiele actoren identificeren. Het biedt een gestandaardiseerde taal voor het beschrijven en vergelijken van aanvalsgedrag tussen verschillende incidenten en organisaties.

Waarom maakt Nederland cyberaanvallen publiekelijk?

Publieke attributie dient meerdere doelen: het ontmoedigt toekomstige aanvallen door consequenties te verbinden aan cyberoperaties, het versterkt internationale normen voor verantwoord gedrag in cyberspace en het informeert organisaties zodat zij hun verdediging actief kunnen aanpassen aan specifiek geidentificeerde dreigingen en actoren.

Verbeter je inzicht in cyberdreigingen. Vergelijk Incident Response aanbieders op IBgidsNL.