![\"newsletter\"](\"https:\/\/www.gowork.pl\/blog\/wp-content\/uploads\/2020\/12\/newsletter.png\")
<\/a><\/figure><\/div>\n\n\n\nModus operandi \u2013 definicja, pochodzenie i sens praktyczny<\/h2>\n\n\n\n
Termin pochodzi z \u0142aciny i dos\u0142ownie oznacza \u201espos\u00f3b dzia\u0142ania\u201d. W uj\u0119ciu kryminalistycznym modus operandi sprawcy to charakterystyczny, powtarzaj\u0105cy si\u0119 wz\u00f3r czynno\u015bci u\u017cywany do przygotowania, dokonaniu i zatuszowania czynu. Nie chodzi o pojedynczy element, lecz opis ca\u0142ego procesu: od typowania celu przez atak i ucieczk\u0119, po usuwanie \u015blad\u00f3w. Istotne s\u0105 i technicznych sposob\u00f3w pokonywania zabezpiecze\u0144, i wyb\u00f3r samych przedmiot\u00f3w (np. konkretne marki, typy d\u00f3br), i zachowania \u201epo\u201d.<\/strong><\/p>\n\n\n\n Jak podkre\u015bli\u0142by ka\u017cdy profesor kryminalistyki, sam sprawca mo\u017ce nie u\u015bwiadamia\u0107 sobie wzorca, ale to wzorzec w\u0142a\u015bnie wystawia go na identyfikacj\u0119: jest \u201ezapisany\u201d w decyzjach, kolejno\u015bci dzia\u0142ania, doborze narz\u0119dzi i reakcji na komplikacje.<\/p>\n\n\n\n W praktyce kryminalistyki dzia\u0142ania sprawcy rozk\u0142ada si\u0119 na etapy. W ka\u017cdym z nich analizuje si\u0119 elementy, kt\u00f3re s\u0105 \u201ejego\u201d i kt\u00f3re pojawiaj\u0105 si\u0119 w podobnym czasie oraz okoliczno\u015bciach:<\/p>\n\n\n\n Ten opis pozwala na ustalenie zale\u017cno\u015bci mi\u0119dzy sprawami \u2013 \u015bledczy zestawiaj\u0105 powi\u0105zane elementy, a gdy wz\u00f3r si\u0119 \u201ezamyka\u201d, \u0142atwiej wskaza\u0107 okre\u015blonej osoby profil dzia\u0142ania.<\/p>\n\n\n\n W j\u0119zyku praktyki m\u00f3wi si\u0119 o dw\u00f3ch warstwach dzia\u0142ania: modus operandi oraz tzw. \u201epodpisie\u201d (signature).<\/p>\n\n\n\n Samym modus operandi mo\u017cesz nie pozna\u0107 to\u017csamo\u015bci, ale w po\u0142\u0105czeniu z \u201epodpisem\u201d budujesz przekonuj\u0105c\u0105 wersj\u0119 kryminalistyczn\u0105 do weryfikacji.<\/p>\n\n\n\n MO ma dla \u015bledztwa znaczenie co najmniej w trzech obszarach:<\/p>\n\n\n\n Wa\u017cne: w ka\u017cdej sprawie MO jest narz\u0119dziem hipotez, a nie dowodem samym w sobie \u2013 prowadzi do ustalenia trop\u00f3w, kt\u00f3re weryfikuje si\u0119 dalszymi metodami.<\/strong><\/p>\n\n\n\n Chcesz nauczy\u0107 si\u0119 rozpoznawa\u0107 wzorce? Oto ramowy formularz, kt\u00f3ry wykorzystuje si\u0119 w kryminalistyki:<\/p>\n\n\n\n Taki opis jest powtarzalny, por\u00f3wnywalny i nadaje si\u0119 do zasilania baz danych \u2013 dzi\u0119ki temu \u015bledczy widz\u0105 wzorce ponad pojedynczym zdarzeniem.<\/p>\n\n\n\n Modus nie jest \u201ezamro\u017cony\u201d. Wynika z do\u015bwiadcze\u0144, presji medialnej, nowych technologii i reakcji ofiar. Sprawcy adaptuj\u0105 dzia\u0142ania \u2013 czasem drobne r\u00f3\u017cnice niszcz\u0105 \u201eidealny\u201d ci\u0105g podobie\u0144stw.<\/strong> Z drugiej strony bywa, \u017ce powtarzaj\u0105cy si\u0119 element jest skutkiem wsp\u00f3lnego \u201eknow-how\u201d w \u015brodowisku, a nie tej samej osoby. Dlatego ustalenie to\u017csamo\u015bci wy\u0142\u0105cznie na bazie MO jest ryzykowne \u2013 zawsze potrzebne s\u0105 twarde dowody.<\/p>\n\n\n\n Cho\u0107 modus operandi wywodzi si\u0119 z kryminalistyki, w praktyce organizacyjnej \u015bwietnie opisuje powtarzalne schematy dzia\u0142ania \u2013 zar\u00f3wno te po\u017c\u0105dane (procesowe \u201egood practices\u201d), jak i niepo\u017c\u0105dane (b\u0142\u0119dy, nadu\u017cycia, wektory ataku). W firmach m\u00f3wi si\u0119 wi\u0119c o MO zespo\u0142u sprzeda\u017cy (kolejno\u015b\u0107 krok\u00f3w, narz\u0119dzia, pr\u00f3g kwalifikacji lead\u00f3w), MO reagowania na incydenty (kto, kiedy, co uruchamia) czy MO onboardingu klient\u00f3w (checklisty, akceptacje, SLA). Taki \u201eszkielet dzia\u0142ania\u201d u\u0142atwia standaryzacj\u0119, szkolenia oraz automatyzacj\u0119, a jednocze\u015bnie pozwala szybciej rozpoznawa\u0107 odst\u0119pstwa.<\/p>\n\n\n\n Cyberbezpiecze\u0144stwo. Tutaj MO odpowiada temu, co specjali\u015bci nazywaj\u0105 TTPs (tactics, techniques, procedures). To wektory wej\u015bcia (np. spear-phishing, luki 0-day, \u0142a\u0144cuch dostaw<\/a>), narz\u0119dzia i infrastruktur\u0119 (frameworki C2, skrypty, makra), utrwalenie obecno\u015bci (persistence) oraz exfiltracj\u0119 danych (tunneling, chmura). Mapowanie dzia\u0142a\u0144 napastnika do dobrze opisanych wzorc\u00f3w pozwala budowa\u0107 playbooki SOAR, korelowa\u0107 alerty i obni\u017ca\u0107 MTTD\/MTTR. W praktyce warto utrzymywa\u0107 katalog MO grup zagro\u017ce\u0144 z: opisem faz ataku, wska\u017anikami obserwowalnymi (IOA), typowymi logami\/artefaktami oraz przypisanymi kontrolami.<\/p>\n\n\n\nModus operandi w kryminalistyce: co realnie obejmuje?<\/h2>\n\n\n\n
Modus operandi a \u201epodpis\u201d sprawcy \u2013 wa\u017cne rozr\u00f3\u017cnienie<\/h2>\n\n\n\n
Po co \u015bledczym MO? Znaczenie dla strategii i decyzji procesowych<\/h2>\n\n\n\n
Jak opisa\u0107 modus operandi \u2013 praktyczny schemat dla analityka<\/h2>\n\n\n\n
Co si\u0119 zmienia? Ewolucja MO i pu\u0142apki interpretacyjne<\/h2>\n\n\n\n
Modus operandi poza kryminalistyk\u0105: biznes, cyber, audyt<\/h2>\n\n\n\n