Любое выставление атрибутов(не только первичное), но и тех, которые хоть как-то характеризуют инцидент. В примере с powershell для повышения привилегий - уже как минимум два атрибута. Плюс логичный следующий - откуда он взялся. И т.д. и т.п.
Причём мы не смотрим на apt или нет - мы оцениваем любой инцидент. Атрибуция для ddos, например (банально упрощенный), - определение уровня в модели OSI, без этого ttp не применить нормально.
Атрибуция шифровальщика - не только тушка, но и вектор его распространения.
Таким образом, в общем смысле - атрибуция в ИБ - выявление характеризующих признаков независимо от природы появления событий.
По атрибуции, в том числе, принимается решение на тему легитимно ли событие
Упс... Ну если трактовать термин так, то спорить и правда смысла нет. Но все-таки, не флейма ради, а правды для, атрибуция все-таки отвечает на вопросы КТО и ЗАЧЕМ ;-) Именно так ее воспринимает большинство, кмк
