ARK. 1System · Standardy

VERIS — discovery_method, action variety i motive dla Incydentu.

VERIS (Vocabulary for Event Recording and Incident Sharing) to słownik Verizon do opisywania incydentów tak, żeby dało się je liczyć i porównywać. Na nim stoi coroczny raport Verizon DBIR i otwarta baza VCDB. LAB247 zapisuje Incydent w OCSF, ale OCSF nie ma pól na to, kto zauważył włamanie pierwszy, jakim działaniem threat actor wszedł i po co. Te trzy słowniki — discovery_method, action variety i actor motive — bierzemy z VERIS, i tylko je.

Źródło: vz-risk/veris, wydanie 1.4.0 (plik etykiet, odczyt 01.10.2026), opis pól: verisframework.org. Wartości i opisy VERIS przepisane dosłownie. Perspektywa victim, mapowanie kluczy Creato (TAB. 2) i przykłady z WordPressa są naszą regułą, nie Verizon. Format rekordu: OCSF, fazy obsługi: NIST SP 800-61.

Klucze Creato: 8discovery_method w zapisie Incydentu
discovery_method: 35variety w VERIS
action.variety: 24hacking + malware spotykane na WordPressie
actor.motive: 6z 11 w VERIS

TAB. 1victim, partner, internal, externalreguła LAB247

victim: firma klienta — właściciel strony. VERIS opisuje incydent z jej perspektywy.
partner: Creato z PING i zespołem wykonawczym oraz hosting — działają dla victim na jej zlecenie.
internal: właściciel strony i jego pracownicy.
external: wszyscy pozostali: Google, cudze skanery, security researcher, law enforcement, sam threat actor.

TAB. 2discovery_method: klucze Creato → VERISreguła LAB247

Klucz w Incydencie	VERIS discovery_method	Dlaczego tak
Check PING (ping_check)	partner.Monitoring service	Check Skanera z zewnątrz strony; monitoring prowadzi Creato — partner victim.
Wtyczka monitorująca (ping_plugin)	partner.Monitoring service	Raport wtyczki z wnętrza WordPressa; działa na serwerze klienta, ale czyta go i ogłasza Creato — partner.
Klient (client)	internal.Reported by employee	Właściciel strony albo jego pracownik zauważył coś dziwnego — internal, victim sam.
Google (google)	external.Unrelated 3rd party	Ostrzeżenie Safe Browsing albo Search Console — external, niezwiązany ani z victim, ani z threat actor.
Hosting (hosting)	partner.Monitoring service	Skaner kont hostingu (np. Imunify360) i powiadomienie od dostawcy — partner victim.
Zespół przy innym zleceniu (team_other_work)	partner.Other	Odpowiednik internal „It review” (przegląd przy okazji prac), ale wykonawca jest partnerem, a gałąź partner tej variety nie ma.
Zewnętrzny skaner (external_scanner)	external.Audit	Cudzy skaner lub czarna lista (np. VirusTotal, Sucuri SiteCheck) — „security audit or scan”, external.
Nieznane (unknown)	unknown	Nie da się ustalić, kto zauważył pierwszy.

TAB. 3discovery_method: pełny słownik VERISVERIS 1.4.0

Gałąź	variety	Opis w VERIS
partner	Antivirus	Notified by antivirus company but not through AV product
partner	Audit	Audit performed by a partner organization
partner	Incident response	notified while investigating another incident
partner	Monitoring service	Reported by a monitoring service
partner	Other	Discovery method was partner and known but not listed
partner	Unknown	Unknown
internal	Antivirus	antivirus alert
internal	Break in discovered	employee discovered evidence of a break in
internal	Data loss prevention	Data loss prevention software
internal	Financial audit	financial audit and reconciliation process
internal	Fraud detection	fraud detection mechanism
internal	Hids	host IDS or file integrity monitoring
internal	Incident response	discovered while responding to another (separate) incident
internal	Infrastructure monitoring	Health and welfare monitoring of assets such as utilization, uptime, and SNMP alerts
internal	It review	Any routine maintenance, testing or review of it assets. (Includes inspect of assets, vulnerability scans, etc.)
internal	Log review	log review process or SIEM
internal	Nids	All network
internal	Offboarding	Use when the incident is discovered during the exit interview or offboarding/decommissioning of an employee.
internal	Reported by employee	reported by employee who saw something odd
internal	Security alarm	physical security system alarm
internal	Other	Discovery method was internal and known but not listed
internal	Unknown	unknown
external	Actor disclosure	disclosed by threat agent (e.g., public brag, private blackmail)
external	Audit	security audit or scan
external	Customer	reported by customer or partner affected by the incident
external	Emergency response team	Emergency response team
external	Found documents	Found documents
external	Fraud detection	fraud detection (e.g., CPP)
external	Incident response	Notified while investigating another incident
external	Law enforcement	notified by law enforcement or government agency
external	Security researcher	security researcher attempting to identify insecure data
external	Suspicious traffic	Report of suspicious traffic
external	Unrelated 3rd party	Discovered by person unaffiliated with victim or threat actor
external	Other	Discovery method was external and known but not listed including related 3rd parties
external	Unknown	unknown

TAB. 4action.hacking.varietywybór

Wartość VERIS	Opis w VERIS	Na stronie WordPress
Exploit vuln	Exploit vulnerability in code (vs misconfig or weakness). This can be used with other hacking enumerations, (such as XSS when an XSS vuln exists.). Parent of many hacking varieties.	luka w wtyczce, motywie albo rdzeniu z numerem CVE
Use of stolen creds	Use of stolen or default authentication credentials (including credential stuffing)	logowanie hasłem administratora, FTP albo panelu hostingu, które wyciekło
Brute force	Brute force or password guessing attacks.	zgadywanie haseł przez wp-login.php albo xmlrpc.php (system.multicall)
Backdoor	Hacking action that creates a backdoor for use.	web shell, ukryte konto administratora, złośliwa wtyczka jako furtka
Abuse of functionality	Abuse of functionality.	nadużycie funkcji zgodnej z projektem, np. otwarta rejestracja z domyślną rolą administratora
Exploit misconfig	Exploit a misconfiguration (vs vuln or weakness)	zapisywalny katalog uploads z wykonywaniem PHP, edytor plików w panelu, jawna kopia wp-config
SQLi	SQL injection. Child of 'Exploit vuln'.	wstrzyknięcie SQL przez parametr wtyczki
XSS	Cross-site scripting. Child of 'Exploit vuln'.	zapisany skrypt w treści albo ustawieniach wtyczki
RFI	Remote file inclusion. Child of 'Exploit vuln'.	dołączenie pliku PHP z obcego serwera
Path traversal	Path traversal. Child of 'Exploit vuln'.	odczyt wp-config.php przez parametr ścieżki
Forced browsing	Forced browsing or predictable resource location. Child of 'Exploit vuln'.	bezpośrednie wywołanie pliku wtyczki bez sprawdzenia uprawnień
CSRF	Cross-site request forgery. Child of 'Exploit vuln'.	akcja w panelu bez nonce, wywołana z cudzej strony
Disable controls	Disable or interfere with security controls	wyłączenie wtyczki bezpieczeństwa albo naszej wtyczki monitorującej
Unknown	Unknown	wektor wejścia nieustalony

TAB. 5action.malware.varietywybór

Wartość VERIS	Opis w VERIS	Na stronie WordPress
Backdoor	Malware creates a backdoor capability for hacking. Child of 'RAT' when combined with 'Trojan'. Child of 'Backdoor or C2'.	plik PHP przyjmujący polecenia, wstrzyknięty kod w functions.php
Backdoor or C2	Malware creates a remote control capability, but it's unclear if it's a backdoor for hacking or C2 for malware. Parent of 'C2' and 'Backdoor'.	kod zdalnego sterowania bez pewności, czy służy człowiekowi, czy automatowi
Modify data	Malware which compromises a legitimate file rather than creating new filess	dopisek w pliku rdzenia, motywu albo index.php zamiast nowego pliku
Spam	Send spam	SEO spam: ukryte linki, doorway pages, masowa wysyłka poczty z serwera
Client-side attack	Client-side or browser attack (e.g., redirection, XSS, AitB)	przekierowanie odwiedzających, wstrzyknięty skrypt (skimmer, fałszywa aktualizacja przeglądarki)
Downloader	Downloader (pull updates or other malware)	kod dociągający kolejne pliki z serwera threat actor
Capture app data	Capture data from application or system process	przechwytywanie formularzy logowania albo zamówień
Export data	Export data to another site or system	wysyłka bazy klientów albo danych kart na obcy serwer
Cryptocurrency mining	Cryptocurrency mining, whether or not click fraud. Child of 'Click fraud and cryptocurrency mining'.	koparka w przeglądarce odwiedzających albo na serwerze
Unknown	Unknown	złośliwy kod, którego działania nie ustalono

TAB. 6actor.external.motivewybór

Wartość VERIS	Opis w VERIS	Na stronie WordPress
Financial	Financial or personal gain	SEO spam, przekierowania na płatne strony, skimmer kart
Secondary	Aid in a different attack	strona jako narzędzie cudzego ataku: phishing na koncie klienta, przekaźnik spamu, hosting malware
Ideology	Ideology or protest	defacement z hasłami politycznymi
Fun	Fun, curiosity, or pride	podpisany defacement dla rozgłosu
Grudge	Grudge or personal offense	były współpracownik z dostępem
Unknown	Unknown	motive nieustalony

TAB. 7Jak LAB247 używagranice standardu

Zapis: Incydent trzyma klucz Creato (lab247.discovery.source). Wartość VERIS nie jest zapisywana — wylicza się z TAB. 2 przy odczycie i eksporcie.
Dlaczego klucz Creato: jest drobniejszy: Check PING, wtyczka i hosting to w VERIS jedno „Monitoring service”, a mierzenie pokrycia detekcji potrzebuje tej różnicy.
Wektor wejścia: action variety jest zgrubne. Szczegół wejścia opisuje CWE, komponent i CVE; VERIS jest podsumowaniem do porównań.
Czego nie ma: rekordu VERIS w całości, pól asset i attribute, VERIS vector; nie importujemy danych VCDB. Dwell time liczymy ze znaczników faz Incydentu.
VCDB: VERIS Community Database — otwarta baza publicznie ujawnionych naruszeń zapisanych w VERIS; tło do porównań, nie dane LAB247.
Słownik: hasła: VERIS, VCDB, DBIR, discovery method, dwell time.