Proč bezpečnostní firmy vůbec dávají hackerským skupinám kódová jména

Kódová jména existují, protože bezpečnostní výzkumníci potřebují sdílený a trvalý štítek pro určitou škodlivou aktivitu, a to dávno předtím, než je možné prokázat konkrétní právní identitu lidí nebo učinit oficiální policejní obvinění . Shane Huntley, technický ředitel GTIG, v rozhovorech vysvětlil, že přezdívka slouží jako „trvalá kotva“ – umožňuje analytikům z různých organizací, kontinentů i oborů okamžitě sdílet informace o stejném protivníkovi . Správně pojmenovaná skupina promění nesourodou sbírku IP adres, vzorků malwaru a pozorovaných taktik v dohledatelný subjekt, který lze studovat roky .

Než hackerská skupina dostane trvalé jméno, obvykle začíná jako dočasný sledovací cluster s označením UNC (Uncategorized – nekategorizováno) a číselným identifikátorem, například UNC1878 . Teprve až je nashromážděno dost důkazů, postoupí na pojmenovanou přezdívku.

Problém roztříštěnosti: Příliš mnoho jmen pro stejnou hrozbu

Nárůst počtu hrozeb starý přístup zahltil. Hlavní analytik Googlu John Hultquist uvedl, že společnost nyní sleduje přes 5 000 „aktivitních clusterů“ z mnoha zemí – objem, který žádné číselné třídění nezvládne . Při tolika entitách se posloupná APT čísla stala stejně matoucí jako užitečná.

„Často to nedokážou sledovat ani samotní insiderři z oboru,“ řekl Huntley TechCrunch . Každý bezpečnostní dodavatel má svou taxonomii. Microsoft používá jména podle počasí (Nobelium, Seashell Blizzard), CrowdStrike zvířecí (Cozy Bear, Fancy Bear) a Palo Alto Networks vlastní systém (Muddled Libra) . Tato roztříštěnost zpomaluje reakci na incidenty, protože týmy ztrácejí čas srovnáváním názvů místo zastavení útoku . Huntley vysvětlil, že přimět různé firmy k univerzálnímu systému není reálné – každá organizace má jiné možnosti vidění, data i provozní potřeby .

Nový systém Googlu: Náhodné jméno + slovo pro zemi

Nový systém GTIG nahrazuje starou číselnou řadu Mandiant (APT1, APT41 atd.) a sjednocuje pojmenovávání, které se nezávisle vyvinulo uvnitř Google Threat Analysis Group a Mandiantu .

Nový formát má dvě části :

• První slovo – zapamatovatelné, náhodně zvolené jméno, které jednoznačně identifikuje konkrétní skupinu. Pokud už skupina má známé jméno z veřejného zpravodajství (např. Lazarus), GTIG ho ponechává .
• Druhé slovo – pevně daný ukazatel kategorie, jehož první písmeno signalizuje uznávanou zemi původu nebo typ aktivity. Čtyři potvrzené kódy zemí jsou :
  • Castle → Čína
  • Ion → Írán
  • Neptune → Severní Korea
  • Relic → Rusko

Systém není omezen na tyto čtyři kategorie; Google vytvořil taxonomii, kterou lze podle potřeby doplňovat o další slova . Huntley uvedl, že změna má „usnadnit výzkumníkům uvnitř i vně společnosti jasně identifikovat různé hrozící skupiny“ a umožnit obráncům na první pohled pochopit původ, motivy a typ aktivity útočníka .

Hlubší výzva: Státní aktéři, zločinci a žoldnéřští hackeři splývají

I když změna pojmenování pomáhá, neřeší nejzásadnější obtíž v oblasti zpravodajství o hrozbách: jasné oddělení státem podporovaných pokročilých perzistentních hrozeb od kyberzločineckých gangů a komerčních hackerů najímaných na zakázku .

Tyto kategorie se v praxi výrazně překrývají. Skupiny napojené na státy někdy přebírají kriminální taktiky ransomware pro generování příjmů nebo maskování svého původu . Zločinecké skupiny prodávají přístup a nástroje vládním aktérům. Firma, která najímá hackery, působí v obou světech. Personál, nástroje a důsledky jsou často k nerozeznání .

Hultquist upozornil, že Googlem sledovaných 5 000+ clusterů zahrnuje státní aktéry, kybernetické zločince i žoldnéřské prodejce spywaru – a hranice se neustále stírají . Phishing generovaný umělou inteligencí a automatizované nástroje pro průzkum dále rozmazávají linie, takže je těžší rozeznat státní zpravodajskou operaci od finančně motivovaného zločinu .

Nový systém Googlu pomáhá tím, že přímo do názvu skupiny vkládá kontext země původu, ale nevyřeší základní nejednoznačnost: skupina může v jedné kampani působit jako státní špionáž a v jiné jako nezávislý provozovatel ransomware; skupiny často mění značku nebo sdílejí infrastrukturu .

Shrnutí

Kódová jména poskytují kritickou společnou slovní zásobu pro sledování protivníků napříč kyberbezpečnostním průmyslem. Nejednotné systémy pojmenovávání různých dodavatelů však vytvářely nebezpečný zmatek. Nové dvouslovné schéma Googlu – náhodné jméno v kombinaci se slovem označujícím zemi – přímo řeší tuto roztříštěnost pro vlastní sledování více než 5 000 clusterů. Změna usnadňuje obráncům rychlé pochopení, proti komu stojí. Hlubší problém oddělení státních aktérů od zločinců a žoldnéřů však zůstává nevyřešenou provozní výzvou, kterou žádná reforma pojmenovávání zcela nevyřeší.

Proč bezpečnostní firmy vůbec dávají hackerským skupinám kódová jména

Kódová jména existují, protože bezpečnostní výzkumníci potřebují sdílený a trvalý štítek pro určitou škodlivou aktivitu, a to dávno předtím, než je možné prokázat konkrétní právní identitu lidí nebo učinit oficiální policejní obvinění . Shane Huntley, technický ředitel GTIG, v rozhovorech vysvětlil, že přezdívka slouží jako „trvalá kotva“ – umožňuje analytikům z různých organizací, kontinentů i oborů okamžitě sdílet informace o stejném protivníkovi . Správně pojmenovaná skupina promění nesourodou sbírku IP adres, vzorků malwaru a pozorovaných taktik v dohledatelný subjekt, který lze studovat roky .

Než hackerská skupina dostane trvalé jméno, obvykle začíná jako dočasný sledovací cluster s označením UNC (Uncategorized – nekategorizováno) a číselným identifikátorem, například UNC1878 . Teprve až je nashromážděno dost důkazů, postoupí na pojmenovanou přezdívku.

Problém roztříštěnosti: Příliš mnoho jmen pro stejnou hrozbu

Nárůst počtu hrozeb starý přístup zahltil. Hlavní analytik Googlu John Hultquist uvedl, že společnost nyní sleduje přes 5 000 „aktivitních clusterů“ z mnoha zemí – objem, který žádné číselné třídění nezvládne . Při tolika entitách se posloupná APT čísla stala stejně matoucí jako užitečná.

„Často to nedokážou sledovat ani samotní insiderři z oboru,“ řekl Huntley TechCrunch . Každý bezpečnostní dodavatel má svou taxonomii. Microsoft používá jména podle počasí (Nobelium, Seashell Blizzard), CrowdStrike zvířecí (Cozy Bear, Fancy Bear) a Palo Alto Networks vlastní systém (Muddled Libra) . Tato roztříštěnost zpomaluje reakci na incidenty, protože týmy ztrácejí čas srovnáváním názvů místo zastavení útoku . Huntley vysvětlil, že přimět různé firmy k univerzálnímu systému není reálné – každá organizace má jiné možnosti vidění, data i provozní potřeby .

Nový systém Googlu: Náhodné jméno + slovo pro zemi

Nový systém GTIG nahrazuje starou číselnou řadu Mandiant (APT1, APT41 atd.) a sjednocuje pojmenovávání, které se nezávisle vyvinulo uvnitř Google Threat Analysis Group a Mandiantu .

Nový formát má dvě části :

• První slovo – zapamatovatelné, náhodně zvolené jméno, které jednoznačně identifikuje konkrétní skupinu. Pokud už skupina má známé jméno z veřejného zpravodajství (např. Lazarus), GTIG ho ponechává .
• Druhé slovo – pevně daný ukazatel kategorie, jehož první písmeno signalizuje uznávanou zemi původu nebo typ aktivity. Čtyři potvrzené kódy zemí jsou :
  • Castle → Čína
  • Ion → Írán
  • Neptune → Severní Korea
  • Relic → Rusko

Systém není omezen na tyto čtyři kategorie; Google vytvořil taxonomii, kterou lze podle potřeby doplňovat o další slova . Huntley uvedl, že změna má „usnadnit výzkumníkům uvnitř i vně společnosti jasně identifikovat různé hrozící skupiny“ a umožnit obráncům na první pohled pochopit původ, motivy a typ aktivity útočníka .

Hlubší výzva: Státní aktéři, zločinci a žoldnéřští hackeři splývají

I když změna pojmenování pomáhá, neřeší nejzásadnější obtíž v oblasti zpravodajství o hrozbách: jasné oddělení státem podporovaných pokročilých perzistentních hrozeb od kyberzločineckých gangů a komerčních hackerů najímaných na zakázku .

Tyto kategorie se v praxi výrazně překrývají. Skupiny napojené na státy někdy přebírají kriminální taktiky ransomware pro generování příjmů nebo maskování svého původu . Zločinecké skupiny prodávají přístup a nástroje vládním aktérům. Firma, která najímá hackery, působí v obou světech. Personál, nástroje a důsledky jsou často k nerozeznání .

Hultquist upozornil, že Googlem sledovaných 5 000+ clusterů zahrnuje státní aktéry, kybernetické zločince i žoldnéřské prodejce spywaru – a hranice se neustále stírají . Phishing generovaný umělou inteligencí a automatizované nástroje pro průzkum dále rozmazávají linie, takže je těžší rozeznat státní zpravodajskou operaci od finančně motivovaného zločinu .

Nový systém Googlu pomáhá tím, že přímo do názvu skupiny vkládá kontext země původu, ale nevyřeší základní nejednoznačnost: skupina může v jedné kampani působit jako státní špionáž a v jiné jako nezávislý provozovatel ransomware; skupiny často mění značku nebo sdílejí infrastrukturu .

Shrnutí

Kódová jména poskytují kritickou společnou slovní zásobu pro sledování protivníků napříč kyberbezpečnostním průmyslem. Nejednotné systémy pojmenovávání různých dodavatelů však vytvářely nebezpečný zmatek. Nové dvouslovné schéma Googlu – náhodné jméno v kombinaci se slovem označujícím zemi – přímo řeší tuto roztříštěnost pro vlastní sledování více než 5 000 clusterů. Změna usnadňuje obráncům rychlé pochopení, proti komu stojí. Hlubší problém oddělení státních aktérů od zločinců a žoldnéřů však zůstává nevyřešenou provozní výzvou, kterou žádná reforma pojmenovávání zcela nevyřeší.