Hvorfor cybersikkerhedsvirksomheder giver hackergrupper kodenavne

Kodenavne findes, fordi forskere har brug for en fælles, vedvarende betegnelse for en samling ondsindet aktivitet, længe før man kan bevise individuelle juridiske identiteter eller foretage en formel politiattribuering . Som Googles Shane Huntley, CTO for GTIG, forklarede i interviews, fungerer et kodenavn som et "vedvarende anker" – det gør det muligt for analytikere på tværs af organisationer, kontinenter og brancher øjeblikkeligt at dele efterretninger om den samme modstander . Et korrekt navngivet hold gør en diffus samling af IP-adresser, malware-signaturer og observerede taktikker til en sporbare enhed, der kan studeres over flere år .

Før en hackergruppe får et permanent navn, starter den typisk som en midlertidig sporingsklynge med et UNC (Uncategorized)-label og et nummer, f.eks. UNC1878 . Først når der er samlet nok beviser, bliver klyngen forfremmet til et rigtigt kodenavn.

Fragmenteringsproblemet: For mange navne for den samme trussel

Trusselslandskabets vækst har overvældet den gamle tilgang. Googles chefanalytiker John Hultquist bemærkede, at virksomheden nu sporer over 5.000 "aktivitetsklynger" på tværs af flere lande – en mængde der gør enhver nummerbaseret taksonomi uarbejdsdygtig . Med så mange enheder blev de sekventielle APT-numre lige så forvirrende som nyttige.

"Selv branchefolk kan ofte ikke følge med," sagde Huntley til TechCrunch . Hver sikkerhedsleverandør har sin egen taksonomi. Microsoft bruger vejr-temaer (Nobelium, Seashell Blizzard), CrowdStrike bruger dyre-temaer (Cozy Bear, Fancy Bear), og Palo Alto Networks bruger sit eget system (f.eks. Muddled Libra) . Denne fragmentering forsinker responstiden, fordi hold spilder tid på at afstemme labels i stedet for at begrænse skaden . Huntley forklarede, at det ikke er realistisk at få forskellige virksomheder til at bruge ét universelt system, fordi hver organisation har forskellig synlighed, forskellige data og forskellige operationelle behov .

Googles nye navngivningssystem: Tilfældigt navn + landeord

GTIG's nye system erstatter Mandiants gamle APT-nummerrække (APT1, APT41 osv.) og samler de navngivningsmetoder, der var udviklet uafhængigt internt i Googles Threat Analysis Group og Mandiant .

Det nye format består af to dele :

• Første ord – et let huskeligt, tilfældigt valgt navn, der unikt identificerer den specifikke gruppe. Hvis en gruppe allerede har et velkendt navn fra offentlig rapportering (f.eks. Lazarus), bibeholder GTIG det navn .
• Andet ord – en fast kategoriindikator, hvis første bogstav signalerer det vurderede oprindelsesland eller aktivitetstype. De fire bekræftede landekoder er :
  • Castle → Kina
  • Ion → Iran
  • Neptune → Nordkorea
  • Relic → Rusland

Systemet er ikke begrænset til disse fire kategorier; Google har bygget taksonomien til at kunne rumme yderligere kategorieord efter behov . Huntley sagde, at ændringen var designet til at gøre det "lettere for forskere både internt og eksternt at identificere forskellige trusselsgrupper" og lade forsvarere forstå en angribers oprindelse, motiver og aktivitetstype ved første øjekast .

Den dybere udfordring: Statsaktører, kriminelle og lejesoldater flyder sammen

Selvom navneændringen hjælper, løser den ikke den mest grundlæggende vanskelighed i trusselsintelligens: klart at adskille statsstøttede avancerede vedvarende trusler (APT'er) fra cyberkriminelle bander og kommercielle hacker-for-lege-operationer .

Disse kategorier overlapper markant i praksis. Statsallierede grupper tager nogle gange kriminelle ransomware-taktikker i brug for at generere indtægter eller skjule deres oprindelse . Kriminelle grupper sælger adgang og værktøjer til statsstøttede aktører. Hacker-for-lege-firmaer opererer på tværs af begge verdener. Personel, værktøjer og effekter er ofte umulige at skelne .

Hultquist har påpeget, at Googles 5.000+ sporede klynger inkluderer statsaktører, cyberkriminelle og lejesoldat-spywareleverandører – og grænserne udviskes konstant . AI-genereret phishing og automatiserede rekognosceringsværktøjer gør linjerne endnu mere utydelige og gør det sværere at skelne mellem en statsstøttet efterretningsoperation og en økonomisk motiveret kriminel ring .

Googles nye navngivningssystem hjælper ved at indlejre oprindelseslandskontekst direkte i hver gruppes label, men det kan ikke løse den underliggende tvetydighed: en gruppe kan optræde som en statsstøttet spionagenhed i én kampagne og som en freelance ransomware-operatør i en anden, og grupper rebrander eller deler ofte infrastruktur .

Bundlinje

Kodenavne giver et kritisk fælles vokabular til at spore modstandere på tværs af cybersikkerhedsbranchen. Men inkonsistente leverandør-navngivningssystemer skabte farlig forvirring. Googles nye to-ords-skema – et tilfældigt fornavn parret med et landeindikerende ord – tackler direkte den fragmentering for virksomhedens egen sporing af 5.000+ klynger. Ændringen gør det lettere for forsvarere hurtigt at forstå, hvem de står over for. Den dybere vanskelighed med at adskille statsaktører fra kriminelle og lejesoldater forbliver dog en igangværende operationel udfordring, som ingen navneændring fuldt ud kan løse.

Hvorfor cybersikkerhedsvirksomheder giver hackergrupper kodenavne

Kodenavne findes, fordi forskere har brug for en fælles, vedvarende betegnelse for en samling ondsindet aktivitet, længe før man kan bevise individuelle juridiske identiteter eller foretage en formel politiattribuering . Som Googles Shane Huntley, CTO for GTIG, forklarede i interviews, fungerer et kodenavn som et "vedvarende anker" – det gør det muligt for analytikere på tværs af organisationer, kontinenter og brancher øjeblikkeligt at dele efterretninger om den samme modstander . Et korrekt navngivet hold gør en diffus samling af IP-adresser, malware-signaturer og observerede taktikker til en sporbare enhed, der kan studeres over flere år .

Før en hackergruppe får et permanent navn, starter den typisk som en midlertidig sporingsklynge med et UNC (Uncategorized)-label og et nummer, f.eks. UNC1878 . Først når der er samlet nok beviser, bliver klyngen forfremmet til et rigtigt kodenavn.

Fragmenteringsproblemet: For mange navne for den samme trussel

Trusselslandskabets vækst har overvældet den gamle tilgang. Googles chefanalytiker John Hultquist bemærkede, at virksomheden nu sporer over 5.000 "aktivitetsklynger" på tværs af flere lande – en mængde der gør enhver nummerbaseret taksonomi uarbejdsdygtig . Med så mange enheder blev de sekventielle APT-numre lige så forvirrende som nyttige.

"Selv branchefolk kan ofte ikke følge med," sagde Huntley til TechCrunch . Hver sikkerhedsleverandør har sin egen taksonomi. Microsoft bruger vejr-temaer (Nobelium, Seashell Blizzard), CrowdStrike bruger dyre-temaer (Cozy Bear, Fancy Bear), og Palo Alto Networks bruger sit eget system (f.eks. Muddled Libra) . Denne fragmentering forsinker responstiden, fordi hold spilder tid på at afstemme labels i stedet for at begrænse skaden . Huntley forklarede, at det ikke er realistisk at få forskellige virksomheder til at bruge ét universelt system, fordi hver organisation har forskellig synlighed, forskellige data og forskellige operationelle behov .

Googles nye navngivningssystem: Tilfældigt navn + landeord

GTIG's nye system erstatter Mandiants gamle APT-nummerrække (APT1, APT41 osv.) og samler de navngivningsmetoder, der var udviklet uafhængigt internt i Googles Threat Analysis Group og Mandiant .

Det nye format består af to dele :

• Første ord – et let huskeligt, tilfældigt valgt navn, der unikt identificerer den specifikke gruppe. Hvis en gruppe allerede har et velkendt navn fra offentlig rapportering (f.eks. Lazarus), bibeholder GTIG det navn .
• Andet ord – en fast kategoriindikator, hvis første bogstav signalerer det vurderede oprindelsesland eller aktivitetstype. De fire bekræftede landekoder er :
  • Castle → Kina
  • Ion → Iran
  • Neptune → Nordkorea
  • Relic → Rusland

Systemet er ikke begrænset til disse fire kategorier; Google har bygget taksonomien til at kunne rumme yderligere kategorieord efter behov . Huntley sagde, at ændringen var designet til at gøre det "lettere for forskere både internt og eksternt at identificere forskellige trusselsgrupper" og lade forsvarere forstå en angribers oprindelse, motiver og aktivitetstype ved første øjekast .

Den dybere udfordring: Statsaktører, kriminelle og lejesoldater flyder sammen

Selvom navneændringen hjælper, løser den ikke den mest grundlæggende vanskelighed i trusselsintelligens: klart at adskille statsstøttede avancerede vedvarende trusler (APT'er) fra cyberkriminelle bander og kommercielle hacker-for-lege-operationer .

Disse kategorier overlapper markant i praksis. Statsallierede grupper tager nogle gange kriminelle ransomware-taktikker i brug for at generere indtægter eller skjule deres oprindelse . Kriminelle grupper sælger adgang og værktøjer til statsstøttede aktører. Hacker-for-lege-firmaer opererer på tværs af begge verdener. Personel, værktøjer og effekter er ofte umulige at skelne .

Hultquist har påpeget, at Googles 5.000+ sporede klynger inkluderer statsaktører, cyberkriminelle og lejesoldat-spywareleverandører – og grænserne udviskes konstant . AI-genereret phishing og automatiserede rekognosceringsværktøjer gør linjerne endnu mere utydelige og gør det sværere at skelne mellem en statsstøttet efterretningsoperation og en økonomisk motiveret kriminel ring .

Googles nye navngivningssystem hjælper ved at indlejre oprindelseslandskontekst direkte i hver gruppes label, men det kan ikke løse den underliggende tvetydighed: en gruppe kan optræde som en statsstøttet spionagenhed i én kampagne og som en freelance ransomware-operatør i en anden, og grupper rebrander eller deler ofte infrastruktur .

Bundlinje

Kodenavne giver et kritisk fælles vokabular til at spore modstandere på tværs af cybersikkerhedsbranchen. Men inkonsistente leverandør-navngivningssystemer skabte farlig forvirring. Googles nye to-ords-skema – et tilfældigt fornavn parret med et landeindikerende ord – tackler direkte den fragmentering for virksomhedens egen sporing af 5.000+ klynger. Ændringen gør det lettere for forsvarere hurtigt at forstå, hvem de står over for. Den dybere vanskelighed med at adskille statsaktører fra kriminelle og lejesoldater forbliver dog en igangværende operationel udfordring, som ingen navneændring fuldt ud kan løse.