Googlen uusi hakkerien nimeämisjärjestelmä: Miksi APT1:stä tuli 'Satunnainen nimi + maarajoitus'

Ennen kuin hakkeriryhmä saa pysyvän nimen, se on yleensä väliaikainen seurantaklusteri, jota kutsutaan UNC-tunnuksella (Uncategorized) ja numeroivalla tunnisteella, kuten UNC1878. Vasta kun tarpeeksi todisteita on kertynyt, ryhmä siirtyy nimettyyn koodinimeen.

Pirstaloitumisen ongelma: Liian monta nimeä samalle uhalle

Uhkakentän kasvu on ylittänyt vanhan lähestymistavan. Googlen pääanalyytikko John Hultquist totesi, että yhtiö seuraa nyt yli 5 000 'toimintaklusteria' useissa maissa – volyymi, joka tekee yhdestä numeroivasta taksonomiasta mahdottoman. Näin monen entiteetin kanssa peräkkäisistä APT-numeroista tuli yhtä hämmentäviä kuin hyödyllisiä.

'Usein edes alan sisäpiiriläiset eivät pysy perässä', Huntley kertoi TechCrunchille. Jokaisella tietoturvatoimittajalla on oma taksonomiansa. Microsoft käyttää säähän liittyviä nimiä (Nobelium, Seashell Blizzard), CrowdStrike eläinaiheisia nimiä (Cozy Bear, Fancy Bear) ja Palo Alto Networks omaa järjestelmäänsä (esim. Muddled Libra). Tämä pirstaloituminen hidastaa tietoturvaloukkausten torjuntaa, koska tiimit tuhlaavat aikaa nimien yhteensovittamiseen sen sijaan, että keskittyisivät vahingon rajoittamiseen. Huntley selitti, että eri yritysten saaminen käyttämään yhtä yleismaailmallista järjestelmää ei ole realistista, koska jokaisella organisaatiolla on erilainen näkyvyys, erilaiset tiedot ja erilaiset operatiiviset tarpeet.

Googlen uusi nimeämisjärjestelmä: Satunnainen nimi + maasana

GTIG:n uusi nimeämisjärjestelmä korvaa Mandiantin vanhan APT-numerosekvenssin (APT1, APT41 jne.) ja yhdistää nimikäytännöt, jotka olivat kehittyneet itsenäisesti Googlen Threat Analysis Groupin ja Mandiantin sisällä.

Uudessa muodossa on kaksi osaa :

• Ensimmäinen sana – muistettava, satunnaisesti valittu nimi, joka yksilöi tietyn ryhmän. Jos ryhmällä on jo tunnettu nimi julkisesta raportoinnista (esim. Lazarus), GTIG säilyttää sen.
• Toinen sana – kiinteä kategoriaosoitin, jonka ensimmäinen kirjain viestii arvioidusta alkuperämaasta tai toimintatyypistä. Vahvistetut maakoodit ovat :
  • Castle → Kiina
  • Ion → Iran
  • Neptune → Pohjois-Korea
  • Relic → Venäjä

Järjestelmä ei rajoitu näihin neljään kategoriaan; Google on rakentanut taksonomian siten, että se voi tarvittaessa ottaa käyttöön uusia kategoriasanoja. Huntley sanoi, että muutos suunniteltiin helpottamaan 'tutkijoiden työtä yhtiön sisällä ja ulkopuolella eri uhkien selkeässä tunnistamisessa' ja antamaan puolustajille mahdollisuuden ymmärtää hyökkääjän alkuperä, motiivit ja toiminnan tyyppi yhdellä silmäyksellä.

Syvempi haaste: Valtiolliset toimijat, rikolliset ja palkkiohakkerit sulautuvat yhteen

Vaikka nimeämisuudistus auttaa, se ei ratkaise uhkatiedustelun perustavanlaatuisinta ongelmaa: valtiollisten edistyneiden pysyvien uhkien erottamista kyberrikollisjoukoista ja kaupallisista palkkiohakkeritoimijoista.

Nämä kategoriat menevät käytännössä voimakkaasti päällekkäin. Valtiolliset ryhmät omaksuvat joskus rikollisia kiristysohjelmataktiikoita tulonhankintaan tai alkuperänsä peittämiseen. Rikollisryhmät myyvät pääsyä ja työkaluja valtion tukemille toimijoille. Palkkiohakkeriyritykset toimivat molemmilla alueilla. Henkilöstö, työkalut ja vaikutukset ovat usein erottamattomia.

Hultquist on huomauttanut, että Googlen yli 5 000 seuratun klusterin joukossa on valtiollisia toimijoita, kyberrikollisia ja palkkavakoojatoimittajia – ja rajat hämärtyvät jatkuvasti. Tekoälyn luoma tietojenkalastelu ja automatisoidut tiedustelutyökalut hämärtävät rajoja entisestään, mikä vaikeuttaa valtiollisen tiedusteluoperaation ja taloudellisesti motivoituneen rikollisringin erottamista toisistaan.

Googlen uusi nimeämisjärjestelmä auttaa sisällyttämällä alkuperämaan kontekstin suoraan ryhmän tunnukseen, mutta se ei ratkaise perustavanlaatuista epäselvyyttä: ryhmä voi toimia valtion tukemana vakoiluyksikkönä yhdessä kampanjassa ja freelancer-kiristysohjelmaoperaattorina toisessa, ja ryhmät vaihtavat usein brändiään tai jakavat infrastruktuuria.

Yhteenveto

Koodinimet tarjoavat kriittisen yhteisen sanaston vihollisten seuraamiseen kyberturvallisuusalalla. Mutta epäjohdonmukaiset toimittajien nimeämisjärjestelmät aiheuttivat vaarallista sekaannusta. Googlen uusi kaksiosainen järjestelmä – satunnainen etunimi yhdistettynä maata ilmaisevaan toiseen sanaan – puuttuu suoraan tähän pirstaloitumiseen omien yli 5 000 klusterinsa seurannassa. Muutos helpottaa puolustajien nopeaa ymmärrystä siitä, ketä vastaan he ovat. Kuitenkin syvempi vaikeus erottaa valtiolliset toimijat rikollisista ja palkkasotureista on edelleen jatkuva operatiivinen haaste, jota mikään nimeämisuudistus ei voi täysin ratkaista.