Mengapa perusahaan keamanan siber memberi nama kode pada kelompok hacker

Nama kode ada karena peneliti keamanan siber perlu label bersama yang permanen untuk sekumpulan aktivitas berbahaya, jauh sebelum identitas hukum individu bisa dibuktikan atau penegak hukum resmi melakukan atribusi . Seperti yang dijelaskan Shane Huntley, CTO GTIG, dalam berbagai wawancara, nama kode bertindak sebagai "jangkar permanen" — memungkinkan analis dari berbagai organisasi, benua, dan industri untuk langsung berbagi intelijen tentang musuh yang sama . Sebuah kelompok yang diberi nama dengan tepat mengubah kumpulan IP, tanda tangan malware, dan taktik yang tersebar menjadi entitas yang bisa dilacak dan dipelajari selama bertahun-tahun .

Sebelum sebuah kelompok peretas menerima nama permanen, biasanya kelompok tersebut dimulai sebagai kluster pelacakan sementara, diberi label UNC (Uncategorized) dan pengenal numerik, seperti UNC1878 . Hanya setelah bukti yang cukup terkumpul, kelompok tersebut naik pangkat menjadi nama kode resmi.

Masalah fragmentasi: Terlalu banyak nama untuk satu ancaman yang sama

Pertumbuhan lanskap ancaman telah membuat pendekatan lama kewalahan. John Hultquist, Kepala Analis Google, mencatat bahwa perusahaan kini melacak lebih dari 5.000 "kluster aktivitas" di berbagai negara — volume yang membuat taksonomi numerik apa pun tidak dapat dijalankan . Dengan begitu banyak entitas, nomor APT berurutan menjadi sama membingungkannya dengan manfaatnya.

"Seringkali, bahkan orang dalam industri pun tidak bisa mengingat semuanya," kata Huntley kepada TechCrunch . Setiap vendor keamanan memiliki taksonominya sendiri. Microsoft menggunakan nama bertema cuaca (Nobelium, Seashell Blizzard), CrowdStrike menggunakan nama bertema hewan (Cozy Bear, Fancy Bear), dan Palo Alto Networks menggunakan sistemnya sendiri (misalnya, Muddled Libra) . Fragmentasi ini memperlambat respons insiden karena tim membuang waktu untuk mencocokkan label alih-alih membendung kerusakan . Huntley menjelaskan bahwa meminta perusahaan yang berbeda untuk mengadopsi satu sistem universal tidak realistis, karena setiap organisasi memiliki visibilitas, data, dan kebutuhan operasional yang berbeda .

Sistem penamaan baru Google: Nama acak + kata negara

Sistem penamaan baru GTIG menggantikan urutan numerik APT warisan Mandiant (APT1, APT41, dll.) dan menyatukan pendekatan penamaan yang berkembang secara independen di dalam Google Threat Analysis Group dan Mandiant .

Format baru memiliki dua bagian :

• Kata pertama — nama acak yang mudah diingat yang secara unik mengidentifikasi kelompok tertentu. Jika sebuah kelompok sudah memiliki nama terkenal dari pelaporan publik (misalnya, Lazarus), GTIG mempertahankan nama yang sudah mapan itu .
• Kata kedua — indikator kategori tetap yang huruf pertamanya menandakan negara asal atau jenis aktivitas yang dinilai. Empat kode negara yang dikonfirmasi adalah :
  • Castle → China
  • Ion → Iran
  • Neptune → Korea Utara
  • Relic → Rusia

Sistem ini tidak terbatas pada empat kategori ini; Google telah membangun taksonomi untuk menampung kata-kata kategori tambahan sesuai kebutuhan . Huntley mengatakan perubahan ini dirancang untuk memudahkan "peneliti di dalam dan luar perusahaan untuk mengidentifikasi berbagai kelompok ancaman dengan jelas" dan memungkinkan para pembela memahami asal-usul, motif, dan jenis aktivitas penyerang secara sekilas .

Tantangan yang lebih dalam: Aktor negara, kriminal, dan hacker bayaran makin kabur batasnya

Meskipun perombakan penamaan membantu, hal itu tidak menyelesaikan kesulitan paling mendasar dalam intelijen ancaman: memisahkan dengan jelas ancaman persisten tingkat lanjut yang didanai negara dari geng kriminal siber dan operasi hacker bayaran komersial .

Kategori-kategori ini tumpang tindih secara signifikan dalam praktiknya. Kelompok yang berafiliasi dengan negara terkadang mengadopsi taktik ransomware kriminal untuk menghasilkan pendapatan atau menyamarkan asal-usul mereka . Kelompok kriminal menjual akses dan peralatan ke aktor yang didukung pemerintah. Perusahaan hacker bayaran beroperasi di kedua dunia. Personel, peralatan, dan efeknya seringkali tidak bisa dibedakan .

Hultquist telah menunjukkan bahwa 5.000+ kluster yang dilacak Google mencakup aktor negara, kriminal siber, dan vendor spyware bayaran — dan batasannya terus kabur . Phishing yang dihasilkan AI dan alat pengintaian otomatis semakin mengaburkan garis, membuatnya lebih sulit untuk membedakan antara operasi intelijen yang didanai negara dan geng kejahatan yang bermotif finansial .

Sistem penamaan baru Google membantu dengan menyematkan konteks negara asal langsung ke dalam label setiap kelompok, tetapi tidak dapat menyelesaikan ambiguitas yang mendasarinya: sebuah kelompok mungkin beroperasi sebagai unit mata-mata yang didukung negara dalam satu kampanye dan sebagai operator ransomware lepas di kampanye lain, dan kelompok sering berganti merek atau berbagi infrastruktur .

Intinya

Nama kode menyediakan kosakata bersama yang penting untuk melacak musuh di seluruh industri keamanan siber. Tetapi sistem penamaan vendor yang tidak konsisten menciptakan kebingungan yang berbahaya. Skema dua kata baru Google — nama acak dipasangkan dengan kata penunjuk negara — secara langsung mengatasi fragmentasi itu untuk pelacakan 5.000+ klusternya sendiri. Perubahan ini memudahkan pembela untuk memahami dengan cepat siapa yang mereka hadapi. Namun kesulitan yang lebih dalam dalam memisahkan aktor negara dari kriminal dan tentara bayaran tetap menjadi tantangan operasional berkelanjutan yang tidak dapat diselesaikan oleh reformasi penamaan apa pun.

Mengapa perusahaan keamanan siber memberi nama kode pada kelompok hacker

Nama kode ada karena peneliti keamanan siber perlu label bersama yang permanen untuk sekumpulan aktivitas berbahaya, jauh sebelum identitas hukum individu bisa dibuktikan atau penegak hukum resmi melakukan atribusi . Seperti yang dijelaskan Shane Huntley, CTO GTIG, dalam berbagai wawancara, nama kode bertindak sebagai "jangkar permanen" — memungkinkan analis dari berbagai organisasi, benua, dan industri untuk langsung berbagi intelijen tentang musuh yang sama . Sebuah kelompok yang diberi nama dengan tepat mengubah kumpulan IP, tanda tangan malware, dan taktik yang tersebar menjadi entitas yang bisa dilacak dan dipelajari selama bertahun-tahun .

Sebelum sebuah kelompok peretas menerima nama permanen, biasanya kelompok tersebut dimulai sebagai kluster pelacakan sementara, diberi label UNC (Uncategorized) dan pengenal numerik, seperti UNC1878 . Hanya setelah bukti yang cukup terkumpul, kelompok tersebut naik pangkat menjadi nama kode resmi.

Masalah fragmentasi: Terlalu banyak nama untuk satu ancaman yang sama

Pertumbuhan lanskap ancaman telah membuat pendekatan lama kewalahan. John Hultquist, Kepala Analis Google, mencatat bahwa perusahaan kini melacak lebih dari 5.000 "kluster aktivitas" di berbagai negara — volume yang membuat taksonomi numerik apa pun tidak dapat dijalankan . Dengan begitu banyak entitas, nomor APT berurutan menjadi sama membingungkannya dengan manfaatnya.

"Seringkali, bahkan orang dalam industri pun tidak bisa mengingat semuanya," kata Huntley kepada TechCrunch . Setiap vendor keamanan memiliki taksonominya sendiri. Microsoft menggunakan nama bertema cuaca (Nobelium, Seashell Blizzard), CrowdStrike menggunakan nama bertema hewan (Cozy Bear, Fancy Bear), dan Palo Alto Networks menggunakan sistemnya sendiri (misalnya, Muddled Libra) . Fragmentasi ini memperlambat respons insiden karena tim membuang waktu untuk mencocokkan label alih-alih membendung kerusakan . Huntley menjelaskan bahwa meminta perusahaan yang berbeda untuk mengadopsi satu sistem universal tidak realistis, karena setiap organisasi memiliki visibilitas, data, dan kebutuhan operasional yang berbeda .

Sistem penamaan baru Google: Nama acak + kata negara

Sistem penamaan baru GTIG menggantikan urutan numerik APT warisan Mandiant (APT1, APT41, dll.) dan menyatukan pendekatan penamaan yang berkembang secara independen di dalam Google Threat Analysis Group dan Mandiant .

Format baru memiliki dua bagian :

• Kata pertama — nama acak yang mudah diingat yang secara unik mengidentifikasi kelompok tertentu. Jika sebuah kelompok sudah memiliki nama terkenal dari pelaporan publik (misalnya, Lazarus), GTIG mempertahankan nama yang sudah mapan itu .
• Kata kedua — indikator kategori tetap yang huruf pertamanya menandakan negara asal atau jenis aktivitas yang dinilai. Empat kode negara yang dikonfirmasi adalah :
  • Castle → China
  • Ion → Iran
  • Neptune → Korea Utara
  • Relic → Rusia

Sistem ini tidak terbatas pada empat kategori ini; Google telah membangun taksonomi untuk menampung kata-kata kategori tambahan sesuai kebutuhan . Huntley mengatakan perubahan ini dirancang untuk memudahkan "peneliti di dalam dan luar perusahaan untuk mengidentifikasi berbagai kelompok ancaman dengan jelas" dan memungkinkan para pembela memahami asal-usul, motif, dan jenis aktivitas penyerang secara sekilas .

Tantangan yang lebih dalam: Aktor negara, kriminal, dan hacker bayaran makin kabur batasnya

Meskipun perombakan penamaan membantu, hal itu tidak menyelesaikan kesulitan paling mendasar dalam intelijen ancaman: memisahkan dengan jelas ancaman persisten tingkat lanjut yang didanai negara dari geng kriminal siber dan operasi hacker bayaran komersial .

Kategori-kategori ini tumpang tindih secara signifikan dalam praktiknya. Kelompok yang berafiliasi dengan negara terkadang mengadopsi taktik ransomware kriminal untuk menghasilkan pendapatan atau menyamarkan asal-usul mereka . Kelompok kriminal menjual akses dan peralatan ke aktor yang didukung pemerintah. Perusahaan hacker bayaran beroperasi di kedua dunia. Personel, peralatan, dan efeknya seringkali tidak bisa dibedakan .

Hultquist telah menunjukkan bahwa 5.000+ kluster yang dilacak Google mencakup aktor negara, kriminal siber, dan vendor spyware bayaran — dan batasannya terus kabur . Phishing yang dihasilkan AI dan alat pengintaian otomatis semakin mengaburkan garis, membuatnya lebih sulit untuk membedakan antara operasi intelijen yang didanai negara dan geng kejahatan yang bermotif finansial .

Sistem penamaan baru Google membantu dengan menyematkan konteks negara asal langsung ke dalam label setiap kelompok, tetapi tidak dapat menyelesaikan ambiguitas yang mendasarinya: sebuah kelompok mungkin beroperasi sebagai unit mata-mata yang didukung negara dalam satu kampanye dan sebagai operator ransomware lepas di kampanye lain, dan kelompok sering berganti merek atau berbagi infrastruktur .

Intinya

Nama kode menyediakan kosakata bersama yang penting untuk melacak musuh di seluruh industri keamanan siber. Tetapi sistem penamaan vendor yang tidak konsisten menciptakan kebingungan yang berbahaya. Skema dua kata baru Google — nama acak dipasangkan dengan kata penunjuk negara — secara langsung mengatasi fragmentasi itu untuk pelacakan 5.000+ klusternya sendiri. Perubahan ini memudahkan pembela untuk memahami dengan cepat siapa yang mereka hadapi. Namun kesulitan yang lebih dalam dalam memisahkan aktor negara dari kriminal dan tentara bayaran tetap menjadi tantangan operasional berkelanjutan yang tidak dapat diselesaikan oleh reformasi penamaan apa pun.