Google sostituisce i numeri APT con nomi a due parole: da Sandworm a SANDWORM RELIC

Come funziona il nuovo sistema

Ogni attore della minaccia riceverà un nome formato da due elementi :

• La prima parola identifica in modo univoco il gruppo ed è pensata per essere facile da ricordare. Quando possibile, GTIG utilizza un nome già presente nella documentazione pubblica, come “Sandworm”. Se non esiste un nome adatto, gli analisti ne generano uno casualmente e lo sottopongono a verifica .
• La seconda parola è un’etichetta fissa che fornisce subito un’indicazione sull’attribuzione o sulla motivazione dell’attore.

Le categorie iniziali sono:

Da APT44 a SANDWORM RELIC

Il caso più noto è quello di APT44, il gruppo precedentemente associato al nome Sandworm, che ora viene indicato come SANDWORM RELIC .

Il cambiamento non riguarderà subito ogni gruppo monitorato. GTIG ha dato priorità alla ridenominazione di diverse decine degli attori più attivi; gli altri saranno aggiornati progressivamente . Per i cluster ancora nelle prime fasi di analisi continuerà a essere utilizzata la sigla UNC, abbreviazione di “uncategorized”, cioè “non categorizzato” .

I vecchi nomi non spariranno

Il nuovo sistema non cancella la nomenclatura precedente. I nomi già utilizzati resteranno indicizzati e ricercabili sulla piattaforma Google Threat Intelligence. Google manterrà inoltre le corrispondenze con MITRE ATT&CK e gli alias adottati da altri fornitori di sicurezza .

Questa compatibilità retroattiva è importante perché la ricerca sulle minacce si basa su anni di report, indicatori e riferimenti incrociati. Un cambio di nome senza collegamenti ai dati storici rischierebbe di creare ulteriore confusione invece di ridurla.

Google sceglie una strada autonoma

La decisione di Google si inserisce in una tendenza più ampia del settore, che sta cercando di superare le sequenze numeriche poco descrittive con tassonomie più intuitive. Microsoft utilizza nomi ispirati agli eventi meteorologici, CrowdStrike una nomenclatura basata sugli animali e Palo Alto Networks riferimenti alle costellazioni .

Google, tuttavia, ha scelto di procedere con un sistema proprio invece di aderire all’iniziativa per una nomenclatura condivisa tra fornitori che Microsoft aveva contribuito a promuovere .

Per i difensori, il vantaggio pratico è immediato: un nome come SANDWORM RELIC comunica più informazioni di una sigla numerica e può aiutare analisti e responsabili della sicurezza a orientarsi più rapidamente durante un incidente. Il nuovo schema non elimina le differenze tra le valutazioni dei vari fornitori, ma punta a rendere più chiaro il collegamento tra identità del gruppo e contesto dell’attività.