Google Kembalikan Sistem Penamaan Kumpulan Penggodam: Nama Rawak + Kod Negara

Sebelum kumpulan penggodam menerima nama kekal, ia biasanya bermula sebagai kluster penjejakan sementara, yang ditetapkan dengan label UNC (Tidak Dikategorikan) dan pengecam berangka, seperti UNC1878 . Hanya selepas bukti yang mencukupi terkumpul barulah kumpulan itu dinaik taraf kepada kod nama yang dinamakan.

Masalah pemecahan: Terlalu banyak nama untuk ancaman yang sama

Pertumbuhan landskap ancaman telah mengatasi pendekatan lama. Ketua Penganalisis Google, John Hultquist, menyatakan bahawa syarikat kini mengesan lebih 5,000 "kluster aktiviti" merentasi pelbagai negara—jumlah yang menjadikan mana-mana taksonomi berangka tunggal tidak dapat dilaksanakan . Dengan entiti yang begitu banyak, nombor APT berturut-turut menjadi sama mengelirukan seperti membantu.

"Selalunya, walaupun orang dalam industri tidak dapat mengikuti," kata Huntley kepada TechCrunch . Setiap vendor keselamatan mempunyai taksonomi sendiri. Microsoft menggunakan nama bertemakan cuaca (Nobelium, Seashell Blizzard), CrowdStrike menggunakan nama bertemakan haiwan (Cozy Bear, Fancy Bear), dan Palo Alto Networks menggunakan sistemnya sendiri (contohnya, Muddled Libra) . Pemecahan ini memperlahankan respons insiden kerana pasukan membuang masa mendamaikan label dan bukannya menahan kerosakan . Huntley menjelaskan bahawa mendapatkan syarikat berbeza untuk menerima pakai satu sistem sejagat adalah tidak realistik, kerana setiap organisasi mempunyai keterlihatan, data, dan keperluan operasi yang berbeza .

Sistem penamaan baharu Google: Nama rawak + perkataan negara

Sistem penamaan baharu GTIG menggantikan urutan berangka APT warisan Mandiant (APT1, APT41, dll.) dan menyatukan pendekatan penamaan yang telah berkembang secara bebas di dalam Kumpulan Analisis Ancaman dan Mandiant Google .

Format baharu mempunyai dua bahagian :

• Perkataan pertama — nama rawak, mudah diingati yang mengenal pasti kumpulan tertentu secara unik. Jika kumpulan itu sudah mempunyai nama terkenal daripada laporan awam (contohnya, Lazarus), GTIG mengekalkan nama yang telah ditetapkan itu .
• Perkataan kedua — penunjuk kategori tetap yang huruf pertamanya menandakan negara asal atau jenis aktiviti yang dinilai. Empat kod negara yang disahkan ialah :
  • Castle → China
  • Ion → Iran
  • Neptune → Korea Utara
  • Relic → Rusia

Sistem ini tidak terhad kepada empat kategori ini; Google telah membina taksonomi untuk menampung perkataan kategori tambahan mengikut keperluan . Huntley berkata perubahan itu direka untuk memudahkan "penyelidik di dalam dan di luar syarikat untuk mengenal pasti kumpulan ancaman yang berbeza dengan jelas" dan membolehkan pembela memahami asal-usul, motif, dan jenis aktiviti penyerang sepintas lalu .

Cabaran yang lebih mendalam: Aktor negara, penjenayah, dan kumpulan penggodam upahan bercampur aduk

Walaupun pembaharuan penamaan membantu, ia tidak menyelesaikan kesukaran paling asas dalam risikan ancaman: memisahkan dengan jelas ancaman berterusan lanjutan yang disokong negara daripada kumpulan jenayah siber dan operasi penggodam upahan komersial .

Kategori ini bertindih dengan ketara dalam amalan. Kumpulan yang sejajar dengan negara kadangkala menggunakan taktik tebusan jenayah untuk menjana hasil atau menyembunyikan asal-usul mereka . Kumpulan jenayah menjual akses dan alat kepada aktor yang disokong kerajaan. Firma penggodam upahan beroperasi merentasi kedua-dua dunia. Kakitangan, alat, dan kesannya selalunya tidak dapat dibezakan .

Hultquist telah menegaskan bahawa lebih 5,000 kluster yang dikesan Google termasuk aktor negara, penjenayah siber, dan vendor perisian pengintip upahan—dan sempadan sentiasa kabur . Pancingan data yang dijana AI dan alat peninjauan automatik semakin mengaburkan garis, menjadikannya lebih sukar untuk membezakan antara operasi perisikan yang disokong negara dan kumpulan jenayah bermotifkan kewangan .

Sistem penamaan baharu Google membantu dengan membenamkan konteks negara asal terus ke dalam label setiap kumpulan, tetapi ia tidak dapat menyelesaikan kekaburan asas: kumpulan mungkin beroperasi sebagai unit pengintipan yang disokong negara dalam satu kempen dan sebagai pengendali tebusan bebas dalam kempen lain, dan kumpulan sering menukar jenama atau berkongsi infrastruktur .

Kesimpulan

Kod nama menyediakan perbendaharaan kata bersama yang kritikal untuk menjejak musuh merentasi industri keselamatan siber. Tetapi sistem penamaan vendor yang tidak konsisten menimbulkan kekeliruan berbahaya. Skim dua perkataan baharu Google—nama rawak digandingkan dengan perkataan yang menunjukkan negara—secara langsung menangani pemecahan itu untuk pengesanan sendiri lebih 5,000 kluster. Perubahan itu memudahkan pembela untuk memahami dengan cepat siapa yang mereka hadapi. Namun, kesukaran yang lebih mendalam untuk memisahkan aktor negara daripada penjenayah dan tentera upahan kekal sebagai cabaran operasi berterusan yang tidak dapat diselesaikan sepenuhnya oleh sebarang pembaharuan penamaan.