Zo werkt de nieuwe naamgeving

Elke dreigingsactor krijgt een combinatie van twee woorden :

• Het eerste woord is een unieke, gemakkelijk te onthouden naam voor de specifieke groep. Waar mogelijk gebruikt GTIG een naam die al voorkomt in openbare onderzoeksrapporten, zoals ‘Sandworm’. Als zo’n naam niet beschikbaar is, genereren analisten een nieuwe term en controleren zij die eerst .
• Het tweede woord is een vaste aanduiding voor de vermoedelijke herkomst of motivatie van de actor. Daarmee moet in één oogopslag meer context ontstaan.

De eerste categorieën zijn:

APT44 wordt SANDWORM RELIC

Het bekendste voorbeeld is APT44, de groep die ook onder de naam Sandworm bekendstaat. In het nieuwe systeem heet die actor SANDWORM RELIC . De naam behoudt daarmee de bekende groepsnaam, terwijl ‘RELIC’ de aan Rusland gelieerde classificatie aangeeft.

GTIG heeft in eerste instantie enkele tientallen van de actiefste groepen opnieuw benoemd. Andere groepen volgen stapsgewijs . Voor clusters waarvan de identiteit nog niet voldoende is vastgesteld, blijft Google de aanduiding UNC gebruiken. Dat staat voor ‘uncategorized’, oftewel nog niet gecategoriseerd .

Oude namen verdwijnen niet

Voor beveiligingsteams betekent de overstap niet dat bestaande onderzoeksinformatie verloren gaat. Oude namen blijven in het Google Threat Intelligence-platform geïndexeerd en doorzoekbaar. Ook koppelingen met MITRE ATT&CK en aliassen die andere beveiligingsleveranciers gebruiken, blijven behouden .

Dat is belangrijk bij incidentrespons: analisten moeten nieuwe Google-namen kunnen terugvinden in oudere rapporten, waarschuwingen en systemen waarin nog APT- of UNC-codes staan.

Google kiest een eigen koers

De stap past in een bredere ontwikkeling binnen de beveiligingssector. Microsoft gebruikt namen die verwijzen naar weersverschijnselen, CrowdStrike werkt met dierennamen en Palo Alto Networks kiest voor een systeem gebaseerd op sterrenbeelden .

Google kiest daarbij voor een eigen aanpak, in plaats van aan te sluiten bij het initiatief voor een gezamenlijke naamgevingsstandaard dat Microsoft eerder voortrok . Of verschillende leveranciers uiteindelijk één gezamenlijke standaard gaan gebruiken, blijft daarmee onzeker. Voor verdedigers is vooral van belang dat de koppelingen tussen de verschillende namen duidelijk blijven — zeker wanneer tijdens een aanval iedere seconde telt.

Zo werkt de nieuwe naamgeving

Elke dreigingsactor krijgt een combinatie van twee woorden :

• Het eerste woord is een unieke, gemakkelijk te onthouden naam voor de specifieke groep. Waar mogelijk gebruikt GTIG een naam die al voorkomt in openbare onderzoeksrapporten, zoals ‘Sandworm’. Als zo’n naam niet beschikbaar is, genereren analisten een nieuwe term en controleren zij die eerst .
• Het tweede woord is een vaste aanduiding voor de vermoedelijke herkomst of motivatie van de actor. Daarmee moet in één oogopslag meer context ontstaan.

De eerste categorieën zijn:

APT44 wordt SANDWORM RELIC

Het bekendste voorbeeld is APT44, de groep die ook onder de naam Sandworm bekendstaat. In het nieuwe systeem heet die actor SANDWORM RELIC . De naam behoudt daarmee de bekende groepsnaam, terwijl ‘RELIC’ de aan Rusland gelieerde classificatie aangeeft.

GTIG heeft in eerste instantie enkele tientallen van de actiefste groepen opnieuw benoemd. Andere groepen volgen stapsgewijs . Voor clusters waarvan de identiteit nog niet voldoende is vastgesteld, blijft Google de aanduiding UNC gebruiken. Dat staat voor ‘uncategorized’, oftewel nog niet gecategoriseerd .

Oude namen verdwijnen niet

Voor beveiligingsteams betekent de overstap niet dat bestaande onderzoeksinformatie verloren gaat. Oude namen blijven in het Google Threat Intelligence-platform geïndexeerd en doorzoekbaar. Ook koppelingen met MITRE ATT&CK en aliassen die andere beveiligingsleveranciers gebruiken, blijven behouden .

Dat is belangrijk bij incidentrespons: analisten moeten nieuwe Google-namen kunnen terugvinden in oudere rapporten, waarschuwingen en systemen waarin nog APT- of UNC-codes staan.

Google kiest een eigen koers

De stap past in een bredere ontwikkeling binnen de beveiligingssector. Microsoft gebruikt namen die verwijzen naar weersverschijnselen, CrowdStrike werkt met dierennamen en Palo Alto Networks kiest voor een systeem gebaseerd op sterrenbeelden .

Google kiest daarbij voor een eigen aanpak, in plaats van aan te sluiten bij het initiatief voor een gezamenlijke naamgevingsstandaard dat Microsoft eerder voortrok . Of verschillende leveranciers uiteindelijk één gezamenlijke standaard gaan gebruiken, blijft daarmee onzeker. Voor verdedigers is vooral van belang dat de koppelingen tussen de verschillende namen duidelijk blijven — zeker wanneer tijdens een aanval iedere seconde telt.