Hvorfor sikkerhetsselskaper gir hackergrupper kodenavn

Kodenavn finnes fordi forskere trenger en felles, stabil etikett for en samling ondsinnet aktivitet lenge før noen kan bevise individuelle juridiske identiteter eller foreta en formell politietterforskning . Som Googles Shane Huntley, CTO i GTIG, forklarte i intervjuer, fungerer et kodenavn som et «varig anker» – det lar analytikere på tvers av organisasjoner, kontinenter og bransjer umiddelbart dele informasjon om samme motstander . Et riktig navngitt lag gjør en diffus samling av IP-adresser, malware-signaturer og observerte taktikker til en sporbar enhet som kan studeres over år .

Før en hackergruppe får et permanent navn, starter den vanligvis som en midlertidig sporingsklynge, merket med en UNC (Uncategorized)-etikett og en numerisk identifikator, for eksempel UNC1878 . Først når nok bevis er samlet inn, får gruppen et egentlig kodenavn.

Fragmenteringsproblemet: For mange navn på samme trussel

Veksten i trussellandskapet har overveldet den gamle tilnærmingen. Googles sjefsanalytiker John Hultquist bemerket at selskapet nå sporer over 5 000 «aktivitetsklynger» på tvers av flere land – et volum som gjør enhver enkel numerisk taksonomi uhåndterlig . Med så mange enheter ble sekvensielle APT-numre like forvirrende som de var nyttige.

«Ofte klarer ikke engang bransjeinnsidere å holde oversikt,» sa Huntley til TechCrunch . Hver sikkerhetsleverandør har sin egen taksonomi. Microsoft bruker vær-tema-navn (Nobelium, Seashell Blizzard), CrowdStrike bruker dyretema-navn (Cozy Bear, Fancy Bear), og Palo Alto Networks bruker sitt eget system (f.eks. Muddled Libra) . Denne fragmenteringen bremser hendelsesrespons fordi team kaster bort tid på å avstemme etiketter i stedet for å begrense skaden . Huntley forklarte at å få ulike selskaper til å ta i bruk ett universelt system ikke er realistisk, fordi hver organisasjon har ulik synlighet, ulike data og ulike operasjonelle behov .

Googles nye navnesystem: Tilfeldig navn + landkodeord

GTIGs nye navnesystem erstatter Mandiants gamle APT-nummerrekke (APT1, APT41 osv.) og forener navngivningsmetodene som hadde utviklet seg uavhengig innad i Googles Threat Analysis Group og Mandiant .

Det nye formatet har to deler :

• Første ord – et minneverdig, tilfeldig valgt navn som unikt identifiserer den spesifikke gruppen. Hvis en gruppe allerede har et velkjent navn fra offentlig rapportering (f.eks. Lazarus), beholder GTIG det etablerte navnet .
• Andre ord – en fast kategoriindikator der første bokstav signaliserer det vurderte opprinnelseslandet eller aktivitetstypen. De fire bekreftede landkodene er :
  • Castle → Kina
  • Ion → Iran
  • Neptune → Nord-Korea
  • Relic → Russland

Systemet er ikke begrenset til disse fire kategoriene; Google har bygget taksonomien slik at den kan romme ytterligere kategoriord etter behov . Huntley sa at endringen var designet for å gjøre det «enklere for forskere både internt og eksternt å tydelig identifisere ulike trusselgrupper» og la forsvarere forstå en angripers opprinnelse, motiver og aktivitetstype ved første øyekast .

Den dypere utfordringen: Statsaktører, kriminelle og leide hackere glir over i hverandre

Selv om navneomleggingen hjelper, løser den ikke den mest grunnleggende vanskeligheten i trusselintelligens: å tydelig skille statsstøttede avanserte vedvarende trusler fra cyberkriminelle gjenger og kommersielle leide hackeroperasjoner .

Disse kategoriene overlapper betydelig i praksis. Statsallierte grupper tar noen ganger i bruk kriminelle løsepengevirus-taktikker for å generere inntekter eller skjule opprinnelsen sin . Kriminelle grupper selger tilgang og verktøy til statsstøttede aktører. Leide hackerselskaper opererer i begge verdener. Personellet, verktøyene og effektene er ofte umulige å skille .

Hultquist har påpekt at Googles 5 000+ spores klynger inkluderer statsaktører, cyberkriminelle og leiesoldat-spywareleverandører – og grensene flyter konstant . AI-generert phishing og automatiserte rekognoseringsverktøy gjør linjene enda mer uklare, noe som gjør det vanskeligere å skille mellom en statsstøttet etterretningsoperasjon og en økonomisk motivert kriminalitetsring .

Googles nye navnesystem hjelper ved å bygge opprinnelseslandkonteksten direkte inn i hver gruppes etikett, men det kan ikke løse den underliggende tvetydigheten: en gruppe kan operere som en statsstøttet spionasjeenhet i én kampanje og som en frittstående løsepengevirusoperatør i en annen, og grupper rebrander eller deler infrastruktur ofte .

Oppsummert

Kodenavn gir kritisk felles vokabular for å spore motstandere på tvers av cybersikkerhetsbransjen. Men inkonsekvente leverandørnavnesystemer skapte farlig forvirring. Googles nye toords-opplegg – et tilfeldig fornavn sammen med et landindikerende andreord – tar direkte tak i denne fragmenteringen for selskapets egen sporing av 5 000+ klynger. Endringen gjør det enklere for forsvarere å raskt forstå hvem de står overfor. Likevel forblir den dypere vanskeligheten med å skille statsaktører fra kriminelle og leiesoldater en pågående operasjonell utfordring som ingen navnereform fullt ut kan løse.

Hvorfor sikkerhetsselskaper gir hackergrupper kodenavn

Kodenavn finnes fordi forskere trenger en felles, stabil etikett for en samling ondsinnet aktivitet lenge før noen kan bevise individuelle juridiske identiteter eller foreta en formell politietterforskning . Som Googles Shane Huntley, CTO i GTIG, forklarte i intervjuer, fungerer et kodenavn som et «varig anker» – det lar analytikere på tvers av organisasjoner, kontinenter og bransjer umiddelbart dele informasjon om samme motstander . Et riktig navngitt lag gjør en diffus samling av IP-adresser, malware-signaturer og observerte taktikker til en sporbar enhet som kan studeres over år .

Før en hackergruppe får et permanent navn, starter den vanligvis som en midlertidig sporingsklynge, merket med en UNC (Uncategorized)-etikett og en numerisk identifikator, for eksempel UNC1878 . Først når nok bevis er samlet inn, får gruppen et egentlig kodenavn.

Fragmenteringsproblemet: For mange navn på samme trussel

Veksten i trussellandskapet har overveldet den gamle tilnærmingen. Googles sjefsanalytiker John Hultquist bemerket at selskapet nå sporer over 5 000 «aktivitetsklynger» på tvers av flere land – et volum som gjør enhver enkel numerisk taksonomi uhåndterlig . Med så mange enheter ble sekvensielle APT-numre like forvirrende som de var nyttige.

«Ofte klarer ikke engang bransjeinnsidere å holde oversikt,» sa Huntley til TechCrunch . Hver sikkerhetsleverandør har sin egen taksonomi. Microsoft bruker vær-tema-navn (Nobelium, Seashell Blizzard), CrowdStrike bruker dyretema-navn (Cozy Bear, Fancy Bear), og Palo Alto Networks bruker sitt eget system (f.eks. Muddled Libra) . Denne fragmenteringen bremser hendelsesrespons fordi team kaster bort tid på å avstemme etiketter i stedet for å begrense skaden . Huntley forklarte at å få ulike selskaper til å ta i bruk ett universelt system ikke er realistisk, fordi hver organisasjon har ulik synlighet, ulike data og ulike operasjonelle behov .

Googles nye navnesystem: Tilfeldig navn + landkodeord

GTIGs nye navnesystem erstatter Mandiants gamle APT-nummerrekke (APT1, APT41 osv.) og forener navngivningsmetodene som hadde utviklet seg uavhengig innad i Googles Threat Analysis Group og Mandiant .

Det nye formatet har to deler :

• Første ord – et minneverdig, tilfeldig valgt navn som unikt identifiserer den spesifikke gruppen. Hvis en gruppe allerede har et velkjent navn fra offentlig rapportering (f.eks. Lazarus), beholder GTIG det etablerte navnet .
• Andre ord – en fast kategoriindikator der første bokstav signaliserer det vurderte opprinnelseslandet eller aktivitetstypen. De fire bekreftede landkodene er :
  • Castle → Kina
  • Ion → Iran
  • Neptune → Nord-Korea
  • Relic → Russland

Systemet er ikke begrenset til disse fire kategoriene; Google har bygget taksonomien slik at den kan romme ytterligere kategoriord etter behov . Huntley sa at endringen var designet for å gjøre det «enklere for forskere både internt og eksternt å tydelig identifisere ulike trusselgrupper» og la forsvarere forstå en angripers opprinnelse, motiver og aktivitetstype ved første øyekast .

Den dypere utfordringen: Statsaktører, kriminelle og leide hackere glir over i hverandre

Selv om navneomleggingen hjelper, løser den ikke den mest grunnleggende vanskeligheten i trusselintelligens: å tydelig skille statsstøttede avanserte vedvarende trusler fra cyberkriminelle gjenger og kommersielle leide hackeroperasjoner .

Disse kategoriene overlapper betydelig i praksis. Statsallierte grupper tar noen ganger i bruk kriminelle løsepengevirus-taktikker for å generere inntekter eller skjule opprinnelsen sin . Kriminelle grupper selger tilgang og verktøy til statsstøttede aktører. Leide hackerselskaper opererer i begge verdener. Personellet, verktøyene og effektene er ofte umulige å skille .

Hultquist har påpekt at Googles 5 000+ spores klynger inkluderer statsaktører, cyberkriminelle og leiesoldat-spywareleverandører – og grensene flyter konstant . AI-generert phishing og automatiserte rekognoseringsverktøy gjør linjene enda mer uklare, noe som gjør det vanskeligere å skille mellom en statsstøttet etterretningsoperasjon og en økonomisk motivert kriminalitetsring .

Googles nye navnesystem hjelper ved å bygge opprinnelseslandkonteksten direkte inn i hver gruppes etikett, men det kan ikke løse den underliggende tvetydigheten: en gruppe kan operere som en statsstøttet spionasjeenhet i én kampanje og som en frittstående løsepengevirusoperatør i en annen, og grupper rebrander eller deler infrastruktur ofte .

Oppsummert

Kodenavn gir kritisk felles vokabular for å spore motstandere på tvers av cybersikkerhetsbransjen. Men inkonsekvente leverandørnavnesystemer skapte farlig forvirring. Googles nye toords-opplegg – et tilfeldig fornavn sammen med et landindikerende andreord – tar direkte tak i denne fragmenteringen for selskapets egen sporing av 5 000+ klynger. Endringen gjør det enklere for forsvarere å raskt forstå hvem de står overfor. Likevel forblir den dypere vanskeligheten med å skille statsaktører fra kriminelle og leiesoldater en pågående operasjonell utfordring som ingen navnereform fullt ut kan løse.