Dlaczego firmy cyberbezpieczeństwa nadają grupom hakerskim kryptonimy?

Kryptonimy istnieją, ponieważ badacze potrzebują wspólnej, trwałej etykiety dla klastra złośliwej aktywności na długo przedtem, zanim uda się potwierdzić indywidualną tożsamość prawną lub przeprowadzić formalną atrybucję przez organy ścigania . Jak wyjaśnił Shane Huntley, dyrektor ds. technologii GTIG, kryptonim działa jak „trwały punkt zaczepienia” – umożliwia analitykom z różnych organizacji, kontynentów i branż natychmiastowe dzielenie się informacjami o tym samym przeciwniku . Odpowiednio nazwana grupa przekształca rozproszony zbiór adresów IP, sygnatur złośliwego oprogramowania i zaobserwowanych taktyk w podmiot, który można śledzić i badać przez lata .

Zanim grupa hakerska otrzyma stałą nazwę, zwykle funkcjonuje jako tymczasowy klaster śledzenia, oznaczony etykietą UNC (Uncategorized) i identyfikatorem numerycznym, na przykład UNC1878 . Dopiero po zgromadzeniu wystarczającej ilości dowodów awansuje do rangi nazwanego kryptonimu.

Problem fragmentacji: za dużo nazw dla tego samego zagrożenia

Rozwój krajobrazu zagrożeń przerósł stare podejście. Główny analityk Google'a, John Hultquist, zauważył, że firma śledzi obecnie ponad 5000 „klastrów aktywności” w wielu krajach – to skala, która sprawia, że każda pojedyncza numeryczna taksonomia staje się niepraktyczna . Przy takiej liczbie podmiotów sekwencyjne numery APT stały się równie mylące, co pomocne.

„Często nawet insajderzy z branży nie są w stanie za tym nadążyć” – powiedział Huntley w rozmowie z TechCrunch . Każdy dostawca zabezpieczeń ma własną taksonomię. Microsoft używa nazw związanych z pogodą (Nobelium, Seashell Blizzard), CrowdStrike – nazw zwierząt (Cozy Bear, Fancy Bear), a Palo Alto Networks – własnego systemu (np. Muddled Libra) . Ta fragmentacja spowalnia reagowanie na incydenty, ponieważ zespoły tracą czas na uzgadnianie etykiet zamiast na powstrzymywanie szkód . Huntley wyjaśnił, że nakłonienie różnych firm do przyjęcia jednego uniwersalnego systemu nie jest realistyczne, ponieważ każda organizacja ma inną widoczność, inne dane i inne potrzeby operacyjne .

Nowy system nazewnictwa Google'a: losowe imię + słowo oznaczające kraj

Nowy system GTIG zastępuje dotychczasową numeryczną sekwencję APT Mandiant (APT1, APT41 itd.) i ujednolica podejścia do nazewnictwa, które rozwinęły się niezależnie w ramach Google Threat Analysis Group i Mandiant .

Nowy format składa się z dwóch części :

• Pierwsze słowo – zapadająca w pamięć, losowo wybrana nazwa, która jednoznacznie identyfikuje daną grupę. Jeśli grupa ma już dobrze znaną nazwę z publicznych raportów (np. Lazarus), GTIG zachowuje tę ustaloną nazwę .
• Drugie słowo – stały wskaźnik kategorii, którego pierwsza litera sygnalizuje uznany kraj pochodzenia lub rodzaj działalności. Potwierdzone zostały cztery kody krajów :
  • Castle → Chiny
  • Ion → Iran
  • Neptune → Korea Północna
  • Relic → Rosja

System nie ogranicza się do tych czterech kategorii; Google zbudował taksonomię tak, aby w razie potrzeby pomieścić dodatkowe słowa kategorii . Huntley powiedział, że zmiana została zaprojektowana, aby „ułatwić badaczom wewnątrz i na zewnątrz firmy wyraźną identyfikację różnych grup zagrożeń” oraz umożliwić obrońcom szybkie zrozumienie pochodzenia, motywów i rodzaju działalności atakującego .

Głębsze wyzwanie: Aktorzy państwowi, przestępcy i hakerzy na zlecenie zacierają się

Mimo że zmiana nazewnictwa pomaga, nie rozwiązuje najbardziej fundamentalnej trudności w analizie zagrożeń: wyraźnego oddzielenia zaawansowanych, sponsorowanych przez państwa, trwałych zagrożeń (APT) od gangów cyberprzestępczych i komercyjnych operacji hakerskich na zlecenie .

Kategorie te w praktyce znacznie się pokrywają. Grupy powiązane z państwami czasami przyjmują taktykę ransomware, aby generować dochód lub maskować swoje pochodzenie . Grupy przestępcze sprzedają dostęp i narzędzia aktorom wspieranym przez rządy. Firmy typu hacker-for-hire działają w obu światach. Personel, narzędzia i skutki są często nie do odróżnienia .

Hultquist wskazał, że ponad 5000 śledzonych przez Google klastrów obejmuje aktorów państwowych, cyberprzestępców i dostawców komercyjnego oprogramowania szpiegującego – a granice stale się zacierają . Generowane przez AI phishing i zautomatyzowane narzędzia rozpoznawcze dodatkowo zaciemniają linie podziału, utrudniając odróżnienie operacji wywiadowczej sponsorowanej przez państwo od kręgu przestępczego motywowanego finansowo .

Nowy system nazewnictwa Google'a pomaga, osadzając kontekst kraju pochodzenia bezpośrednio w etykiecie każdej grupy, ale nie jest w stanie rozwiązać podstawowej niejednoznaczności: grupa może działać jako jednostka szpiegowska wspierana przez państwo w jednej kampanii i jako niezależny operator ransomware w innej, a grupy często zmieniają markę lub współdzielą infrastrukturę .

Podsumowanie

Kryptonimy zapewniają kluczowe, wspólne słownictwo do śledzenia przeciwników w branży cyberbezpieczeństwa. Jednak niespójne systemy nazewnictwa różnych dostawców stwarzały niebezpieczne zamieszanie. Nowy dwuwyrazowy schemat Google'a – losowe imię w połączeniu ze słowem wskazującym kraj – bezpośrednio odpowiada na tę fragmentację we własnym śledzeniu ponad 5000 klastrów. Zmiana ułatwia obrońcom szybkie zrozumienie, z kim mają do czynienia. Jednak głębsza trudność oddzielenia aktorów państwowych od przestępców i najemników pozostaje ciągłym wyzwaniem operacyjnym, którego żadna reforma nazewnictwa nie jest w stanie w pełni rozwiązać.

Dlaczego firmy cyberbezpieczeństwa nadają grupom hakerskim kryptonimy?

Kryptonimy istnieją, ponieważ badacze potrzebują wspólnej, trwałej etykiety dla klastra złośliwej aktywności na długo przedtem, zanim uda się potwierdzić indywidualną tożsamość prawną lub przeprowadzić formalną atrybucję przez organy ścigania . Jak wyjaśnił Shane Huntley, dyrektor ds. technologii GTIG, kryptonim działa jak „trwały punkt zaczepienia” – umożliwia analitykom z różnych organizacji, kontynentów i branż natychmiastowe dzielenie się informacjami o tym samym przeciwniku . Odpowiednio nazwana grupa przekształca rozproszony zbiór adresów IP, sygnatur złośliwego oprogramowania i zaobserwowanych taktyk w podmiot, który można śledzić i badać przez lata .

Zanim grupa hakerska otrzyma stałą nazwę, zwykle funkcjonuje jako tymczasowy klaster śledzenia, oznaczony etykietą UNC (Uncategorized) i identyfikatorem numerycznym, na przykład UNC1878 . Dopiero po zgromadzeniu wystarczającej ilości dowodów awansuje do rangi nazwanego kryptonimu.

Problem fragmentacji: za dużo nazw dla tego samego zagrożenia

Rozwój krajobrazu zagrożeń przerósł stare podejście. Główny analityk Google'a, John Hultquist, zauważył, że firma śledzi obecnie ponad 5000 „klastrów aktywności” w wielu krajach – to skala, która sprawia, że każda pojedyncza numeryczna taksonomia staje się niepraktyczna . Przy takiej liczbie podmiotów sekwencyjne numery APT stały się równie mylące, co pomocne.

„Często nawet insajderzy z branży nie są w stanie za tym nadążyć” – powiedział Huntley w rozmowie z TechCrunch . Każdy dostawca zabezpieczeń ma własną taksonomię. Microsoft używa nazw związanych z pogodą (Nobelium, Seashell Blizzard), CrowdStrike – nazw zwierząt (Cozy Bear, Fancy Bear), a Palo Alto Networks – własnego systemu (np. Muddled Libra) . Ta fragmentacja spowalnia reagowanie na incydenty, ponieważ zespoły tracą czas na uzgadnianie etykiet zamiast na powstrzymywanie szkód . Huntley wyjaśnił, że nakłonienie różnych firm do przyjęcia jednego uniwersalnego systemu nie jest realistyczne, ponieważ każda organizacja ma inną widoczność, inne dane i inne potrzeby operacyjne .

Nowy system nazewnictwa Google'a: losowe imię + słowo oznaczające kraj

Nowy system GTIG zastępuje dotychczasową numeryczną sekwencję APT Mandiant (APT1, APT41 itd.) i ujednolica podejścia do nazewnictwa, które rozwinęły się niezależnie w ramach Google Threat Analysis Group i Mandiant .

Nowy format składa się z dwóch części :

• Pierwsze słowo – zapadająca w pamięć, losowo wybrana nazwa, która jednoznacznie identyfikuje daną grupę. Jeśli grupa ma już dobrze znaną nazwę z publicznych raportów (np. Lazarus), GTIG zachowuje tę ustaloną nazwę .
• Drugie słowo – stały wskaźnik kategorii, którego pierwsza litera sygnalizuje uznany kraj pochodzenia lub rodzaj działalności. Potwierdzone zostały cztery kody krajów :
  • Castle → Chiny
  • Ion → Iran
  • Neptune → Korea Północna
  • Relic → Rosja

System nie ogranicza się do tych czterech kategorii; Google zbudował taksonomię tak, aby w razie potrzeby pomieścić dodatkowe słowa kategorii . Huntley powiedział, że zmiana została zaprojektowana, aby „ułatwić badaczom wewnątrz i na zewnątrz firmy wyraźną identyfikację różnych grup zagrożeń” oraz umożliwić obrońcom szybkie zrozumienie pochodzenia, motywów i rodzaju działalności atakującego .

Głębsze wyzwanie: Aktorzy państwowi, przestępcy i hakerzy na zlecenie zacierają się

Mimo że zmiana nazewnictwa pomaga, nie rozwiązuje najbardziej fundamentalnej trudności w analizie zagrożeń: wyraźnego oddzielenia zaawansowanych, sponsorowanych przez państwa, trwałych zagrożeń (APT) od gangów cyberprzestępczych i komercyjnych operacji hakerskich na zlecenie .

Kategorie te w praktyce znacznie się pokrywają. Grupy powiązane z państwami czasami przyjmują taktykę ransomware, aby generować dochód lub maskować swoje pochodzenie . Grupy przestępcze sprzedają dostęp i narzędzia aktorom wspieranym przez rządy. Firmy typu hacker-for-hire działają w obu światach. Personel, narzędzia i skutki są często nie do odróżnienia .

Hultquist wskazał, że ponad 5000 śledzonych przez Google klastrów obejmuje aktorów państwowych, cyberprzestępców i dostawców komercyjnego oprogramowania szpiegującego – a granice stale się zacierają . Generowane przez AI phishing i zautomatyzowane narzędzia rozpoznawcze dodatkowo zaciemniają linie podziału, utrudniając odróżnienie operacji wywiadowczej sponsorowanej przez państwo od kręgu przestępczego motywowanego finansowo .

Nowy system nazewnictwa Google'a pomaga, osadzając kontekst kraju pochodzenia bezpośrednio w etykiecie każdej grupy, ale nie jest w stanie rozwiązać podstawowej niejednoznaczności: grupa może działać jako jednostka szpiegowska wspierana przez państwo w jednej kampanii i jako niezależny operator ransomware w innej, a grupy często zmieniają markę lub współdzielą infrastrukturę .

Podsumowanie

Kryptonimy zapewniają kluczowe, wspólne słownictwo do śledzenia przeciwników w branży cyberbezpieczeństwa. Jednak niespójne systemy nazewnictwa różnych dostawców stwarzały niebezpieczne zamieszanie. Nowy dwuwyrazowy schemat Google'a – losowe imię w połączeniu ze słowem wskazującym kraj – bezpośrednio odpowiada na tę fragmentację we własnym śledzeniu ponad 5000 klastrów. Zmiana ułatwia obrońcom szybkie zrozumienie, z kim mają do czynienia. Jednak głębsza trudność oddzielenia aktorów państwowych od przestępców i najemników pozostaje ciągłym wyzwaniem operacyjnym, którego żadna reforma nazewnictwa nie jest w stanie w pełni rozwiązać.