Google вводит двухсловные криптонимы для хакерских группировок: SANDWORM RELIC и не только

• Первое слово: уникальный, запоминающийся идентификатор конкретной группировки. По возможности используется уже существующее в публичных отчетах имя (например, "Sandworm"); в остальных случаях оно генерируется случайным образом и проверяется аналитиками .
• Второе слово: фиксированный тег атрибуции или мотивации, который дает мгновенный контекст. Объявленные изначальные категории :

Ключевые примеры и охват

Самый показательный пример — переклассификация бывшей APT44 / Sandworm в SANDWORM RELIC . GTIG в первую очередь переименовала несколько десятков наиболее активных групп, остальные будут переименованы постепенно .

Крайне важно, что обратная совместимость сохранена. Прежние имена остаются в индексе и доступны для поиска на платформе Google Threat Intelligence, а также поддерживаются соответствия MITRE ATT&CK и псевдонимы других вендоров . Для кластеров, находящихся на ранних стадиях расследования, GTIG продолжает использовать обозначения UNC ("uncategorized") .

Новый стандарт именования угроз

Действия Google соответствуют общеотраслевому тренду на отказ от непрозрачных последовательных кодов в пользу более описательных таксономий. Microsoft использует систему "погодных" названий, CrowdStrike — "животных", а Palo Alto Networks — названий созвездий . Примечательно, что Google пошла своим путем, не присоединившись к межвендорской инициативе по унификации имен, которую ранее возглавляла Microsoft .

Новая система решает давнюю проблему защитников: необходимость сопоставлять имена хакерских группировок из разных продуктов, отчетов и платформ при попытке быстро реагировать на инциденты.