ชื่อรหัสมีไว้เพื่อให้นักวิจัยมี 'ป้ายชื่อ' ร่วมกันและยั่งยืนสำหรับกลุ่มกิจกรรมที่เป็นอันตราย ก่อนที่จะพิสูจน์ตัวตนทางกฎหมายของแต่ละบุคคลหรือมีการดำเนินคดีอย่างเป็นทางการ Shane Huntley CTO ของ GTIG อธิบายว่าชื่อรหัสทำหน้าที่เป็น 'จุดยึดที่มั่นคง' (persistent anchor) ช่วยให้นักวิเคราะห์จากองค์กร ทวีป และอุตสาหกรรมต่างๆ สามารถแบ่งปันข้อมูลข่าวกรองเกี่ยวกับผู้โจมตีรายเดียวกันได้ทันที การตั้งชื่อที่เหมาะสมจะเปลี่ยนชุดข้อมูล IP ลายเซ็นมัลแวร์ และกลยุทธ์ที่กระจัดกระจายให้กลายเป็นเอนทิตี้ที่ติดตามได้และสามารถศึกษาได้เป็นเวลาหลายปี
ก่อนที่กลุ่มแฮกเกอร์จะได้รับชื่อถาวร โดยทั่วไปจะเริ่มต้นเป็นคลัสเตอร์การติดตามชั่วคราว โดยกำหนดด้วยป้าย UNC (Uncategorized) และตัวระบุตัวเลข เช่น UNC1878 หลังจากมีหลักฐานเพียงพอ กลุ่มก็จะได้รับการเลื่อนขั้นเป็นชื่อรหัส
การเติบโตของภูมิทัศน์ภัยคุกคามทำให้แนวทางเดิมล้นมือ John Hultquist หัวหน้านักวิเคราะห์ของ Google กล่าวว่าปัจจุบันบริษัทติดตาม 'คลัสเตอร์กิจกรรม' (activity clusters) กว่า 5,000 รายการทั่วโลก ซึ่งเป็นปริมาณที่ทำให้ระบบการจัดหมวดหมู่ด้วยตัวเลขใดๆ ใช้การไม่ได้ ด้วยจำนวนที่มากมายขนาดนี้ เลข APT แบบเรียงลำดับจึงสร้างความสับสนมากกว่าจะช่วยได้
"แม้แต่คนในวงการก็ยังจำกันไม่ได้" Huntley บอกกับ TechCrunch ผู้จำหน่ายความปลอดภัยแต่ละรายมีระบบการเรียกชื่อของตัวเอง Microsoft ใช้ชื่อที่เกี่ยวข้องกับสภาพอากาศ (Nobelium, Seashell Blizzard), CrowdStrike ใช้ชื่อสัตว์ (Cozy Bear, Fancy Bear), และ Palo Alto Networks ใช้ระบบของตัวเอง (เช่น Muddled Libra) ความแตกแยกนี้ทำให้การตอบสนองต่อเหตุการณ์ช้าลงเพราะทีมงานต้องเสียเวลาจับคู่ป้ายชื่อ แทนที่จะควบคุมความเสียหาย Huntley อธิบายว่าการให้บริษัทต่างๆ มาใช้ระบบเดียวกันนั้นไม่สมจริง เพราะแต่ละองค์กรมีวิสัยทัศน์ ข้อมูล และความต้องการในการปฏิบัติงานที่แตกต่างกัน
ระบบชื่อใหม่ของ GTIG เข้ามาแทนที่ลำดับเลข APT แบบเก่าของ Mandiant (APT1, APT41 ฯลฯ) และรวมแนวทางการตั้งชื่อที่พัฒนาขึ้นอย่างอิสระภายใน Google's Threat Analysis Group และ Mandiant
รูปแบบใหม่ประกอบด้วยสองส่วน :
ระบบนี้ไม่ได้จำกัดอยู่แค่สี่หมวดหมู่นี้ Google ได้สร้างระบบอนุกรมวิธานให้รองรับคำศัพท์หมวดหมู่เพิ่มเติมตามความจำเป็น Huntley กล่าวว่าการเปลี่ยนแปลงนี้ออกแบบมาเพื่อ 'ให้นักวิจัยทั้งภายในและภายนอกบริษัทสามารถระบุกลุ่มภัยคุกคามต่างๆ ได้ชัดเจนยิ่งขึ้น' และช่วยให้ผู้ป้องกันเข้าใจที่มา แรงจูงใจ และประเภทกิจกรรมของผู้โจมตีได้ในเวลาเดียว
แม้การปรับเปลี่ยนชื่อจะช่วยได้ แต่ก็ไม่ได้แก้ปัญหาพื้นฐานที่สุดในวงการข่าวกรองภัยคุกคาม นั่นคือการแยกภัยคุกคามถาวรขั้นสูงที่รัฐสนับสนุนออกจากแก๊งอาชญากรไซเบอร์และการดำเนินงานของมือปืนรับจ้างได้อย่างชัดเจน
หมวดหมู่เหล่านี้ทับซ้อนกันอย่างมากในทางปฏิบัติ กลุ่มที่ใกล้ชิดรัฐบางครั้งใช้กลยุทธ์แรนซัมแวร์ของอาชญากรเพื่อสร้างรายได้หรือปกปิดที่มาของตน กลุ่มอาชญากรขายการเข้าถึงและเครื่องมือให้กับผู้กระทำการที่รัฐหนุนหลัง บริษัทรับจ้างแฮกดำเนินงานทั้งสองโลก บุคลากร เครื่องมือ และผลกระทบมักแยกไม่ออกจากกัน
Hultquist ชี้ให้เห็นว่าคลัสเตอร์ที่ Google ติดตามกว่า 5,000 รายการรวมถึงผู้กระทำการของรัฐ อาชญากรไซเบอร์ และผู้จำหน่ายสปายแวร์รับจ้าง—และขอบเขตก็เลือนลางตลอดเวลา ฟิชชิ่งที่สร้างโดย AI และเครื่องมือสอดแนมอัตโนมัติยิ่งทำให้เส้นแบ่งมัวหมอง ทำให้ยากขึ้นที่จะแยกแยะระหว่างปฏิบัติการจารกรรมที่รัฐสนับสนุนกับแก๊งอาชญากรที่ขับเคลื่อนด้วยการเงิน
ระบบตั้งชื่อใหม่ของ Google ช่วยได้โดยฝังบริบทประเทศต้นทางลงในป้ายชื่อของแต่ละกลุ่มโดยตรง แต่ไม่สามารถแก้ไขความคลุมเครือที่ซ่อนอยู่ได้: กลุ่มหนึ่งอาจปฏิบัติการเป็นหน่วยจารกรรมที่รัฐหนุนหลังในแคมเปญหนึ่ง และเป็นผู้ดำเนินการแรนซัมแวร์อิสระในอีกแคมเปญหนึ่ง และกลุ่มต่างๆ มักเปลี่ยนชื่อแบรนด์หรือใช้โครงสร้างพื้นฐานร่วมกัน
ชื่อรหัสเป็นคำศัพท์ร่วมที่สำคัญสำหรับการติดตามคู่ต่อสู้ในอุตสาหกรรมความปลอดภัยทางไซเบอร์ แต่ระบบการตั้งชื่อที่ไม่สอดคล้องกันของผู้จำหน่ายแต่ละรายสร้างความสับสนที่เป็นอันตราย แผนชื่อสองคำแบบใหม่ของ Google ซึ่งจับคู่ชื่อสุ่มที่น่าจดจำกับคำบ่งชี้ประเทศ ช่วยจัดการปัญหาความแตกแยกสำหรับการติดตามคลัสเตอร์กว่า 5,000 รายการของบริษัทเอง การเปลี่ยนแปลงนี้ช่วยให้ผู้ป้องกันเข้าใจได้เร็วขึ้นว่ากำลังเผชิญหน้ากับใคร อย่างไรก็ตาม ความยากลำบากในการแยกตัวแสดงของรัฐออกจากอาชญากรและทหารรับจ้างยังคงเป็นความท้าทายในการปฏิบัติงานที่ไม่มีระบบการตั้งชื่อใดจะสามารถแก้ไขได้ทั้งหมด
ชื่อรหัสมีไว้เพื่อให้นักวิจัยมี 'ป้ายชื่อ' ร่วมกันและยั่งยืนสำหรับกลุ่มกิจกรรมที่เป็นอันตราย ก่อนที่จะพิสูจน์ตัวตนทางกฎหมายของแต่ละบุคคลหรือมีการดำเนินคดีอย่างเป็นทางการ Shane Huntley CTO ของ GTIG อธิบายว่าชื่อรหัสทำหน้าที่เป็น 'จุดยึดที่มั่นคง' (persistent anchor) ช่วยให้นักวิเคราะห์จากองค์กร ทวีป และอุตสาหกรรมต่างๆ สามารถแบ่งปันข้อมูลข่าวกรองเกี่ยวกับผู้โจมตีรายเดียวกันได้ทันที การตั้งชื่อที่เหมาะสมจะเปลี่ยนชุดข้อมูล IP ลายเซ็นมัลแวร์ และกลยุทธ์ที่กระจัดกระจายให้กลายเป็นเอนทิตี้ที่ติดตามได้และสามารถศึกษาได้เป็นเวลาหลายปี
ก่อนที่กลุ่มแฮกเกอร์จะได้รับชื่อถาวร โดยทั่วไปจะเริ่มต้นเป็นคลัสเตอร์การติดตามชั่วคราว โดยกำหนดด้วยป้าย UNC (Uncategorized) และตัวระบุตัวเลข เช่น UNC1878 หลังจากมีหลักฐานเพียงพอ กลุ่มก็จะได้รับการเลื่อนขั้นเป็นชื่อรหัส
การเติบโตของภูมิทัศน์ภัยคุกคามทำให้แนวทางเดิมล้นมือ John Hultquist หัวหน้านักวิเคราะห์ของ Google กล่าวว่าปัจจุบันบริษัทติดตาม 'คลัสเตอร์กิจกรรม' (activity clusters) กว่า 5,000 รายการทั่วโลก ซึ่งเป็นปริมาณที่ทำให้ระบบการจัดหมวดหมู่ด้วยตัวเลขใดๆ ใช้การไม่ได้ ด้วยจำนวนที่มากมายขนาดนี้ เลข APT แบบเรียงลำดับจึงสร้างความสับสนมากกว่าจะช่วยได้
"แม้แต่คนในวงการก็ยังจำกันไม่ได้" Huntley บอกกับ TechCrunch ผู้จำหน่ายความปลอดภัยแต่ละรายมีระบบการเรียกชื่อของตัวเอง Microsoft ใช้ชื่อที่เกี่ยวข้องกับสภาพอากาศ (Nobelium, Seashell Blizzard), CrowdStrike ใช้ชื่อสัตว์ (Cozy Bear, Fancy Bear), และ Palo Alto Networks ใช้ระบบของตัวเอง (เช่น Muddled Libra) ความแตกแยกนี้ทำให้การตอบสนองต่อเหตุการณ์ช้าลงเพราะทีมงานต้องเสียเวลาจับคู่ป้ายชื่อ แทนที่จะควบคุมความเสียหาย Huntley อธิบายว่าการให้บริษัทต่างๆ มาใช้ระบบเดียวกันนั้นไม่สมจริง เพราะแต่ละองค์กรมีวิสัยทัศน์ ข้อมูล และความต้องการในการปฏิบัติงานที่แตกต่างกัน
ระบบชื่อใหม่ของ GTIG เข้ามาแทนที่ลำดับเลข APT แบบเก่าของ Mandiant (APT1, APT41 ฯลฯ) และรวมแนวทางการตั้งชื่อที่พัฒนาขึ้นอย่างอิสระภายใน Google's Threat Analysis Group และ Mandiant
รูปแบบใหม่ประกอบด้วยสองส่วน :
ระบบนี้ไม่ได้จำกัดอยู่แค่สี่หมวดหมู่นี้ Google ได้สร้างระบบอนุกรมวิธานให้รองรับคำศัพท์หมวดหมู่เพิ่มเติมตามความจำเป็น Huntley กล่าวว่าการเปลี่ยนแปลงนี้ออกแบบมาเพื่อ 'ให้นักวิจัยทั้งภายในและภายนอกบริษัทสามารถระบุกลุ่มภัยคุกคามต่างๆ ได้ชัดเจนยิ่งขึ้น' และช่วยให้ผู้ป้องกันเข้าใจที่มา แรงจูงใจ และประเภทกิจกรรมของผู้โจมตีได้ในเวลาเดียว
แม้การปรับเปลี่ยนชื่อจะช่วยได้ แต่ก็ไม่ได้แก้ปัญหาพื้นฐานที่สุดในวงการข่าวกรองภัยคุกคาม นั่นคือการแยกภัยคุกคามถาวรขั้นสูงที่รัฐสนับสนุนออกจากแก๊งอาชญากรไซเบอร์และการดำเนินงานของมือปืนรับจ้างได้อย่างชัดเจน
หมวดหมู่เหล่านี้ทับซ้อนกันอย่างมากในทางปฏิบัติ กลุ่มที่ใกล้ชิดรัฐบางครั้งใช้กลยุทธ์แรนซัมแวร์ของอาชญากรเพื่อสร้างรายได้หรือปกปิดที่มาของตน กลุ่มอาชญากรขายการเข้าถึงและเครื่องมือให้กับผู้กระทำการที่รัฐหนุนหลัง บริษัทรับจ้างแฮกดำเนินงานทั้งสองโลก บุคลากร เครื่องมือ และผลกระทบมักแยกไม่ออกจากกัน
Hultquist ชี้ให้เห็นว่าคลัสเตอร์ที่ Google ติดตามกว่า 5,000 รายการรวมถึงผู้กระทำการของรัฐ อาชญากรไซเบอร์ และผู้จำหน่ายสปายแวร์รับจ้าง—และขอบเขตก็เลือนลางตลอดเวลา ฟิชชิ่งที่สร้างโดย AI และเครื่องมือสอดแนมอัตโนมัติยิ่งทำให้เส้นแบ่งมัวหมอง ทำให้ยากขึ้นที่จะแยกแยะระหว่างปฏิบัติการจารกรรมที่รัฐสนับสนุนกับแก๊งอาชญากรที่ขับเคลื่อนด้วยการเงิน
ระบบตั้งชื่อใหม่ของ Google ช่วยได้โดยฝังบริบทประเทศต้นทางลงในป้ายชื่อของแต่ละกลุ่มโดยตรง แต่ไม่สามารถแก้ไขความคลุมเครือที่ซ่อนอยู่ได้: กลุ่มหนึ่งอาจปฏิบัติการเป็นหน่วยจารกรรมที่รัฐหนุนหลังในแคมเปญหนึ่ง และเป็นผู้ดำเนินการแรนซัมแวร์อิสระในอีกแคมเปญหนึ่ง และกลุ่มต่างๆ มักเปลี่ยนชื่อแบรนด์หรือใช้โครงสร้างพื้นฐานร่วมกัน
ชื่อรหัสเป็นคำศัพท์ร่วมที่สำคัญสำหรับการติดตามคู่ต่อสู้ในอุตสาหกรรมความปลอดภัยทางไซเบอร์ แต่ระบบการตั้งชื่อที่ไม่สอดคล้องกันของผู้จำหน่ายแต่ละรายสร้างความสับสนที่เป็นอันตราย แผนชื่อสองคำแบบใหม่ของ Google ซึ่งจับคู่ชื่อสุ่มที่น่าจดจำกับคำบ่งชี้ประเทศ ช่วยจัดการปัญหาความแตกแยกสำหรับการติดตามคลัสเตอร์กว่า 5,000 รายการของบริษัทเอง การเปลี่ยนแปลงนี้ช่วยให้ผู้ป้องกันเข้าใจได้เร็วขึ้นว่ากำลังเผชิญหน้ากับใคร อย่างไรก็ตาม ความยากลำบากในการแยกตัวแสดงของรัฐออกจากอาชญากรและทหารรับจ้างยังคงเป็นความท้าทายในการปฏิบัติงานที่ไม่มีระบบการตั้งชื่อใดจะสามารถแก้ไขได้ทั้งหมด