Google’ın Yeni Siber Tehdit İsimlendirme Sistemi: APT44 Artık SANDWORM RELIC

• İlk kelime: Belirli aktörü tanımlayan, benzersiz ve akılda kalıcı bir ifade. Mümkün olduğunda kamuya açık raporlarda daha önce kullanılan adlardan yararlanılıyor. Örneğin “Sandworm” adı korunuyor. Daha önce uygun bir ad yoksa analistler tarafından rastgele oluşturulan ve incelenen bir kelime seçiliyor .
• İkinci kelime: Aktörün olası bağlantısı veya motivasyonu hakkında hızlı bağlam sağlayan sabit bir kategori etiketi.

GTIG’nin başlangıçta açıkladığı ikinci kelimeler şöyle:

Bu yapı sayesinde analistler, yalnızca grubun adını değil, Google’ın o grubu hangi genel kategoriyle ilişkilendirdiğini de tek bakışta görebilecek.

APT44’ün yeni adı: SANDWORM RELIC

Değişikliğin en dikkat çekici örneği, daha önce APT44 veya Sandworm olarak bilinen grubun artık SANDWORM RELIC adıyla sınıflandırılması . Burada “SANDWORM” aktörün kimliğini, “RELIC” ise Rusya bağlantılı kategoriye dahil edildiğini gösteriyor.

GTIG, ilk aşamada en aktif birkaç düzine grubu yeniden adlandırmaya öncelik verdi. Diğer grupların da aşamalı olarak yeni sisteme geçirilmesi planlanıyor .

Eski adlar tamamen kaybolmayacak

Yeni isimlendirme, güvenlik ekiplerinin geçmiş raporlarla bağlantısını koparmayacak. Önceki adlar Google Threat Intelligence platformunda aranabilir ve indekslenebilir olmaya devam edecek. Ayrıca MITRE ATT&CK eşleştirmeleri ile diğer güvenlik sağlayıcılarının kullandığı alternatif adlar da korunacak .

Henüz kesin biçimde sınıflandırılmamış ve incelemenin ilk aşamasında bulunan kümeler içinse GTIG, “kategorize edilmemiş” anlamına gelen UNC tanımlamalarını kullanmayı sürdürecek .

Google neden şimdi isimleri değiştiriyor?

Yeni sistem, Google’ın 2022’de Mandiant’ı satın almasının ardından Mandiant’ın UNC/APT etiketleriyle Google’ın Threat Analysis Group (TAG) tarafından kullanılan adlandırma yaklaşımını GTIG çatısı altında birleştirme çabasının sonucu .

Amaç, farklı ürünlerde, araştırma raporlarında ve tehdit istihbaratı platformlarında aynı aktörün farklı adlarla görünmesinden kaynaklanan karmaşayı azaltmak. Özellikle bir saldırıya müdahale edilirken, ekiplerin farklı kaynaklardaki bilgileri daha hızlı eşleştirmesi bekleniyor.

Google’ın hamlesi, sektördeki daha geniş bir eğilimle de örtüşüyor. Microsoft tehdit aktörleri için hava durumu temalı adlar, CrowdStrike hayvan temalı isimler, Palo Alto Networks ise takımyıldızlardan esinlenen bir sistem kullanıyor . Google ise Microsoft’un öncülük ettiği şirketler arası ortak isimlendirme girişimine katılmak yerine kendi iki kelimelik sistemini bağımsız olarak uygulamaya koydu .