Siber güvenlik şirketleri neden hacker gruplarına kod adı veriyor?

Kod adları, siber güvenlik araştırmacılarının, bir hacker grubunun yasal kimliğini kanıtlamadan veya resmi bir kolluk soruşturması başlatılmadan önce, kötü niyetli faaliyetler için ortak ve kalıcı bir etikete ihtiyaç duyması nedeniyle ortaya çıktı . Google'ın GTIG CTO'su Shane Huntley'nin röportajlarda açıkladığı gibi, bir kod adı 'kalıcı bir çapa' görevi görür. Bu sayede farklı kuruluşlardan, kıtalardan ve sektörlerden analistler, aynı düşman hakkında anında istihbarat paylaşabilir . Düzgün bir şekilde adlandırılmış bir grup, dağınık bir IP, kötü amaçlı yazılım ve taktik koleksiyonunu yıllar boyunca takip edilebilir bir varlığa dönüştürür .

Bir hacker grubu kalıcı bir isim almadan önce, genellikle geçici bir takip kümesi olarak başlar ve UNC (Uncategorized) etiketiyle sayısal bir tanımlayıcı alır (UNC1878 gibi) . Yeterli kanıt toplandığında grup, adlandırılmış bir kod adına terfi eder.

Parçalanma sorunu: Aynı tehdit için çok fazla isim

Tehdit ortamının büyümesi, eski yaklaşımı işe yaramaz hale getirdi. Google Baş Analisti John Hultquist, şirketin artık birden fazla ülkede 5.000'den fazla 'faaliyet kümesini' takip ettiğini ve bu hacmin tek bir sayısal taksonomiyi kullanışsız kıldığını belirtti . Bu kadar çok varlıkla, sıralı APT numaraları yardımcı olmaktan çok kafa karıştırıcı hale geldi. 'Sektördekiler bile çoğu zaman takip edemiyor' dedi Huntley . Her güvenlik satıcısının kendi taksonomisi var. Microsoft hava durumu temalı isimler (Nobelium, Seashell Blizzard), CrowdStrike hayvan temalı isimler (Cozy Bear, Fancy Bear) ve Palo Alto Networks kendi sistemini (Muddled Libra gibi) kullanıyor . Bu parçalanma, ekiplerin hasarı kontrol altına almak yerine etiketleri anlamaya çalışarak zaman kaybetmesine neden oluyor . Huntley, farklı şirketlerin evrensel bir sistemi benimsemesinin gerçekçi olmadığını, çünkü her kuruluşun farklı görünürlüğe, farklı verilere ve farklı operasyonel ihtiyaçlara sahip olduğunu açıkladı .

Google'ın yeni isimlendirme sistemi: Rastgele isim + ülke kodu

GTIG'in yeni sistemi, Mandiant'ın eski APT sayısal dizisinin (APT1, APT41 vb.) yerini alıyor ve Google'ın Threat Analysis Group ile Mandiant içinde bağımsız olarak gelişen isimlendirme yaklaşımlarını birleştiriyor .

Yeni format iki bölümden oluşuyor :

• İlk kelime — Belirli bir grubu benzersiz şekilde tanımlayan, akılda kalıcı, rastgele seçilmiş bir isim. Eğer bir grubun kamuya açık raporlarda halihazırda bilinen bir adı varsa (Lazarus gibi), GTIG bu yerleşik ismi koruyor .
• İkinci kelime — İlk harfi, grubun atfedildiği ülkeyi veya faaliyet türünü belirten sabit bir kategori göstergesi. Onaylanan dört ülke kodu şunlar :
  • Castle → Çin
  • Ion → İran
  • Neptune → Kuzey Kore
  • Relic → Rusya

Sistem bu dört kategoriyle sınırlı değil; Google, taksonomiyi gerektiğinde ek kategori kelimelerine uyum sağlayacak şekilde tasarladı . Huntley, bu değişikliğin 'şirket içi ve dışındaki araştırmacıların farklı tehdit gruplarını net bir şekilde tanımlamasını' ve savunmacıların bir bakışta saldırganın kökenini, motivasyonunu ve faaliyet türünü anlamasını kolaylaştırmak için tasarlandığını söyledi .

Daha derin zorluk: Devlet aktörleri, suçlular ve kiralık hacker grupları iç içe geçiyor

İsimlendirme reformu yardımcı olsa da, tehdit istihbaratındaki en temel zorluğu çözmüyor: devlet destekli gelişmiş kalıcı tehditleri (APT'leri) siber suç çetelerinden ve ticari kiralık hacker operasyonlarından net bir şekilde ayırmak .

Bu kategoriler pratikte önemli ölçüde örtüşüyor. Devletle bağlantılı gruplar, gelir elde etmek veya kimliklerini gizlemek için bazen suçlu fidye yazılımı taktiklerini benimsiyor . Suç grupları, devlet destekli aktörlere erişim ve araç satıyor. Kiralık hacker firmaları her iki dünyada da faaliyet gösteriyor. Personel, araçlar ve etkiler çoğu zaman ayırt edilemez .

Hultquist, Google'ın takip ettiği 5.000'den fazla kümenin devlet aktörlerini, siber suçluları ve paralı casus yazılım satıcılarını içerdiğini ve sınırların sürekli bulanıklaştığını belirtti . Yapay zeka tarafından oluşturulan kimlik avı ve otomatik keşif araçları, çizgileri daha da bulanıklaştırarak devlet destekli bir istihbarat operasyonu ile mali motivasyonlu bir suç çetesi arasındaki ayrımı zorlaştırıyor .

Google'ın yeni isimlendirme sistemi, menşe ülke bağlamını doğrudan grubun etiketine yerleştirerek yardımcı oluyor ancak temel belirsizliği çözemiyor: bir grup bir kampanyada devlet destekli bir casusluk birimi olarak faaliyet gösterirken, bir diğerinde serbest çalışan bir fidye yazılımı operatörü olarak hareket edebilir ve gruplar sık sık yeniden markalaşabilir veya altyapı paylaşabilir .

Alt satır

Kod adları, siber güvenlik sektöründe düşmanları takip etmek için kritik bir ortak dil sağlar. Ancak tutarsız satıcı isimlendirme sistemleri tehlikeli kafa karışıklıklarına yol açtı. Google'ın yeni iki kelimelik şeması -rastgele bir ilk isim ve bir ülkeyi belirten ikinci bir kelime- 5.000'den fazla kümenin kendi takibi için bu parçalanmayı doğrudan ele alıyor. Bu değişiklik, savunmacıların kiminle karşı karşıya olduklarını hızlıca anlamasını kolaylaştırıyor. Ancak devlet aktörlerini, suçlulardan ve paralı askerlerden ayırmanın daha derin zorluğu, hiçbir isimlendirme reformunun tam olarak çözemeyeceği devam eden bir operasyonel sorun olarak kalıyor.

Siber güvenlik şirketleri neden hacker gruplarına kod adı veriyor?

Kod adları, siber güvenlik araştırmacılarının, bir hacker grubunun yasal kimliğini kanıtlamadan veya resmi bir kolluk soruşturması başlatılmadan önce, kötü niyetli faaliyetler için ortak ve kalıcı bir etikete ihtiyaç duyması nedeniyle ortaya çıktı . Google'ın GTIG CTO'su Shane Huntley'nin röportajlarda açıkladığı gibi, bir kod adı 'kalıcı bir çapa' görevi görür. Bu sayede farklı kuruluşlardan, kıtalardan ve sektörlerden analistler, aynı düşman hakkında anında istihbarat paylaşabilir . Düzgün bir şekilde adlandırılmış bir grup, dağınık bir IP, kötü amaçlı yazılım ve taktik koleksiyonunu yıllar boyunca takip edilebilir bir varlığa dönüştürür .

Bir hacker grubu kalıcı bir isim almadan önce, genellikle geçici bir takip kümesi olarak başlar ve UNC (Uncategorized) etiketiyle sayısal bir tanımlayıcı alır (UNC1878 gibi) . Yeterli kanıt toplandığında grup, adlandırılmış bir kod adına terfi eder.

Parçalanma sorunu: Aynı tehdit için çok fazla isim

Tehdit ortamının büyümesi, eski yaklaşımı işe yaramaz hale getirdi. Google Baş Analisti John Hultquist, şirketin artık birden fazla ülkede 5.000'den fazla 'faaliyet kümesini' takip ettiğini ve bu hacmin tek bir sayısal taksonomiyi kullanışsız kıldığını belirtti . Bu kadar çok varlıkla, sıralı APT numaraları yardımcı olmaktan çok kafa karıştırıcı hale geldi. 'Sektördekiler bile çoğu zaman takip edemiyor' dedi Huntley . Her güvenlik satıcısının kendi taksonomisi var. Microsoft hava durumu temalı isimler (Nobelium, Seashell Blizzard), CrowdStrike hayvan temalı isimler (Cozy Bear, Fancy Bear) ve Palo Alto Networks kendi sistemini (Muddled Libra gibi) kullanıyor . Bu parçalanma, ekiplerin hasarı kontrol altına almak yerine etiketleri anlamaya çalışarak zaman kaybetmesine neden oluyor . Huntley, farklı şirketlerin evrensel bir sistemi benimsemesinin gerçekçi olmadığını, çünkü her kuruluşun farklı görünürlüğe, farklı verilere ve farklı operasyonel ihtiyaçlara sahip olduğunu açıkladı .

Google'ın yeni isimlendirme sistemi: Rastgele isim + ülke kodu

GTIG'in yeni sistemi, Mandiant'ın eski APT sayısal dizisinin (APT1, APT41 vb.) yerini alıyor ve Google'ın Threat Analysis Group ile Mandiant içinde bağımsız olarak gelişen isimlendirme yaklaşımlarını birleştiriyor .

Yeni format iki bölümden oluşuyor :

• İlk kelime — Belirli bir grubu benzersiz şekilde tanımlayan, akılda kalıcı, rastgele seçilmiş bir isim. Eğer bir grubun kamuya açık raporlarda halihazırda bilinen bir adı varsa (Lazarus gibi), GTIG bu yerleşik ismi koruyor .
• İkinci kelime — İlk harfi, grubun atfedildiği ülkeyi veya faaliyet türünü belirten sabit bir kategori göstergesi. Onaylanan dört ülke kodu şunlar :
  • Castle → Çin
  • Ion → İran
  • Neptune → Kuzey Kore
  • Relic → Rusya

Sistem bu dört kategoriyle sınırlı değil; Google, taksonomiyi gerektiğinde ek kategori kelimelerine uyum sağlayacak şekilde tasarladı . Huntley, bu değişikliğin 'şirket içi ve dışındaki araştırmacıların farklı tehdit gruplarını net bir şekilde tanımlamasını' ve savunmacıların bir bakışta saldırganın kökenini, motivasyonunu ve faaliyet türünü anlamasını kolaylaştırmak için tasarlandığını söyledi .

Daha derin zorluk: Devlet aktörleri, suçlular ve kiralık hacker grupları iç içe geçiyor

İsimlendirme reformu yardımcı olsa da, tehdit istihbaratındaki en temel zorluğu çözmüyor: devlet destekli gelişmiş kalıcı tehditleri (APT'leri) siber suç çetelerinden ve ticari kiralık hacker operasyonlarından net bir şekilde ayırmak .

Bu kategoriler pratikte önemli ölçüde örtüşüyor. Devletle bağlantılı gruplar, gelir elde etmek veya kimliklerini gizlemek için bazen suçlu fidye yazılımı taktiklerini benimsiyor . Suç grupları, devlet destekli aktörlere erişim ve araç satıyor. Kiralık hacker firmaları her iki dünyada da faaliyet gösteriyor. Personel, araçlar ve etkiler çoğu zaman ayırt edilemez .

Hultquist, Google'ın takip ettiği 5.000'den fazla kümenin devlet aktörlerini, siber suçluları ve paralı casus yazılım satıcılarını içerdiğini ve sınırların sürekli bulanıklaştığını belirtti . Yapay zeka tarafından oluşturulan kimlik avı ve otomatik keşif araçları, çizgileri daha da bulanıklaştırarak devlet destekli bir istihbarat operasyonu ile mali motivasyonlu bir suç çetesi arasındaki ayrımı zorlaştırıyor .

Google'ın yeni isimlendirme sistemi, menşe ülke bağlamını doğrudan grubun etiketine yerleştirerek yardımcı oluyor ancak temel belirsizliği çözemiyor: bir grup bir kampanyada devlet destekli bir casusluk birimi olarak faaliyet gösterirken, bir diğerinde serbest çalışan bir fidye yazılımı operatörü olarak hareket edebilir ve gruplar sık sık yeniden markalaşabilir veya altyapı paylaşabilir .

Alt satır

Kod adları, siber güvenlik sektöründe düşmanları takip etmek için kritik bir ortak dil sağlar. Ancak tutarsız satıcı isimlendirme sistemleri tehlikeli kafa karışıklıklarına yol açtı. Google'ın yeni iki kelimelik şeması -rastgele bir ilk isim ve bir ülkeyi belirten ikinci bir kelime- 5.000'den fazla kümenin kendi takibi için bu parçalanmayı doğrudan ele alıyor. Bu değişiklik, savunmacıların kiminle karşı karşıya olduklarını hızlıca anlamasını kolaylaştırıyor. Ancak devlet aktörlerini, suçlulardan ve paralı askerlerden ayırmanın daha derin zorluğu, hiçbir isimlendirme reformunun tam olarak çözemeyeceği devam eden bir operasyonel sorun olarak kalıyor.