Чому компанії з кібербезпеки присвоюють хакерським групам кодові назви

Кодові назви потрібні насамперед для того, щоб дослідники мали спільний стабільний ідентифікатор для кластера зловмисної активності задовго до того, як вдасться встановити юридичну особу або здійснити офіційне правоохоронне приписування . Як пояснив у інтерв'ю Шейн Гантлі, технічний директор GTIG, кодова назва слугує «постійним якорем», який дозволяє аналітикам з різних організацій, континентів і галузей миттєво обмінюватися розвідданими про одного й того самого супротивника . Правильно названа група перетворює розрізнену сукупність IP-адрес, сигнатур зловмисного ПЗ і тактик на відстежуване утворення, яке можна вивчати роками .

Перш ніж хакерська група отримує постійне ім'я, вона зазвичай існує як тимчасовий трекінговий кластер із позначкою UNC (Uncategorized) і числовим ідентифікатором, наприклад UNC1878 . Лише коли доказів накопичується достатньо, група «випускається» в повноцінну кодову назву.

Проблема фрагментації: занадто багато назв для однієї загрози

Зростання кількості кіберзагроз перевантажило старий підхід. Головний аналітик Google Джон Галтквіст зазначив, що компанія нині відстежує понад 5 000 «кластерів активності» в багатьох країнах — обсяг, за якого будь-яка числова таксономія стає незручною . За такої кількості сутностей послідовні номери APT стали радше плутаниною, ніж допомогою.

«Навіть інсайдери галузі часто не можуть запам'ятати, хто є хто», — сказав Гантлі TechCrunch . Кожен постачальник безпекових рішень має власну таксономію. Microsoft використовує погодну тематику (Nobelium, Seashell Blizzard), CrowdStrike — тваринну (Cozy Bear, Fancy Bear), Palo Alto Networks — власну систему (Muddled Libra) . Ця фрагментація сповільнює реагування на інциденти, оскільки команди витрачають час на узгодження назв замість локалізації збитків . Гантлі пояснив, що змусити різні компанії прийняти єдину універсальну систему неможливо, адже кожна організація має різне бачення, різні дані та різні операційні потреби .

Нова система назв Google: випадкове ім'я + слово, що вказує на країну

Нова система GTIG замінює застарілу числову послідовність APT від Mandiant (APT1, APT41 тощо) та уніфікує підходи до іменування, які раніше існували окремо всередині Google Threat Analysis Group і Mandiant .

Новий формат складається з двох частин :

• Перше слово — змістовне, випадково обране ім'я, яке унікально ідентифікує конкретну групу. Якщо група вже має загальновідому назву з публічних звітів (наприклад, Lazarus), GTIG її залишає .
• Друге слово — фіксований категорійний покажчик, перша літера якого вказує на визнану країну походження або тип діяльності. Чотири підтверджені коди країн :
  • Castle — Китай
  • Ion — Іран
  • Neptune — Північна Корея
  • Relic — Росія

Система не обмежується цими чотирма категоріями; Google створив таксономію з можливістю додавання нових слів у міру необхідності . Гантлі сказав, що зміна покликана «полегшити дослідникам усередині компанії та за її межами чітку ідентифікацію різних груп загроз» і дозволити фахівцям із захисту миттєво розуміти походження, мотиви та тип діяльності атакуючих .

Глибший виклик: державні суб'єкти, кіберзлочинці та хакери на замовлення зливаються

Хоча реформа іменування допомагає, вона не вирішує найфундаментальнішої проблеми в розвідці загроз: чіткого відокремлення спонсорованих державами складних постійних загроз (APT) від кіберзлочинних угруповань і комерційних хакерів на замовлення .

На практиці ці категорії суттєво перетинаються. Підтримувані державою групи іноді застосовують кримінальну тактику програм-вимагачів для отримання прибутку або маскування свого походження . Кримінальні групи продають доступ та інструменти урядовим акторам. Хакери на замовлення діють в обох світах. Персонал, інструменти та наслідки часто неможливо розрізнити .

Галтквіст зауважив, що понад 5 000 відстежуваних Google кластерів включають державних акторів, кіберзлочинців та постачальників шпигунського ПЗ — і межі між ними постійно розмиваються . Фішинг, згенерований ШІ, та автоматизовані засоби розвідки ще більше заплутують картину, ускладнюючи розрізнення державної шпигунської операції та фінансово мотивованого злочинного угруповання .

Нова система назв Google допомагає, вбудовуючи контекст країни походження безпосередньо в мітку групи, але вона не може усунути фундаментальну неоднозначність: одна група може діяти як державний шпигунський підрозділ в одній кампанії та як незалежний оператор програм-вимагачів в іншій, а групи часто змінюють бренди та діляться інфраструктурою .

Висновок

Кодові назви забезпечують критично важливу спільну мову для відстеження супротивників у всій індустрії кібербезпеки. Але неузгоджені системи іменування різних вендорів створили небезпечну плутанину. Нова дворівнева схема Google — випадкове перше ім'я в парі з покажчиком країни — безпосередньо вирішує проблему фрагментації для її власного відстеження понад 5 000 кластерів. Зміна дозволяє захисникам швидше розуміти, з ким вони мають справу. Проте глибша проблема відокремлення державних акторів від злочинців та найманців залишається поточним операційним викликом, який жодна реформа назв не може вирішити повністю.

Чому компанії з кібербезпеки присвоюють хакерським групам кодові назви

Кодові назви потрібні насамперед для того, щоб дослідники мали спільний стабільний ідентифікатор для кластера зловмисної активності задовго до того, як вдасться встановити юридичну особу або здійснити офіційне правоохоронне приписування . Як пояснив у інтерв'ю Шейн Гантлі, технічний директор GTIG, кодова назва слугує «постійним якорем», який дозволяє аналітикам з різних організацій, континентів і галузей миттєво обмінюватися розвідданими про одного й того самого супротивника . Правильно названа група перетворює розрізнену сукупність IP-адрес, сигнатур зловмисного ПЗ і тактик на відстежуване утворення, яке можна вивчати роками .

Перш ніж хакерська група отримує постійне ім'я, вона зазвичай існує як тимчасовий трекінговий кластер із позначкою UNC (Uncategorized) і числовим ідентифікатором, наприклад UNC1878 . Лише коли доказів накопичується достатньо, група «випускається» в повноцінну кодову назву.

Проблема фрагментації: занадто багато назв для однієї загрози

Зростання кількості кіберзагроз перевантажило старий підхід. Головний аналітик Google Джон Галтквіст зазначив, що компанія нині відстежує понад 5 000 «кластерів активності» в багатьох країнах — обсяг, за якого будь-яка числова таксономія стає незручною . За такої кількості сутностей послідовні номери APT стали радше плутаниною, ніж допомогою.

«Навіть інсайдери галузі часто не можуть запам'ятати, хто є хто», — сказав Гантлі TechCrunch . Кожен постачальник безпекових рішень має власну таксономію. Microsoft використовує погодну тематику (Nobelium, Seashell Blizzard), CrowdStrike — тваринну (Cozy Bear, Fancy Bear), Palo Alto Networks — власну систему (Muddled Libra) . Ця фрагментація сповільнює реагування на інциденти, оскільки команди витрачають час на узгодження назв замість локалізації збитків . Гантлі пояснив, що змусити різні компанії прийняти єдину універсальну систему неможливо, адже кожна організація має різне бачення, різні дані та різні операційні потреби .

Нова система назв Google: випадкове ім'я + слово, що вказує на країну

Нова система GTIG замінює застарілу числову послідовність APT від Mandiant (APT1, APT41 тощо) та уніфікує підходи до іменування, які раніше існували окремо всередині Google Threat Analysis Group і Mandiant .

Новий формат складається з двох частин :

• Перше слово — змістовне, випадково обране ім'я, яке унікально ідентифікує конкретну групу. Якщо група вже має загальновідому назву з публічних звітів (наприклад, Lazarus), GTIG її залишає .
• Друге слово — фіксований категорійний покажчик, перша літера якого вказує на визнану країну походження або тип діяльності. Чотири підтверджені коди країн :
  • Castle — Китай
  • Ion — Іран
  • Neptune — Північна Корея
  • Relic — Росія

Система не обмежується цими чотирма категоріями; Google створив таксономію з можливістю додавання нових слів у міру необхідності . Гантлі сказав, що зміна покликана «полегшити дослідникам усередині компанії та за її межами чітку ідентифікацію різних груп загроз» і дозволити фахівцям із захисту миттєво розуміти походження, мотиви та тип діяльності атакуючих .

Глибший виклик: державні суб'єкти, кіберзлочинці та хакери на замовлення зливаються

Хоча реформа іменування допомагає, вона не вирішує найфундаментальнішої проблеми в розвідці загроз: чіткого відокремлення спонсорованих державами складних постійних загроз (APT) від кіберзлочинних угруповань і комерційних хакерів на замовлення .

На практиці ці категорії суттєво перетинаються. Підтримувані державою групи іноді застосовують кримінальну тактику програм-вимагачів для отримання прибутку або маскування свого походження . Кримінальні групи продають доступ та інструменти урядовим акторам. Хакери на замовлення діють в обох світах. Персонал, інструменти та наслідки часто неможливо розрізнити .

Галтквіст зауважив, що понад 5 000 відстежуваних Google кластерів включають державних акторів, кіберзлочинців та постачальників шпигунського ПЗ — і межі між ними постійно розмиваються . Фішинг, згенерований ШІ, та автоматизовані засоби розвідки ще більше заплутують картину, ускладнюючи розрізнення державної шпигунської операції та фінансово мотивованого злочинного угруповання .

Нова система назв Google допомагає, вбудовуючи контекст країни походження безпосередньо в мітку групи, але вона не може усунути фундаментальну неоднозначність: одна група може діяти як державний шпигунський підрозділ в одній кампанії та як незалежний оператор програм-вимагачів в іншій, а групи часто змінюють бренди та діляться інфраструктурою .

Висновок

Кодові назви забезпечують критично важливу спільну мову для відстеження супротивників у всій індустрії кібербезпеки. Але неузгоджені системи іменування різних вендорів створили небезпечну плутанину. Нова дворівнева схема Google — випадкове перше ім'я в парі з покажчиком країни — безпосередньо вирішує проблему фрагментації для її власного відстеження понад 5 000 кластерів. Зміна дозволяє захисникам швидше розуміти, з ким вони мають справу. Проте глибша проблема відокремлення державних акторів від злочинців та найманців залишається поточним операційним викликом, який жодна реформа назв не може вирішити повністю.