Google впроваджує нову систему назв для хакерських угруповань

Перш ніж хакерська група отримує постійне ім'я, вона зазвичай існує як тимчасовий трекінговий кластер із позначкою UNC (Uncategorized) і числовим ідентифікатором, наприклад UNC1878 . Лише коли доказів накопичується достатньо, група «випускається» в повноцінну кодову назву.

Проблема фрагментації: занадто багато назв для однієї загрози

Зростання кількості кіберзагроз перевантажило старий підхід. Головний аналітик Google Джон Галтквіст зазначив, що компанія нині відстежує понад 5 000 «кластерів активності» в багатьох країнах — обсяг, за якого будь-яка числова таксономія стає незручною . За такої кількості сутностей послідовні номери APT стали радше плутаниною, ніж допомогою.

«Навіть інсайдери галузі часто не можуть запам'ятати, хто є хто», — сказав Гантлі TechCrunch . Кожен постачальник безпекових рішень має власну таксономію. Microsoft використовує погодну тематику (Nobelium, Seashell Blizzard), CrowdStrike — тваринну (Cozy Bear, Fancy Bear), Palo Alto Networks — власну систему (Muddled Libra) . Ця фрагментація сповільнює реагування на інциденти, оскільки команди витрачають час на узгодження назв замість локалізації збитків . Гантлі пояснив, що змусити різні компанії прийняти єдину універсальну систему неможливо, адже кожна організація має різне бачення, різні дані та різні операційні потреби .

Нова система назв Google: випадкове ім'я + слово, що вказує на країну

Нова система GTIG замінює застарілу числову послідовність APT від Mandiant (APT1, APT41 тощо) та уніфікує підходи до іменування, які раніше існували окремо всередині Google Threat Analysis Group і Mandiant .

Новий формат складається з двох частин :

• Перше слово — змістовне, випадково обране ім'я, яке унікально ідентифікує конкретну групу. Якщо група вже має загальновідому назву з публічних звітів (наприклад, Lazarus), GTIG її залишає .
• Друге слово — фіксований категорійний покажчик, перша літера якого вказує на визнану країну походження або тип діяльності. Чотири підтверджені коди країн :
  • Castle — Китай
  • Ion — Іран
  • Neptune — Північна Корея
  • Relic — Росія

Система не обмежується цими чотирма категоріями; Google створив таксономію з можливістю додавання нових слів у міру необхідності . Гантлі сказав, що зміна покликана «полегшити дослідникам усередині компанії та за її межами чітку ідентифікацію різних груп загроз» і дозволити фахівцям із захисту миттєво розуміти походження, мотиви та тип діяльності атакуючих .

Глибший виклик: державні суб'єкти, кіберзлочинці та хакери на замовлення зливаються

Хоча реформа іменування допомагає, вона не вирішує найфундаментальнішої проблеми в розвідці загроз: чіткого відокремлення спонсорованих державами складних постійних загроз (APT) від кіберзлочинних угруповань і комерційних хакерів на замовлення .

На практиці ці категорії суттєво перетинаються. Підтримувані державою групи іноді застосовують кримінальну тактику програм-вимагачів для отримання прибутку або маскування свого походження . Кримінальні групи продають доступ та інструменти урядовим акторам. Хакери на замовлення діють в обох світах. Персонал, інструменти та наслідки часто неможливо розрізнити .

Галтквіст зауважив, що понад 5 000 відстежуваних Google кластерів включають державних акторів, кіберзлочинців та постачальників шпигунського ПЗ — і межі між ними постійно розмиваються . Фішинг, згенерований ШІ, та автоматизовані засоби розвідки ще більше заплутують картину, ускладнюючи розрізнення державної шпигунської операції та фінансово мотивованого злочинного угруповання .

Нова система назв Google допомагає, вбудовуючи контекст країни походження безпосередньо в мітку групи, але вона не може усунути фундаментальну неоднозначність: одна група може діяти як державний шпигунський підрозділ в одній кампанії та як незалежний оператор програм-вимагачів в іншій, а групи часто змінюють бренди та діляться інфраструктурою .

Висновок

Кодові назви забезпечують критично важливу спільну мову для відстеження супротивників у всій індустрії кібербезпеки. Але неузгоджені системи іменування різних вендорів створили небезпечну плутанину. Нова дворівнева схема Google — випадкове перше ім'я в парі з покажчиком країни — безпосередньо вирішує проблему фрагментації для її власного відстеження понад 5 000 кластерів. Зміна дозволяє захисникам швидше розуміти, з ким вони мають справу. Проте глибша проблема відокремлення державних акторів від злочинців та найманців залишається поточним операційним викликом, який жодна реформа назв не може вирішити повністю.