谷歌弃用APT编号，黑客组织命名新规：随机名+国家代码一目了然

在获得正式命名之前，一个黑客组织通常始于一个临时追踪集群，带有一个UNC（Uncategorized，未分类）标签和数字标识符，例如UNC1878 。只有积累了足够多的证据后，该集群才会升格为正式代号。

碎片化问题：同一个威胁，太多的名字

威胁形势的快速增长已经压垮了旧有的方法。谷歌首席分析师John Hultquist指出，该公司目前在多个国家追踪着超过5000个“活动集群”——如此庞大的数量使得任何单一的数字分类法都变得难以操作 。面对这么多实体，顺序排列的APT编号与其说有帮助，不如说更让人困惑。

“很多时候，连业内人士都记不清，”Huntley对TechCrunch表示 。每家安全厂商都有自己的分类法。微软使用天气主题的名称（Nobelium, Seashell Blizzard），CrowdStrike使用动物主题的名称（Cozy Bear, Fancy Bear），Palo Alto Networks也有自己的体系（如Muddled Libra）。这种碎片化拖慢了应急响应速度，因为团队需要花时间协调标签，而不是控制损害 。Huntley解释说，让不同公司采用同一套通用体系并不现实，因为每家机构拥有不同的可见度、数据和运营需求 。

谷歌的新命名系统：随机名称 + 国家类别词

GTIG的新系统取代了Mandiant时代遗留的APT数字序列（APT1、APT41等），并统一了谷歌内部威胁分析组（TAG）和Mandiant各自独立发展出的命名体系 。

新格式包含两部分 ：

• 第一个词 — 一个易记的、随机选取的名称，用于唯一标识该组织。如果一个组织在公开报告中已有广为人知的名称（如Lazarus），GTIG会沿用这个既定名称 。
• 第二个词 — 一个固定的类别指示词，其首字母代表已判定的来源国或活动类型。目前已确认的四个国家代码是 ：
  • Castle → 中国（背景解释：英文中“Castle”首字母C代表China）
  • Ion → 伊朗（英文中“Ion”首字母I代表Iran）
  • Neptune → 朝鲜（英文中“Neptune”首字母N代表North Korea）
  • Relic → 俄罗斯（英文中“Relic”首字母R代表Russia）

该系统不限于这四个类别；谷歌已建立可扩展的分类体系，以便根据需要添加更多类别词 。Huntley表示，这一改变旨在让“公司内外的安全研究人员能更清晰地识别不同的威胁组织”，并让防御者一看到代号就能立刻了解攻击者的来源、动机和活动类型 。

更深层的挑战：国家行为体、网络罪犯与雇佣黑客的界限日益模糊

尽管命名改革很有帮助，但它并未解决威胁情报领域最根本的难题：如何清晰地区分国家支持的高级持续性威胁（APT）、网络犯罪团伙和商业雇佣黑客公司 。

在实践中，这些类别高度重叠。国家支持的团体有时会采用勒索软件等犯罪战术来获取收入或掩盖其真实来源 。犯罪团伙会向政府背景的集团出售访问权限和工具。雇佣黑客公司在两个世界里都参与活动。它们的“人员、工具和攻击效果”常常难以区分 。

Hultquist指出，谷歌追踪的5000多个集群包括了国家行为体、网络罪犯和间谍软件供应商——而它们之间的边界在不断模糊 。AI生成的钓鱼邮件和自动化侦察工具进一步混淆了这些界限，使得区分一场国家支持的情报行动和一次单纯出于经济动机的犯罪活动变得更加困难 。

谷歌的新命名系统通过将来源国信息直接嵌入每个组织的标签中，确实能提供帮助，但它无法解决根本性的不确定性：一个组织可能在一场行动中是背景深厚的国家间谍单位，而在另一场行动中又变成独立的勒索软件运营商。而且，组织经常更名或共享基础设施 。

总结

代号为整个网络安全行业追踪对手提供了至关重要的共享词汇。但各厂商不一致的命名系统造成了危险的混乱。谷歌新的两词命名方案——一个随机首词搭配一个指示国家的类别词——直接针对其自身追踪的5000多个集群进行了碎片化治理。这一改变让防御者能更快速地了解他们面对的是谁。然而，将国家行为体与罪犯和雇佣兵区分开来的深层困难，仍然是一个任何命名改革都无法完全解决的、持续存在的运营挑战。