Google променя начина, по който наименува проследяваните от компанията хакерски групи, като заменя разнородните етикети с имена, създадени да обясняват повече с един поглед.
Промяната има за цел да направи докладите за заплахи по-лесни за следене, когато защитниците се опитват да разберат кой стои зад дадена операция и какво може да я движи.
Въвеждането на новите имена не описва нов зловреден код или единична атака. Вместо това то адресира дългогодишен проблем в разузнаването на заплахи: различните изследователски екипи могат да използват различни имена за една и съща група, докато краткият етикет може да разкрива твърде малко за нейния произход, мотиви или дейност.
Анализатори от Google Cloud отбелязаха, че унифицираната схема се въвежда от Google Threat Intelligence Group след обединяването на Mandiant и екипа на Google за анализ на заплахи (Threat Analysis Group).
Целта е да се стандартизира проследяването в различните платформи и публични доклади, намалявайки необходимостта от запаметяване от страна на екипите по сигурност.
В доклад, споделен с Cyber Security News (CSN), Google Cloud посочва, че по-ясните етикети могат да ускорят триажа за организациите, да подобрят комуникацията между анализаторите и да направят външното докладване по-малко объркващо.
Това обаче няма да замени прецизната работа по атрибуция, тъй като поведението на атакуващия, инфраструктурата и целите все още трябва да бъдат оценени, преди дадена група да бъде свързана с правителствена или криминална операция.
Google дава нови имена на хакерските групи
Съгласно новия модел всеки злонамерен субект получава лесно запомнящо се кодово име от две думи. Първата дума идентифицира конкретната група и може да запази термин, използван в по-ранни публични доклади; ако не съществува установен термин, изследователите генерират такъв на случаен принцип и го преглеждат, за да избегнат пристрастия.
Втората дума предоставя полезния контекст. „CASTLE“ обозначава групи, свързани с Китайската народна република, „ION“ се използва за Иран, „NEPTUNE“ за Северна Корея, „RELIC“ за Русия, а „COMET“ – за киберпрестъпна дейност.
Този подход дава на читателите бърза начална точка, без да се твърди, че всеки случай има еднакво ниво на сигурност.
Последователните номера и несвързаните идентификатори като APT1 не предоставят контекста, от който защитниците се нуждаят, за да действат бързо.
Предишните етикети няма да изчезнат за една нощ. Google заявява, че по-ранните имена ще останат достъпни за търсене в нейната платформа за разузнаване на заплахи, заедно с картографирането по MITRE ATT&CK и алиаси от други доставчици.
Тази приемственост е важна, когато екипите за реагиране на инциденти трябва да съгласуват по-стари доклади, правила за наблюдение и бележки по случаи с новите оценки.
Преходът ще започне с няколко десетки от най-активните групи и ще продължи във времето. Групите, които все още са в ранен етап на проучване, ще продължат да носят етикети „UNC“, което означава некласифицирани (uncategorized).
Това ограничение е важно: познатото име може да бъде полезно, но не трябва да кара една предварителна оценка да изглежда като окончателна.
Екипите по сигурност трябва да третират новите имена като помощно средство за навигация, а не като пряк път за атрибуция. Проверявайте етикета на атакуващия спрямо инструментите на кампанията, профила на жертвата, времето и инфраструктурата и запазвайте по-старите алиаси при търсения по време на прехода.
По-широката полза е общият език, който е по-лесен за запомняне, като същевременно оставя място за несигурност и нови доказателства. То може също така да улесни неспециалистите да следят докладите за подкрепяна от държавата и финансово мотивирана дейност.
Ясната терминология не може да предотврати проникване, но може да помогне на организациите да обменят констатации по-бързо и да решават кое изисква внимание на първо място.