Google пояснила нові назви хакерських груп

Компанія відмовляється від старих номерів APT і вводить двослівні назви, щоб дослідникам, держорганам і бізнесу було простіше відстежувати атаки.

Google змінила систему назв для хакерських груп і пояснила, навіщо це робить. Компанія хоче, щоб кіберзагрози було простіше розуміти дослідникам, держорганам, журналістам і всім, хто стежить за інцидентами в мережі. Йдеться не просто про нові ярлики: у Google вважають, що узгоджена система допоможе швидше відстежувати атакувальників, пов’язувати їхні дії між собою та краще готуватися до інцидентів. Для бізнесу це насамперед питання швидшого реагування на загрози.

Google замінює старі APT-номери на двослівні назви

Минулого місяця Google стала ще однією компанією, яка переглянула підхід до назв хакерських груп. Раніше в системі Mandiant, яка тепер входить до складу Google, використовували позначення на кшталт APT1, APT41 та інші номерні варіанти.

Тепер підхід інший. Хакерська група в Google отримуватиме двослівну назву: перше слово буде випадковим, але таким, що легко запам’ятовується, а друге вказуватиме на країну походження через першу літеру. Castle означатиме Китай, Ion — Іран, Neptune — Північну Корею, а Relic — Росію.

За словами Shane Huntley, технічного директора Google Threat Intelligence Group, який очолює внутрішню команду компанії з пошуку хакерів, оновлення було потрібне, щоб додати ясності і внутрішнім, і зовнішнім дослідникам безпеки.

Різні назви давно ускладнюють роботу дослідникам

У кібербезпеці назви хакерських груп використовують уже понад десять років. Деякі з них, як-от Fancy Bear, стали відомими далеко за межами професійного середовища завдяки гучним атакам і впізнаваній назві. Інші лишаються знайомими переважно фахівцям.

Проблема в тому, що різні компанії часто називають одні й ті самі групи по-різному. Через це навіть людям усередині індустрії буває непросто зрозуміти, про кого саме йдеться. Саме тому існують ресурси, які намагаються звести ці назви в одну систему і допомогти орієнтуватися професіоналам, чиновникам, політикам, журналістам і ширшій аудиторії.

Huntley пояснив, що на початку 2010-х, коли компанії лише почали публікувати звіти про кібератаки та називати групи, які стояли за ними, ніхто не очікував настільки різкого зростання кількості таких загроз. Як пишуть Новини IT-PUB, саме через це питання назв давно вийшло за межі суто технічної термінології.

Google відстежує понад 5000 activity clusters

За словами John Hultquist, головного аналітика Google Threat Intelligence Group, компанія зараз відстежує понад 5000 “activity clusters” у кількох країнах. Huntley також зазначив, що дуже мало розвинених держав не мають власних кіберможливостей і хакерських груп.

У такій ситуації, каже Google, назви — не формальність і не академічна вправа. Вони потрібні для базового розуміння того, хто атакує, кого атакує і якими методами користується.

Для компаній це означає можливість швидше розпізнати загрозу, краще підготуватися до неї, а в ідеалі — зупинити атаку або принаймні швидше розібратися з наслідками інциденту. Але це працює лише тоді, коли групи називають послідовно і відстежують їхні дії в часі.

Як приклад Huntley навів північнокорейську Lazarus Group. Розуміння того, як діє ця група, які має цілі та з ким пов’язана, дає захисникам стартову точку для реагування.

Державні групи помітніші за кіберзлочинні мережі

У Google визнають, що стежити за хакерами, пов’язаними з державами, складно, але все ж простіше, ніж за кіберзлочинними групами або хакерами-на-замовлення.

Державні групи зазвичай мають стабільніші цілі та схожі моделі поведінки. Натомість у кіберзлочинних угруповань учасники можуть приходити й іти, самі групи — розпадатися, а їхня структура постійно змінюється. Ще складнішими для відстеження Huntley назвав групи хакерів-на-замовлення та виробників шпигунського ПЗ, у яких можуть бути численні клієнти в різних частинах світу.

Саме тому одна й та сама схема назв не завжди однаково точно описує всіх учасників кіберландшафту. Але, за логікою Google, кращого способу хоч якось упорядкувати цю картину поки що немає.

Єдина система для всіх поки лишається недосяжною

Після кожного оновлення системи назв виникає одна й та сама критика: чому б усім компаніям і організаціям не використовувати спільні коди. На перший погляд це виглядає простим рішенням, але Huntley каже, що реальність складніша.

Кожна компанія дивиться на групи через власні дані та телеметрію, тому бачить їх трохи по-іншому. За його словами, це неминуче і не вирішується лише обміном інформацією між дослідниками.

“Ніхто не має ідеальної видимості”, — сказав Huntley. — “Ми будуємо свою модель і найкраще розуміння, але ніколи не знатимемо всього, що відбувається”.

Після об’єднання старих підходів Google Threat Analysis Group і Mandiant компанія принаймні скоротила кількість систем, які потрібно тримати в голові. Для решти ринку проблема нікуди не зникла: дослідникам і далі доводиться орієнтуватися у великому списку назв, які не завжди збігаються між собою.