Google оновила систему, за якою її фахівці з кібербезпеки називають і відстежують хакерські угруповання. Новий формат має спростити ідентифікацію тисяч груп та одразу вказувати на країну, з якою пов’язують їхню діяльність.
Повідомляє видання GALERANEWS, посилаючись на TechCrunch.
Практика присвоєння хакерським групам кодових назв існує в індустрії кібербезпеки понад десять років. Деякі з них, як-от Fancy Bear, стали відомими далеко за межами професійної спільноти. Проблема полягає в тому, що різні компанії використовують власні системи назв, тому одне й те саме угруповання може фігурувати під кількома позначеннями.
Google вирішила спростити власну систему. Компанія відмовляється від формату на кшталт APT1 або APT41, який використовувала Mandiant — колишня незалежна компанія з кібербезпеки, що зараз входить до складу Google. Саме Mandiant свого часу стала однією з перших компаній, які систематизували назви кіберзагроз.
За новими правилами назва хакерської групи складатиметься з двох слів. Перше має бути випадковим і таким, що легко запам’ятовується. Друге вказуватиме на ймовірну країну походження угруповання: Castle використовуватимуть для Китаю, Ion — для Ірану, Neptune — для Північної Кореї, а Relic — для Росії.
Оновлення стало необхідним через різке збільшення кількості загроз, які доводиться відстежувати фахівцям. Google Threat Intelligence Group наразі стежить більш ніж за 5000 так званих activity clusters у різних країнах. У компанії зазначають, що власні кіберможливості та пов’язані з ними хакерські групи сьогодні мають майже всі розвинені держави.
Кодові назви потрібні не лише для класифікації. Систематичне відстеження дозволяє фахівцям накопичувати інформацію про типові цілі, методи атак і попередню активність конкретного угруповання. Під час нового інциденту ці дані допомагають швидше визначити характер загрози та вибрати спосіб реагування.
Наприклад, інформація про попередню діяльність пов’язаної з Північною Кореєю Lazarus Group може дати спеціалістам відправну точку для розслідування нової атаки. Водночас державні хакерські групи зазвичай легше відстежувати, оскільки їхні цілі та методи більш послідовні. Кіберзлочинні угруповання можуть змінювати склад, розпадатися на окремі команди або об’єднуватися, а наймані хакери та розробники шпигунського ПЗ можуть працювати з клієнтами з різних країн.
Єдиної системи назв для всієї індустрії поки немає. Компанії мають різні джерела даних і бачать лише частину активності кожного угруповання, тому їхні оцінки та класифікації можуть відрізнятися. Водночас Google об’єднала під одним стандартом системи свого колишнього Threat Analysis Group і Mandiant, скоротивши принаймні кількість внутрішніх схем позначення кіберзагроз.
