Zdjęcie: Kaptured by Kasia / Unsplash
Google rezygnuje ze starego systemu oznaczeń typu APT1 czy APT41. Nowe nazwy grup hakerskich mają być bardziej intuicyjne — pierwsze słowo to losowa, łatwa do zapamiętania nazwa, a drugie jednoznacznie wskazuje kraj pochodzenia cyfrowych napastników.
Dlaczego stary system przestał działać
Specjaliści od cyberbezpieczeństwa stanęli przed poważnym wyzwaniem. Gdy firmy technologiczne we wczesnych latach 2010. zaczęły regularnie raportować ataki i przypisywać im nazwy, nikt nie spodziewał się, że zagrożeń powstanie aż tyle. Dziś Google śledzi ponad 5 tys. tak zwanych klastrów aktywności rozsianych po całym świecie. Dotychczasowy system po prostu przestał nadążać za tą skalą.
Jak wyjaśnia Shane Huntley, dyrektor techniczny Google Threat Intelligence Group, połączenie podejść Google Threat Analysis Group oraz przejętej w 2022 roku firmy Mandiant miało być odpowiedzią na rosnący chaos.
Jeśli rzeczywiście padniecie ofiarą włamania lub zderzycie się z jakimkolwiek incydentem, wiedza o tym, jak zachowuje się napastnik, co robi i co robił w przeszłości — wszystkie te szczegóły stają się krytycznie ważne dla reagowania, a także dla planowania obrony przed podobnymi zagrożeniami
Jak działa nowy system
Zmiana jest prosta, ale skuteczna. Pierwsze słowo jest wybierane losowo i ma być łatwe do zapamiętania. Drugie słowo zawsze zaczyna się od litery skojarzonej z krajem pochodzenia hakerów. Castle używane jest dla grup z Chin, Ion dla Iranu, a Neptune dla Korei Północnej — choć brzmi to jak kryptonimy z serialu szpiegowskiego, to bardzo praktyczne rozwiązanie dla zespołów dbających o bezpieczeństwo.
Jednolita nomenklatura wewnątrz Google pozwoli badaczom szybciej ustalić, z jakim podmiotem mają do czynienia, i błyskawicznie wykorzystać dotychczasową wiedzę o jego działaniach. Znajomość metod, celów i wcześniejszych ruchów pozwala reagować znacznie skuteczniej.
Czy można ujednolicić system w całej branży?
Brzmi to idealnie, ale w praktyce pojawiają się trudności. Każda firma zajmująca się cyberbezpieczeństwem dysponuje innym zestawem danych i telemetrii z odległych węzłów. To oznacza, że ta sama aktywność może być oceniana zupełnie inaczej. Z tego powodu pełna unifikacja nazewnictwa między różnymi dostawcami jest praktycznie niemożliwa.
Co więcej, grupy hakerskie powiązane z rządami są stosunkowo łatwiejsze do śledzenia ze względu na stabilniejsze cele i metody. Z kolei cyberprzestępcy i grupy najemne stale zmieniają skład, dzielą się na nowe komórki i realizują zlecenia dla różnych klientów. W ich przypadku zmienność to codzienność, co dodatkowo utrudnia ich jednoznaczną klasyfikację.