Google переглянула підхід, за яким її аналітики з кібербезпеки класифікують і супроводжують хакерські угруповання. Нова схема покликана полегшити роботу з тисячами груп і водночас одразу натякати, з якою державою пов'язують їхню діяльність.

Про це повідомляє видання GALERANEWS з посиланням на TechCrunch.

Присвоєння кодових імен хакерським угрупованням — давня традиція у сфері кібербезпеки, якій уже понад десятиліття. Окремі назви, наприклад Fancy Bear, вийшли за межі вузького професійного кола й стали загальновідомими. Складність у тому, що кожна компанія користується власною номенклатурою, тож одне угруповання може мати одразу кілька різних позначень залежно від того, хто його описує.

У Google вирішили уніфікувати власний підхід і відмовитися від позначень штибу APT1 чи APT41, які раніше застосовувала Mandiant — незалежна компанія з кібербезпеки, що згодом увійшла до складу Google. Саме Mandiant свого часу заклала основи систематизації назв кіберзагроз у галузі.

Нова номенклатура передбачає двослівні назви для кожної групи. Перше слово обирають випадковим чином так, щоб воно легко запам'ятовувалося, а друге показує ймовірне походження угруповання: Castle позначатиме Китай, Ion — Іран, Neptune — Північну Корею, а Relic — Росію.

Причиною змін стало стрімке зростання кількості загроз, які доводиться моніторити фахівцям компанії. Наразі Google Threat Intelligence Group відстежує понад 5000 так званих activity clusters у різних куточках світу. У компанії наголошують, що власний кіберпотенціал і пов'язані з ним хакерські угруповання сьогодні має практично кожна розвинена держава.

Кодові назви потрібні не лише для зручної класифікації. Послідовне відстеження дає змогу накопичувати дані про типові цілі, тактики атак і попередню активність конкретної групи. Коли трапляється новий інцидент, ця історична інформація допомагає швидше зрозуміти природу загрози та обрати адекватну відповідь.

Скажімо, відомості про попередні операції пов'язаної з Північною Кореєю Lazarus Group можуть стати відправною точкою для розслідування нової атаки. При цьому державні хакерські структури зазвичай простіше піддаються відстеженню, адже їхні цілі та прийоми більш стабільні. Натомість кіберзлочинні угруповання схильні змінювати склад учасників, розпадатися на менші команди або, навпаки, зливатися, а наймані хакери й розробники шпигунського програмного забезпечення нерідко співпрацюють із замовниками з різних країн одночасно.

Спільного для всієї індустрії стандарту назв досі не існує. У кожної компанії свої джерела даних, тож вона бачить лише частину активності конкретного угруповання, через що оцінки й класифікації можуть суттєво розходитися. Проте Google вдалося звести до єдиного стандарту системи, якими раніше користувалися її колишній підрозділ Threat Analysis Group та Mandiant, — це принаймні зменшило кількість внутрішніх схем позначення кіберзагроз.

Джерело: Galera News