Топ-охотник за хакерами Google объяснил, зачем хакерским группам дают кодовые имена

В прошлом месяце Google изменил подход к наименованию хакерских группировок, став очередной компанией, обновившей свою систему отслеживания киберугроз. Ушли в прошлое обозначения вроде APT1 или APT41, впервые введённые компанией Mandiant, которая сейчас входит в состав Google.

По новой системе каждая группа получает запоминающееся первое имя, а второе слово начинается с буквы, указывающей на страну происхождения: Castle — для Китая, Ion — для Ирана, Neptune — для Северной Кореи и Relic — для России.

Зачем нужна ясность

Шейн Хантли, технический директор Google Threat Intelligence Group, заявил, что обновление системы было необходимо, чтобы дать исследователям внутри и вне компании более чёткое понимание ситуации. Когда в начале 2010-х компании начали публиковать отчёты о кибератаках и называть их исполнителей, никто не ожидал, что число отслеживаемых группировок вырастет настолько. По словам Джона Халквиста, главного аналитика Google Threat Intelligence Group, сейчас компания отслеживает более 5000 «кластеров активности» в разных странах.

Хантли отметил, что сегодня немного развитых государств не располагают собственными киберспособностями и хакерскими группами. Присвоение имён таким группам — не просто академическое упражнение: это даёт организациям базовое понимание, позволяющее быстрее распознавать угрозы, готовиться к ним и оперативнее реагировать на инциденты. Знание того, как обычно действует, например, северокорейская Lazarus Group, даёт защитникам отправную точку при работе с подобным инцидентом.

Отслеживать хакеров, работающих на государства, в целом проще, чем киберпреступные группировки, пояснил Хантли, поскольку состав криминальных групп более изменчив — участники приходят, уходят и создают новые ответвления. На вопрос, почему компании просто не используют единую систему имён, Хантли ответил, что у каждой организации собственные данные и видение каждой группы, поэтому полная унификация нереалистична — никто не обладает полной картиной происходящего. Тем не менее, объединив системы своей бывшей Threat Analysis Group и Mandiant, Google всё же сократил число схем наименования, которые приходится держать в уме индустрии.