Google, hack gruplarına yeni isimlendirme sistemi getirdi

Siber güvenlik sektörü, on yılı aşkın bir süredir farklı hack gruplarına isimler vermekte. Bazı gruplar, Fancy Bear gibi, dikkat çekici saldırıları ve akılda kalıcı isimleri sayesinde geniş kitlelerce tanınırken, diğerleri yalnızca siber güvenlik alanında biliniyor. Hatta bazen sektördeki uzmanlar bile bu grupları takip etmekte zorlanıyor. Bunun bir nedeni, her şirketin hack gruplarını farklı isimlendirmesi. Bu yüzden, siber güvenlik profesyonelleri, hükümet yetkilileri ve medya mensuplarının bu grupları daha iyi anlamalarına yardımcı olmak için kaynaklar oluşturuluyor. Geçtiğimiz ay, Google da hack grupları için isimlendirme sistemini yenileyen en son firma oldu. APT1, APT41 gibi isimlerin yerini artık daha akılda kalıcı bir sistem alıyor. Mandiant tarafından ilk kez benimsenen bu eski sistem, artık geçerliliğini yitiriyor. Google'ın yeni sisteminde, her hack grubunun akılda kalıcı bir ilk ismi ve ülkesini belirten bir ikinci kelimesi olacak: Çin için Castle, İran için Ion, Kuzey Kore için Neptune ve Rusya için Relic. Google Threat Intelligence Group’un baş teknoloji sorumlusuna göre Shane Huntley, yapılan bu değişikliğin, hem şirket içindeki hem de dışındaki güvenlik araştırmacıları için daha fazla netlik sağlamak amacıyla gerekli olduğunu belirtti. 2010’ların başında, şirketler siber saldırılar hakkında raporlar yayımlamaya başladıklarında, o dönemde ne kadar çok tehdit grubu olacağını beklemediklerini ifade etti. Tüm grupları takip etmek zorlaşmıştı. Google şu anda, birçok ülkede 5.000'den fazla “aktivite grubu” izliyor. Huntley, gelişmiş ülkelerin büyük çoğunluğunun kendi siber yetenekleri ve hack grupları olduğunu söyledi. Peki, hack gruplarını isimlendirmenin amacı nedir? Huntley, bunun yalnızca akademik bir çalışma olmadığını, saldırganların kimler olduğuna ve nasıl saldırdıklarına dair temel bir anlayışın sağlanması gerektiğini açıkladı. Bu sayede kuruluşlar tehditleri daha hızlı tanıyabilir, buna karşı hazırlık yapabilir, ideal olarak saldırıları durdurabilir ya da en azından olayları daha çabuk araştırabilir. Tüm bunların, hack gruplarını isimlendirip tutarlı bir şekilde takip etmesi gerektiğini vurguladı. Eğer bir grup tarafından hacklenirseniz ya da bir olayla karşılaşırsanız, o saldırganın davranışlarını, geçmişte ne yaptıklarını bilmek kritik önem taşır. Örneğin, Kuzey Koreli hackerların Lazarus Group olarak bilindiğini ve hedeflerini, kiminle çalıştıklarını bilmek, savunma yapanlara bu hackerlarla başa çıkmaları için bir başlangıç noktası sağlar. Devlet destekli hackerları takip etmek, cyber suç gruplarını ve kiralık hackerları takip etmekten daha kolaydır. Devlet destekli hackerlar genellikle daha tutarlı hedeflere ve aktivitelere sahiptir, oysa cyber suç gruplarının üyeleri gelip gidebilir, bazen ayrılabilir ve daha belirsiz olabilir. Kiralık hacker grupları ve casus yazılım üreticileri ise dünyanın farklı yerlerinde birçok müşteriye sahip olduklarından, izlemeleri biraz daha zordur. Yeni bir isimlendirme sistemi açıklandığında sıkça karşılaşılan bir eleştiri de, neden tüm şirketlerin aynı kod adlarını kullanmadığıdır. Bu sorunun kolay bir yanıtı var gibi görünse de, gerçekte, her şirketin kendi veri setlerine ve telemetrisine dayalı olarak her gruba biraz farklı bir bakışı vardır. Huntley, bunun, şirketler ve araştırmacı grupları arasında daha fazla bilgi paylaşmanın bile önlenemeyeceği bir gerçek olduğunu belirtti. Hiç kimsenin mükemmel bir görünürlüğe sahip olmadığını, en iyi anlamalarının inşa etmekte oldukları modelle mümkün olduğunu vurguladı, ancak her şeyin ne olduğunu asla bilemeyeceklerini de ekledi. Google'ın eski Threat Analysis Group'un isimlendirme sistemini Mandiant ile birleştirmesiyle, en azından hatırlanması gereken bir sistem daha azaldı. Diğer her şey için, bu dev listeye başvurabilirsiniz.