Google huquqbuz guruhlarini qanday nomlaydi: 5000 dan ortiq klaster va bitta standart yaratish urinishi

Kiberxavfsizlik sohasida ismlar — bu faqat belgilar emas, himoya vositalaridir. Fancy Bear, Lazarus Group, APT28, APT41 — bir xil hujumchilar uchun turli kompaniyalar bergan turli nomlar. Bu haqiqat yillab xavfsizlik mutaxassislarini, jurnalistlarni va hokimiyatlarni shoshilinch holatga solgan. Oxirgi oygarda Google bu haosni kamaytirish uchun katta qadam tashladi: o'z Google Threat Intelligence Group (GTIG) nomi ostida yig'ilgan komandalarning (eskidan Mandiant va Threat Analysis Group) nomlash standartini butunlay qayta yozdi.

Yangi sxema: xotira va geografiya

Eski Mandiant tizimi APT (Advanced Persistent Threat) harfi va tartib raqamidan (APT1, APT41) iborat edi. Bu sodda edi, lekin guruhlar soni o'sganda xotirada saqlash qiyinlashdi. Yangi Google tizimi ikki so'zli formuladan foydalaydi:

• Birinchi so'z — tasodifiy, lekin xotiraga qoldiriladigan (masalan, "Castle", "Ion", "Neptune", "Relic\)).
• Ikkinchi so'z — boshlang'ich harfi mamlakatni kodlaydi: Castle (Xitoy), Ion (Eron), Neptune (Shimoliy Koreya), Relic (Rossiya).

Natijada, "APT41" o'rniga masalan "Castle [TasodifiyNomi]" kabi narsa paydo bo'ladi. Bu odam psikologiyasiga mos: odamlar raqamli kodlardan ko'ra so'zlarni (hatto ma'nosiz bo'lsa) tezroq eslaydi va ayirib ko'radi.

Nima uchun hozir? Masshtab muammosi

Google Threat Intelligence Group bosh tahlilchisi John Hultquist ma'lumot berib o'tiradiki, kompaniya hozir 5000 dan ortiq "faoliyati klasterlari"ni bir nechta mamlakatlarda kuzatib bormoqda. Bu son 2010-yillarning boshlanishida taxmin qilinganlardan ko'ra keskin farq qiladi. GTIG texnologiya direktori Shane Huntley TechCrunchga aytib o'tganidek, "biz bugungi kunda bu qadar ko'p huquqbuz guruhlar bo'lishini kutmagan edik\)."

Huntley ta'kidlaydi: bugun deyarli har bir rivojlangan mamlakating o'zining kiber imkoniyatlari va huquqbuz guruhlari bor. Bu demakki, "APT" raqamlari cheklangan resursga aylanibdi — uzoqroq emas, yaqin kelajakda ular yetarli emas edi.

Nomalash faqat akademik mashq emas

Nima uchun uzoq nomlar ro'yxati bilan shug'ullanish kerak? Huntley ga quyidagicha tushuntiradi: maqsad — kim kimni hujoom qilmoqda va qanday qilmoqda degani haqida asosiy tushuncha hosil qilish. Tashkilotlar bu bazaviy bilimi bilan:

• tahdidlarni tezroq aniqlashi,
• ularga qarshi tayyorgarlik ko'rsatishi,
• ideal holatda — oldini olishi,
• kamida — incidentlarni tezroq tekshirishi mumkin.

"Agar siz ular tomonidan hujoom qilingan bo'lsangiz yoki incident bilan shug'ullanayotgan bo'lsangiz, bu aktyor qanday xulq-atvor ko'rsatadi, nima qiladi, o'tida nima qilgan — bu barcha tafsilotlar javob berish va tahdidlarga qarshi qamrovni hisoblash uchun jiddiy ahamiyatga ega," — deb qo'shdi Huntley.

Misol uchun, Lazarus Group (Shimoliy Koreya davlat huquqbuzlari) xulq-atvori, maqsadlari va kim hisobiga ishlashini bilish, himoyachilarga bu hujumchilar bilan nima qilish kerakligi masalasida boshlang'ich nuqta beradi.

Davlat huquqbuzlari vs kiberjinoyatchilar: kuzatuv qiyinligi

Huntley eslatib o'tiradiki, davlat huquqbuzlarini kuzatib borish — bu qiyin, lekin kiberjinoyatchi guruhlar va "ijaraga olingan huquqbuzlar" (hackers-for-hire) dan osonroq. Nima uchun?

• Davlat huquqbuzlari odatda barqaror maqsadlarga ega, ularning faoliyti tizimli va o'zgaruvchan emas.
• Kiberjinoyatchi guruhlari a'zolari tez-tez o'zgaradi, guruhlar parchalanadi (splinter), ularning tuzilishi amorf (shaklsiz).
• Huquqbuzlik xizmati (spyware makers) beruvchilar esa dunyo bo'ylab turli mijozlarga ega, bu ularni kuzatib borishni biroz qiyinlashtiradi.

Bu farq muhim: nomlash tizimi davlat aktyorlari uchun eng samarali ishlaydi, chunki ularning "parchasi" (profil) aniqroq.

Nima uchun bitta universal standart yo'q?

Har yangilangan nomlash tizimi e'lon qilinganda tabiiy savol paydo bo'ladi: "Nima uchun barcha kompaniyalar bir xil nomlardan foydalana olmaydi?" Huntley bu yerda haqiqatni ochib beradi: hech bir kompaniyada to'liq ko'rinish (perfect visibility) yo'q.

Har bir xavfsizlik vendori o'z ma'lumotlari to'plami (telemetriya) asosida guruhning "tasviri"ni yasaydi. Bir vendor huquqbuzlarning boshlang'ich kirish vektoriini ko'rishi mumkin, ikkinchisi esa ularning ichki vositalarini. Ular bir-biriga ma'lumot almassalar ham, ularning modellarini birlashtirib, bitta "haqiqat"ga erishib bo'lmaydi — har biri o'z o'ziga xos nuqtai nazar bilan qaraydi.

"Biz o'z modelimizni va eng yaxshiroq tushunchamizni qurmoqdamiz, lekin biz hech qachon sodir bo'layotgan barcha narsalarni bilmaymiz," — deb aytdi Huntley.

Shuning uchun Google o'z ichidagi ikki eski sxemani (eskidan Mandiant va Threat Analysis Group) bitta chig'ida yig'ish — bu allaqachon yutuq: eslatib borish kerak bo'lgan sxemalar soni bir ga kamaydi. Qolganlari uchun esa hali ham bu hajmi katta ro'yxat ga murojaat qilish kerak.

Xulosa: taksonomiya — bu himoya katta harbiy operatsiyasining qismi

Google yangi tizimi — bu faqat branding emas. Bu 5000+ obyektni idora etish, ularni sinflashtirish va himoyachilar uchun "tez-tez so'raladigan savollar" ro'yxatini qisqartirish urinishi. Yangi nomlar (Castle, Ion, Neptune, Relic) xotirada qoladi, lekin asl qadriyat — bu nomlarning orqasidagi doimiy kuzatuv va kontekst.

Kiberxavfsizlikda "kim" ni bilmasdan, "nima" va "qanday" ga javob berib bo'lmaydi. Google harakatlari — bu haqiqatni qabul qilish va haosni boshqarilmasdan, o'ziga xos tartibga solishga harakat. Amalda bu himoyachilarga incidentda daqiqa tejash imkonini beradi — va kiberjangda daqiqa odam hayoti va korporativ sirlari qiymatiga teng bo'lishi mumkin.