Google đang thay đổi cách đặt tên cho các nhóm tin tặc mà hãng theo dõi, thay thế hệ thống nhãn hiệu cũ bằng những tên gọi được thiết kế để truyền tải nhiều thông tin hơn ngay từ cái nhìn đầu tiên. Sự thay đổi này nhằm mục đích làm cho các báo cáo **threat intelligence** dễ theo dõi hơn, giúp các nhà phòng thủ hiểu rõ hơn về đối tượng đứng sau một hoạt động và động cơ của chúng.
Tiêu chuẩn hóa tên gọi tác nhân đe dọa
Việc triển khai hệ thống đặt tên mới không mô tả một chủng mã độc mới hay một chiến dịch tấn công duy nhất. Thay vào đó, nó giải quyết một vấn đề tồn tại lâu nay trong **threat intelligence**: các nhóm nghiên cứu khác nhau có thể sử dụng các tên gọi khác nhau cho cùng một nhóm tin tặc, trong khi một nhãn hiệu ngắn có thể tiết lộ rất ít về nguồn gốc, động cơ hoặc hoạt động của chúng.
Các nhà phân tích tại Google Cloud đã nhấn mạnh rằng hệ thống thống nhất này đang được triển khai bởi Google Threat Intelligence Group, sau sự kết hợp của Mandiant và Threat Analysis Group của Google.
Mục tiêu chính là **tiêu chuẩn hóa việc theo dõi** trên các nền tảng và báo cáo công khai, giảm gánh nặng ghi nhớ cho các đội ngũ an ninh mạng.
Lợi ích nâng cao cho các tổ chức và chuyên gia bảo mật
Google Cloud đã chia sẻ trong một báo cáo rằng đối với các tổ chức, nhãn hiệu rõ ràng hơn có thể tăng tốc độ phân loại ban đầu, cải thiện giao tiếp giữa các nhà phân tích và làm cho các báo cáo bên ngoài ít gây nhầm lẫn hơn. Báo cáo của Google Cloud đã cung cấp chi tiết về những cải tiến này.
Tuy nhiên, hệ thống này không thay thế công việc phân loại và gán ghép thủ công. Hành vi của kẻ tấn công, cơ sở hạ tầng và mục tiêu vẫn cần được đánh giá cẩn thận trước khi một nhóm được liên kết với một hoạt động.
Cấu trúc của hệ thống đặt tên mới
Theo mô hình mới, mỗi tác nhân đe dọa nhận một tên mã gồm hai từ dễ nhớ. Từ đầu tiên xác định nhóm cụ thể và có thể giữ lại một thuật ngữ được sử dụng trong các báo cáo công khai trước đây.
Nếu không có thuật ngữ nào được thiết lập, các nhà nghiên cứu sẽ tạo ra một từ ngẫu nhiên và xem xét để tránh mọi thiên vị.
Từ thứ hai cung cấp ngữ cảnh hữu ích. Ví dụ, **CASTLE** biểu thị các nhóm liên quan đến hoạt động trong một khu vực địa lý cụ thể, **ION** được sử dụng cho các thực thể từ một khu vực khác, **NEPTUNE** cho một khu vực khác nữa, **RELIC** cho một nhóm hoạt động khác, và **COMET** dành cho các hoạt động tội phạm mạng có động cơ tài chính.
Phương pháp này cung cấp cho người đọc một điểm khởi đầu nhanh chóng mà không khẳng định rằng mọi trường hợp đều có cùng mức độ chắc chắn. Điều này giúp cải thiện đáng kể khả năng hiểu và ứng phó với các **tấn công mạng**.
Sự khác biệt so với các tên gọi cũ
Các số thứ tự liên tiếp và các định danh không liên quan như **APT1** không cung cấp ngữ cảnh mà các nhà phòng thủ cần để hành động nhanh chóng. Hệ thống cũ thường gây khó khăn trong việc nhanh chóng xác định bản chất và động cơ của một **mối đe dọa**.
Người đọc so sánh các nhãn hiệu cũng có thể tham khảo khuôn khổ gán ghép mới kết nối các chiến dịch APT, giải thích tại sao các kết luận mạnh mẽ nên dựa trên nhiều hình thức bằng chứng độc lập.
Quá trình chuyển đổi và tính liên tục
Các nhãn hiệu trước đây sẽ không biến mất ngay lập tức. Google cho biết các tên gọi cũ sẽ vẫn có thể tìm kiếm được trong nền tảng **threat intelligence** của họ, cùng với các ánh xạ **MITRE ATT&CK** và các biệt danh từ các nhà cung cấp khác.
Tính liên tục này rất quan trọng khi các đội phản ứng sự cố phải đối chiếu các báo cáo cũ, quy tắc giám sát và ghi chú trường hợp với các đánh giá mới. Điều này đảm bảo rằng các thông tin lịch sử vẫn có giá trị trong việc phân tích các **cuộc tấn công mạng**.
Quá trình chuyển đổi sẽ bắt đầu với hàng chục nhóm hoạt động tích cực nhất và sẽ tiếp tục theo thời gian. Các nhóm vẫn đang trong giai đoạn điều tra ban đầu sẽ tiếp tục mang nhãn **UNC** (uncategorized – chưa được phân loại).
Sự thận trọng đó rất quan trọng: một cái tên quen thuộc có thể hữu ích, nhưng nó không nên làm cho một đánh giá tạm thời trở nên chắc chắn hơn mức cần thiết. Điều này giúp tránh việc gán ghép sai lầm và duy trì tính khách quan trong **an ninh mạng**.
Khuyến nghị cho các đội ngũ bảo mật
Các đội ngũ bảo mật nên coi các tên gọi mới như một công cụ hỗ trợ điều hướng, không phải là một lối tắt để gán ghép. Hãy kiểm tra chéo nhãn tác nhân với các công cụ, hồ sơ nạn nhân, thời gian và cơ sở hạ tầng của chiến dịch, và bảo toàn các biệt danh cũ trong các tìm kiếm trong suốt quá trình chuyển đổi.
Hướng dẫn trong hướng dẫn săn lùng mối đe dọa thực hành này cung cấp một lời nhắc hữu ích rằng các kỹ thuật **MITRE ATT&CK** có thể tổ chức một cuộc điều tra mà không cần chứng minh ai đã thực hiện nó.
Các đội cũng nên ghi lại lý do tại sao một ánh xạ được thực hiện và mức độ tin cậy đằng sau nó, đặc biệt khi các báo cáo công khai sử dụng nhiều tên gọi chồng chéo. Một hướng dẫn theo dõi mối đe dọa nâng cao thực tế có thể giúp các nhà phân tích giữ bằng chứng chiến dịch tách biệt khỏi nhãn hiệu, giảm khả năng một biệt danh cũ che giấu một mô hình hoạt động mới.
Tầm quan trọng của ngôn ngữ chung trong phòng thủ
Lợi ích rộng lớn hơn là một ngôn ngữ chung dễ nhớ hơn, đồng thời vẫn có chỗ cho sự không chắc chắn và bằng chứng mới. Nó cũng có thể giúp những người không chuyên dễ dàng theo dõi các báo cáo về các hoạt động do các thực thể điều hành và các hoạt động có động cơ tài chính.
Để có ngữ cảnh về rủi ro sau, thông tin về các cuộc tấn công tội phạm mạng nhắm vào người dùng cho thấy tại sao việc truyền đạt mối đe dọa rõ ràng lại quan trọng khi những người đứng sau một cuộc xâm nhập có thể thay đổi công cụ và chiến thuật của họ một cách nhanh chóng.
Thuật ngữ rõ ràng không thể ngăn chặn một cuộc xâm nhập, nhưng nó có thể giúp các tổ chức trao đổi thông tin nhanh hơn và quyết định điều gì cần được chú ý trước tiên. Điều này là cốt lõi để nâng cao khả năng **phát hiện tấn công** và phản ứng hiệu quả, góp phần vào **bảo mật mạng** tổng thể.
