Thought Leadership
Die Google Threat Intelligence Group ordnet ihr Tracking-System für Cyber-Bedrohungsakteure neu. Statt kryptischer Kürzel wie APT41 sollen künftig zweiteilige Codenamen für Übersicht sorgen.
Google hat angekündigt, sein System zur Benennung von Hackergruppen grundlegend zu überarbeiten. Die Google Threat Intelligence Group (GTIG), ein Zusammenschluss der Sicherheitsfirma Mandiant und der hauseigenen Threat Analysis Group (TAG), führt dafür ein einheitliches, cryptonymbasiertes Namensschema ein. Der Rollout hat laut Unternehmensangaben bereits begonnen.
Zwei getrennte Systeme werden zusammengeführt
Bislang pflegten Mandiant und TAG jeweils eigene Systeme zur Kategorisierung von Bedrohungsakteuren, die sich über Jahre unabhängig voneinander entwickelt hatten. Mit der Fusion beider Einheiten unter dem Dach von GTIG wurde nach eigenen Angaben auch eine gemeinsame Nomenklatur notwendig. Google begründet den Schritt damit, dass sequenzielle Nummerierungen oder uneinheitliche Kürzel wie „APT1“ Verteidigern nicht den nötigen Kontext liefern, um im Ernstfall schnell reagieren zu können. Das Unternehmen orientiert sich damit an in der Sicherheitsbranche bereits verbreiteten Namenskonventionen.
Mit Blick auf die Zukunft wird das neue System von GTIG auf Kryptonyme setzen. Die Verwendung von fortlaufenden Nummern oder uneinheitlichen Bezeichnungen (z. B. APT1) liefert den Verteidigern nicht den entscheidenden Kontext, den sie für ein schnelles Handeln benötigen. Die Verfolgung von Bedrohungen sollte keine Frage des Auswendiglernens sein, sondern vielmehr eine Frage der Intuition. Die neue Namenskonvention orientiert sich an den branchenüblichen Namenssystemen für Bedrohungsakteure.
So funktioniert das neue Schema
Jede Bedrohungsgruppe erhält künftig einen Namen aus zwei Wörtern:
- Das erste Wort ist ein einprägsamer, individueller Begriff für die jeweilige Gruppe. Existiert bereits ein in der Öffentlichkeit gebräuchlicher Name, greift Google darauf zurück. Andernfalls wird der Begriff zufällig generiert und anschließend von Analysten geprüft, um Verzerrungen zu vermeiden.
- Das zweite Wort ordnet die Gruppe anhand von Motivation, Herkunft oder Aktivitätstyp einer Kategorie zu, je nachdem, welcher Aspekt für Verteidigungsstrategien als am relevantesten gilt.
Die Kategorie-Wörter fungieren dabei als eine Art Nachname für ganze Gruppen von Akteuren. Google nennt in seiner Ankündigung folgende Beispiele:
| Herkunft/Typ | Kategorie-Bezeichnung |
|---|---|
| Volksrepublik China | CASTLE |
| Iran | ION |
| Nordkorea | NEPTUNE |
| Russland | RELIC |
| Cyberkriminelle | COMET |
Ein Beispiel: Eine chinesische Gruppe könnte künftig etwa „Redcastle“ heißen, während eine nordkoreanische Gruppe unter einem Namen mit dem Zusatz „Neptune“ auftaucht.
Vergleichbarkeit bleibt begrenzt
Google weist selbst darauf hin, dass es in der Branche bereits mehrere parallele Tracking-Systeme gibt, etwa von Crowdstrike, Microsoft oder Mitre. Das neue Schema soll bewusst einfach gehalten sein, um die Zuordnung zu Namenskonventionen anderer Anbieter zu erleichtern. Ein direkter, eins-zu-eins-Vergleich zwischen den Bezeichnungen verschiedener Hersteller bleibe aber weiterhin schwierig, da kein Anbieter exakt dieselbe Sicht auf die Bedrohungslandschaft habe. Google versteht die Umstellung daher eher als pragmatischen Schritt, um die Komplexität der eigenen Erfassung besser handhabbar zu machen, nicht als Lösung für das branchenweite Uneinheitlichkeitsproblem.
Alte Namen bleiben erhalten
Der Umbau soll schrittweise erfolgen: Zunächst benennt Google einige Dutzend besonders aktive Gruppen um, weitere sollen fortlaufend folgen. Bisherige Bezeichnungen samt Zuordnungen zum Mitre-ATT&CK-Framework und Aliasnamen anderer Hersteller bleiben in der Google Threat Intelligence (GTI)-Plattform weiterhin auffindbar und durchsuchbar. Für Bedrohungscluster, die sich noch in einem frühen Untersuchungsstadium befinden, verwendet Google weiterhin die Bezeichnung „UNC“ (uncategorized).
(red)
