谷歌重新调整黑客组织命名体系，弃用 APT 命名改用易记名称

IT之家 8 月 9 日消息，十多年来，网络安全行业一直在为不同的黑客组织命名。其中一些组织，例如 Fancy Bear（奇幻熊），凭借引人注目的网络攻击以及容易记忆的名字走入大众视野；另一些组织则只在网络安全行业内部为人所知。很多时候，就连业内人士也很难记清所有黑客组织的名称。部分原因在于，不同公司采用了不同的命名方式。因此，才会出现一些资料库，试图成为一个“一站式”参考工具，让网络安全从业者、政府官员、政策制定者、记者以及普通公众能够弄清楚这些黑客组织究竟是谁。上个月，谷歌成为最新一家重新调整黑客组织命名体系的公司。IT之家注意到，过去那种 APT1、APT41 或者“APT+ 数字”的命名方式已经成为历史。这套体系最初由 Mandiant 采用。Mandiant 曾是一家独立网络安全公司，如今已经成为谷歌旗下的一部分，也是最早采用这类命名方案的公司之一。从现在开始，谷歌将采用相对简单的命名方式：黑客组织的第一个名字会采用一个容易记忆且随机的单词，第二个单词的首字母则代表其来源国家。例如，Ion 代表伊朗，Neptune 代表朝鲜，Relic 代表俄罗斯。谷歌威胁情报集团（Google Threat Intelligence Group）首席技术官 Shane Huntley 表示，重新调整命名体系是为了让公司内部以及外部的安全研究人员能够更加清晰地了解不同威胁组织。Huntley 告诉 TechCrunch，21 世纪 10 年代初，当各家公司开始发布网络攻击报告，并为幕后黑客组织命名时，“我们没想到如今会有这么多威胁组织”。随着时间推移，想要追踪所有黑客组织已经变得越来越困难。谷歌威胁情报集团首席分析师 John Hultquist 表示，谷歌目前在多个国家追踪着超过 5,000 个“活动集群”（activity clusters）。Huntley 还指出，如今几乎没有哪个发达国家完全没有自己的网络作战能力和黑客组织。那么，为黑客组织命名究竟有什么意义？Huntley 解释称，这并不只是学术研究。其核心目标是建立一个基本认知，弄清楚“谁在攻击谁，以及他们是如何发动攻击的”。这样一来，企业和其他组织就能更快识别威胁，提前做好防御准备，最好能够阻止攻击；即便攻击已经发生，也可以更及时地调查相关事件。而要做到这一点，就必须为黑客组织命名，并持续、统一地追踪他们。Huntley 表示：“如果你真的遭到他们的攻击，或者正在处理某起安全事件，那么了解这个攻击者的行为方式、他们会做什么、过去做过什么，以及所有这些细节，对于快速响应以及判断自身针对这些威胁的防护覆盖情况都至关重要。”例如，了解被称为 Lazarus Group（拉撒路集团）的朝鲜政府黑客组织通常如何行动、他们的主要目标是什么以及受谁指挥，可以帮助网络安全防御人员在面对这类攻击者时建立最初的应对思路。Huntley 解释称，追踪国家支持的黑客组织虽然困难，但相比追踪网络犯罪团伙和“雇佣黑客”来说，难度相对较低。政府支持的黑客通常拥有更加稳定的攻击目标和活动模式，而网络犯罪团伙的成员则可能不断进出，有时还会发生分裂，因此组织形态更加松散和模糊。至于“雇佣黑客”组织和间谍软件开发商，他们往往在世界不同地区拥有大量客户，因此追踪起来也会更加困难。每当有公司公布新的黑客组织命名体系时，一个常见的质疑就是：为什么所有公司和组织不能直接使用同一套代号？这个问题看起来似乎很容易回答，但现实情况要复杂得多。每家公司掌握的数据和遥测信息不同，因此对同一个黑客组织的观察和判断也会存在一定差异。Huntley 表示，这是一个无法回避的现实，即便不同公司和研究人员之间共享更多信息，也无法彻底解决这一问题。“没有任何一家机构能够获得完美的可见性，”他说，“我们正在建立自己的模型，并尽可能形成最准确的判断，但我们永远不可能知道正在发生的一切。”此次谷歌将原有的威胁分析集团（Threat Analysis Group）命名体系与 Mandiant 的命名体系进行统一，至少意味着安全行业需要记住的命名方案又少了一套。至于其他黑客组织，则可以参考那份庞大的名单。