Da oltre un decennio, l'industria della cybersecurity si confronta con la sfida di identificare e denominare i numerosi gruppi di hacker. Alcuni, come Fancy Bear, sono diventati noti al grande pubblico per i loro attacchi di alto profilo e i nomi memorabili. Tuttavia, la maggior parte di questi attori rimane conosciuta solo tra gli addetti ai lavori, generando spesso confusione persino tra gli esperti del settore. Per affrontare questa complessità e migliorare la chiarezza, Google ha recentemente rinnovato il proprio sistema di denominazione, integrando le metodologie di Mandiant, con l'obiettivo di creare un approccio più coerente e intuitivo per l'identificazione delle minacce.
Il Nuovo Sistema di Denominazione di Google
Il sistema aggiornato di Google introduce una convenzione basata su un nome composto da due parole. La prima è un termine casuale e facilmente memorizzabile, mentre la seconda parola ha un'iniziale che indica il paese d'origine del gruppo. Ad esempio, "Castle" è associato alla Cina, "Ion" all'Iran, "Neptune" alla Corea del Nord e "Relic" alla Russia. Questa metodologia mira a fornire una maggiore chiarezza sull'origine delle minacce, facilitando il tracciamento e la comprensione dei collegamenti tra i diversi attori malevoli.
Shane Huntley, Chief Technology Officer del Google Threat Intelligence Group, ha sottolineato come tale aggiornamento fosse indispensabile per migliorare la comprensione e la collaborazione tra i ricercatori di sicurezza, sia interni che esterni all'azienda.
Huntley ha spiegato che, a partire dai primi anni 2010, la proliferazione di gruppi hacker ha reso estremamente difficile mantenere un tracciamento efficace con i sistemi precedenti, evidenziando la necessità di una revisione profonda.
Vantaggi Strategici della Chiarezza
Denominare i gruppi di hacker non è un mero esercizio accademico, ma riveste un'importanza strategica fondamentale. Huntley ha evidenziato che l'obiettivo è stabilire una comprensione di base su chi sta attaccando chi e con quali modalità. Questo permette alle organizzazioni di riconoscere le minacce con maggiore rapidità, prepararsi adeguatamente e, idealmente, fermarle, o almeno indagare sugli incidenti con prontezza. La conoscenza del comportamento di gruppi specifici, come il celebre Lazarus Group, legato al governo nordcoreano, è cruciale per sviluppare difese efficaci e mirate.
John Hultquist, analista capo del Google Threat Intelligence Group, ha rivelato che Google monitora attualmente oltre 5.000 “cluster di attività” in diversi paesi, un dato che testimonia la dinamicità e l'ampiezza del panorama delle minacce informatiche globali. Huntley ha aggiunto che poche nazioni sviluppate sono prive di proprie capacità cyber e gruppi di hacker. Sebbene complesso, il monitoraggio degli hacker sponsorizzati dagli stati è spesso più agevole rispetto a quello dei gruppi cybercriminali o degli "hacker a pagamento", la cui composizione è più fluida e i cui membri possono cambiare frequentemente.
Unificazione e Impatto sull'Industria
L'unificazione del sistema di denominazione tra il precedente Google Threat Analysis Group (diretto da Huntley) e Mandiant rappresenta un passo significativo per ridurre la confusione all'interno della comunità della sicurezza informatica.
Questa standardizzazione è destinata a migliorare la correlazione dell'intelligence e ad aumentare l'efficienza nelle operazioni di risposta agli incidenti. L'iniziativa di Google è considerata un contributo importante nella riduzione del carico di lavoro associato alla gestione di molteplici sistemi di tracciamento e identificazione degli attori malevoli.
Le implicazioni strategiche di questa nuova prassi potrebbero rivoluzionare il modo in cui i team di sicurezza elaborano e analizzano le informazioni sulle minacce, portando a decisioni più informate e a strategie di difesa proattiva più robuste ed efficaci.
Nonostante le ricorrenti critiche sulla mancata adozione di un sistema di codifica universale da parte di tutte le aziende e organizzazioni, Huntley ha ribadito che ogni entità possiede una visione leggermente differente dei gruppi di minaccia, basata sui propri set di dati e telemetria.
Ha affermato che questa è una realtà ineludibile e che "Nessuno ha una visibilità perfetta", sottolineando l'importanza di costruire il proprio modello e la migliore comprensione possibile, pur riconoscendo che non si potrà mai conoscere ogni dettaglio di ciò che accade. L'iniziativa di Google, unificando almeno due schemi, contribuisce a semplificare il quadro generale, adattandosi a un ambiente di minacce sempre più complesso.
