У серпні 2026 року Google оголосила про масштабну реформу в сфері кібербезпеки, що торкнулася фундаментальних принципів ідентифікації цифрових загроз. Компанія відмовилася від застарілої системи нумерації (APT1, APT28 тощо) на користь нової, більш інтуїтивної та запам'ятовуваної системи кодових назв. Це рішення, прийняте групою аналізу загроз Google (Google Threat Analysis Group), має на меті спростити роботу фахівців із безпеки та прискорити реакцію на інциденти в умовах стрімкого зростання кількості кіберзагроз.
Від цифр до кодових назв: логіка нової системи
Нову методологію, про яку повідомляє TechCrunch, об'єднано підходи Google Threat Analysis Group та Mandiant (придбаної Google у 2022 році). Раніше фахівці поклалися на абстрактні позначення, які з часом стали незручними через їхню кількість. Технічний директор групи розвідки загроз Google Шейн Хантлі (Shane Huntley) пояснив, що на початку 2010-х років, коли звіти про кібератаки лише почали публікуватися, ніхто не очікував, що кількість відстежуваних угруповань досягне п'яти тисяч кластерів активності.
Система отримала чітку структуру: перше слово в назві обирається випадковим чином для легкості запам'ятовування, а друге слово вказує на країну походження угруповання. Наприклад, для груп із Китаю використовується префікс Castle, для Ірану — Ion, а для Північної Кореї — Neptune. Такий підхід дозволяє дослідникам миттєво визначати географічний вектор загрози та прив'язувати поточну активність до історичних даних про методи роботи конкретного суб'єкта.
Практична користь для захисту інфраструктури
Як зазначає Хантлі, мета нововведення виходить за межі простого зручності для аналітиків. Розуміння «портрета» зловмисника — його цілей, тактик та минулих дій — є критично важливим для організацій, що зіткнулися з атакою. «Якщо вас дійсно зламають, знання того, як поводиться зловмисник і що він робив у минулому, стає ключовим для реагування та планування захисту», — підкреслив експерт. Єдина система назв всередині екосистеми Google дозволяє швидше використовувати накопичені дані для розслідування інцидентів та побудови ефективного захисту.
Суперечливі дані та складнощі уніфікації
Попри прагнення до стандартизації, експерти вказують на об'єктивні складнощі у спробі створити єдину глобальну систему назв. Повна уніфікація між різними компаніями практично неможлива, оскільки фахівці отримують різний набір даних та телеметрію віддалених вузлів. Це призводить до того, що одна й та сама активність може бути по-різному оцінена та класифікована різними вендорами.
Окрім того, існує різниця в відстежуваності різних типів загроз. Державні хакерські групи, як правило, простіше ідентифікувати завдяки стабільності їхніх цілей та методів. У той же час кіберзлочинці та команди, що працюють на замовлення (наймані групи), значно складніші для класифікації: вони часто змінюють склад, розпадаються на нові групи та обслуговують різних замовників, що розмиває чіткі межі для їхньої ідентифікації.
