Siber güvenlik sektöründe faaliyet gösteren grupların takip edilmesi, uzun süredir karmaşık bir alan olmaya devam ediyor. On yılı aşkın süredir farklı güvenlik firmaları, tespit ettikleri tehdit gruplarına kendi veri tabanlarına göre farklı isimler veriyor. Bu durum, araştırmacıların ve kurumların hangi grubun kim olduğunu anlamasını zorlaştırırken, sektörde standart bir dil oluşturulmasını da engelliyor. Küresel ölçekte dijital tehditlerin izini sürmek, farklı kaynaklardan gelen verilerin birleştirilmesini gerektirdiği için köklü bir altyapı ihtiyacını da beraberinde getiriyor.
Yeni Adlandırma Sistemi Nasıl Çalışıyor?
Google bünyesinde faaliyet gösteren Google Threat Intelligence Group ve Mandiant ekipleri, bu karmaşayı azaltmak amacıyla adlandırma altyapısını tamamen değiştirdi. Geçmişte Mandiant tarafından benimsenen ve APT1 ile APT41 gibi örneklerle tanınan numaralandırma dönemi resmen sona erdi. Yeni yapı, daha anlaşılır ve öngörülebilir bir formata evrildi. Sektördeki büyüme hızını ve tehdit çeşitliliğini ön gördüklerini belirten Shane Huntley, bugün ulaşılan grup sayısını o dönemde beklemediklerini ifade ediyor.
Güncellenen sisteme göre her tehdit grubuna akılda kalıcı rastgele bir ön isim verilecek. İkinci kelime ise grubun menşe ülkesini işaret edecek şekilde belirlenecek. Bu kapsamda Çin kaynaklı gruplar için Castle, İran kaynaklılar için Ion, Kuzey Kore için Neptune ve Rusya için Relic ibareleri kullanılacak. Bu hamle, araştırmacıların grupların kökenini isimden doğrudan anlamasını hedefliyor. Küresel tehdit ortamının karmaşıklığı göz önüne alındığında, bu tür standartlaştırılmış yaklaşımlar analistlerin iş yükünü hafifletmeyi amaçlıyor.
Binlerce Tehdit Grubu Takip Ediliyor
Sistem değişikliğinin arkasındaki temel nedenlerden biri, dijital tehditlerin katlanarak artması. Google Threat Intelligence Group verilerine göre, dünya genelinde 5.000'den fazla farklı aktivite kümesi izleniyor. Gelişmiş dijital altyapıya sahip neredeyse tüm ulusların kendi siber operasyon birimleri bulunuyor. Bu yoğunluk, eski numaralandırma sistemlerinin sürdürülebilir olmasını engelliyordu. Hiçbir kurumun kusursuz bir görünürlüğe sahip olmadığını belirten Shane Huntley, en iyi modelleri inşa etseler bile yaşanan her şeyi hiçbir zaman tam olarak bilemeyeceklerini vurguluyor.
Devlet destekli siber operasyonlar yürüten aktörlerin hedefleri genellikle belirli bir çizgi izliyor. Bu durum, onların motivasyonlarını ve geçmiş eylemlerini analiz etmeyi kolaylaştırıyor. Buna karşın, bağımsız siber suç çeteleri veya kiralık hacker ağları yapısal olarak daha dağınık oldukları için izleme süreçlerini zorlaştırıyor. Devlet destekli aktörlerin hedeflerindeki tutarlılık, onları siber suçlulara kıyasla daha öngörülebilir kılıyor.
Sektör genelinde tüm güvenlik firmalarının ortak bir adlandırma havuzu kullanması yönündeki beklentiler ise veri toplama yöntemlerinin farklılığı nedeniyle karşılık bulmuyor. Farklı siber güvenlik şirketlerinin kendi telemetri verilerine dayanarak farklı adlandırma sistemleri kullanması kaçınılmaz bir gerçek olarak görülüyor. Her şirket kendi telemetri verileriyle modeli inşa ettiği için tam bir birleşme pratikte mümkün görünmüyor. Google'ın kendi içindeki farklı birimleri tek bir çatı altında birleştirmesi, en azından kurum içi karmaşayı ortadan kaldıran önemli bir adım olarak değerlendiriliyor.
