Как Майкрософт называет субъектов угроз

Корпорация Майкрософт переключилась на новую таксономию именования для субъектов угроз в соответствии с темой погоды. Мы намерены повысить ясность для клиентов и других исследователей безопасности с помощью новой таксономии. Мы предлагаем более организованный, сформулировать и простой способ сослаться на субъектов угроз, чтобы организации могли лучше определять приоритеты и защищать себя, а также помогать исследователям в области безопасности, уже столкнувшись с огромным объемом данных аналитики угроз.

Корпорация Майкрософт классифицирует субъектов угроз на пять ключевых групп:

Субъекты национальных государств: кибер-операторы, действующие от имени или под руководством программы, согласованной с нацией или государством, независимо от того, за шпионаж, финансовую выгоду или возмездие. Корпорация Майкрософт отметила, что большинство государственных субъектов по-прежнему сосредоточены на операциях и нападениях на правительственные учреждения, неправительственные организации, неправительственные организации и аналитические центры для традиционных целей шпионажа или слежки.

Финансово мотивированные субъекты: кибер-кампании/группы, направленные преступной организацией/лицом с мотивацией финансовой выгоды и не связаны с высоким доверием к известному ненационалическому государству или коммерческой организации. К этой категории относятся операторы программ-шантажистов, компрометация электронной почты для бизнеса, фишинг и другие группы с чисто финансовыми или вымогательствами.

Наступательные субъекты частного сектора (PSOAs): кибер-деятельность во главе с коммерческими субъектами, которые являются известными/законными юридическими лицами, которые создают и продают кибероружие клиентам, которые затем выбирают цели и управляют кибероружием. Эти инструменты были замечены в адрес и наблюдения за диссидентами, правозащитниками, журналистами, гражданскими активистами и другими частными гражданами, что угрожало многим глобальным усилиям в области прав человека.

Операции влияния: информационные кампании, сообщаемые в интернете или в автономном режиме манипулятивным образом, чтобы изменить восприятие, поведение или решения целевой аудитории в интересах группы или нации.

Группы в разработке: временное обозначение, присвоенное неизвестной, формирующейся или развивающейся деятельности по угрозам. Это обозначение позволяет корпорации Майкрософт отслеживать группу в виде дискретного набора сведений, пока мы не сможем достичь высокой уверенности в происхождении или личности субъекта, стоящих за операцией. После выполнения условий группа в разработке преобразуется в именованный субъект или объединяется с существующими именами.

В нашей новой таксономии событие погоды или фамилия представляет одну из указанных выше категорий. Для субъектов национального государства мы назначили имя семьи стране или региону происхождения, связанным с присвоением, как тайфун указывает на происхождение или присвоение Китаю. Для других субъектов фамилия представляет собой мотивацию. Например, Tempest указывает на финансово мотивированных субъектов.

Субъекты угроз в одной и той же погодной семье получают прилагательное, чтобы различать группы субъектов с различными тактиками, методами и процедурами (ТПП), инфраструктурой, целями или другими выявленными шаблонами. Для групп в разработке мы используем временное обозначение Storm и четырехзначное число, в котором есть недавно обнаруженный, неизвестный, возникающий или развивающийся кластер активности угроз.

В таблице показано, как новые имена семейств сопоставляются с отслеживающимися субъектами угроз.

Используйте следующую справочную таблицу, чтобы понять, как наши ранее публично раскрытые имена старых субъектов угроз преобразуются в нашу новую таксономию.

Дополнительные сведения см. в нашем объявлении о новой таксономии: https://aka.ms/threatactorsblog

Сдача разведки в руки специалистов по безопасности

Профили Intel в Аналитика угроз Microsoft Defender позволяют получить важную информацию об субъектах угроз. Эти аналитические сведения позволяют группам безопасности получать необходимый контекст по мере подготовки к угрозам и реагирования на них.

Кроме того, API профилей Intel Аналитика угроз Microsoft Defender обеспечивает самую актуальную инфраструктуру субъектов угроз в отрасли на сегодняшний день. Обновленная информация имеет решающее значение для того, чтобы команды аналитики угроз и операций безопасности (SecOps) могли упростить свои расширенные рабочие процессы охоты и анализа угроз. Дополнительные сведения об этом API см. в документации по использованию API аналитики угроз в Microsoft Graph (предварительная версия).

Ресурсы

Используйте следующий запрос к Microsoft Defender XDR и другим продуктам безопасности Майкрософт, поддерживающим язык запросов Kusto (KQL), чтобы получить сведения об субъекте угроз, используя старое имя, новое имя или название отрасли:

let TANames = externaldata(PreviousName: string, NewName: string, Origin: string, OtherNames: dynamic)[@"https://raw.githubusercontent.com/microsoft/mstic/master/PublicFeeds/ThreatActorNaming/MicrosoftMapping.json"] with(format="multijson", ingestionMapping='[{"Column":"PreviousName","Properties":{"Path":"$.Previous name"}},{"Column":"NewName","Properties":{"Path":"$.New name"}},{"Column":"Origin","Properties":{"Path":"$.Origin/Threat"}},{"Column":"OtherNames","Properties":{"Path":"$.Other names"}}]'); 
let GetThreatActorAlias = (Name: string) { 
TANames 
| where Name =~ NewName or Name =~ PreviousName or OtherNames has Name 
}; 
GetThreatActorAlias("ZINC")

Доступны также следующие файлы, содержащие комплексное сопоставление старых имен субъектов угроз с их новыми именами:

• Формат JSON
• скачиваемый Excel