Jak Microsoft pojmenuje aktéry hrozeb

Microsoft používá taxonomii pojmenování pro aktéry hrozeb, kteří jsou v souladu s motivem počasí. S touto taxonomií chceme zákazníkům a dalším pracovníkům v oblasti zabezpečení lépe vyjasnit. Nabízíme organizovanější, srozumitelnější a snadný způsob, jak odkazovat na aktéry hrozeb, aby organizace mohly lépe určovat priority a chránit se. Naším cílem je také pomoct výzkumníkům v oblasti zabezpečení, kteří se už potýkají s obrovským množstvím dat analýzy hrozeb.

Microsoft rozděluje aktéry hrozeb do pěti klíčových skupin:

Aktéři národního státu: kybernetickí operátoři jednající jménem nebo řízeného národním/státem sladěným programem, bez ohledu na to, zda se jedná o špionáž, finanční zisk nebo odplatu. Microsoft zjistil, že většina národních státních činitelů se nadále zaměřuje na operace a útoky na vládní agentury, mezivládní organizace, nevládní organizace a think-tanky zaměřené na tradiční špionáž nebo cíle sledování.

Finančně motivovaní aktéři: kybernetické kampaně/skupiny řízené zločineckou organizací/osobou s motivací k finančnímu zisku a nejsou spojeny s vysokou důvěrou ke známému nenárodnímu státu nebo komerčnímu subjektu. Tato kategorie zahrnuje operátory ransomwaru, ohrožení zabezpečení podnikových e-mailů, phishing a další skupiny s čistě finanční motivací nebo motivací k vydírání.

Útoční aktéři soukromého sektoru( PSOA): kybernetická aktivita vedená komerčními aktéry, kteří jsou známými nebo legitimními právními subjekty, kteří vytvářejí a prodávají kybernetické zbraně zákazníkům, kteří pak vyberou cíle a provozují kybernetické zbraně. Tyto nástroje byly pozorovány cílené na disidenty, obránce lidských práv, novináře, advokáty občanské společnosti a další soukromé občany, což ohrozilo mnoho globálních snah o lidská práva.

Vlivové operace: informační kampaně komunikované online nebo offline manipulativním způsobem, aby se vnímání, chování nebo rozhodnutí cílových skupin přesunulo na podporu zájmů a cílů skupiny nebo státu.

Skupiny ve vývoji: dočasné označení pro neznámou, vznikající nebo vyvíjející se aktivitu hrozby. Toto označení umožňuje Microsoftu sledovat skupinu jako samostatnou sadu informací, dokud nedosáhneme vysoké jistoty o původu nebo identitě aktéra, který je za operací. Po splnění kritérií se skupina ve vývoji převede na pojmenovaného aktéra nebo se sloučí do existujících názvů.

V této taxonomii představuje událost počasí nebo název rodiny jednu z výše uvedených kategorií. Pro aktéry národního státu jsme přiřadili jméno rodiny zemi/oblasti původu svázané s přisouzením. Typhoon například označuje původ nebo přiřazení k Číně. Pro ostatní aktéry představuje název rodiny motivaci. Například Tempest označuje finančně motivované aktéry.

Aktéři hrozeb v rámci stejné rodiny počasí mají přiřazené jméno, které odliší skupiny aktérů s odlišnými taktikami, technikami a postupy (TTP), infrastrukturou, cíli nebo jinými identifikovanými vzory. Pro skupiny ve vývoji používáme dočasné označení Storm a čtyřmístné číslo, kde je nově zjištěný, neznámý, vznikající nebo vyvíjející se shluk hrozeb.

Následující tabulka ukazuje, jak se názvy rodin mapuje na aktéry hrozeb, které sledujeme.

Kategorie aktér hrozby	Původ/typ	Jméno rodiny
Národní stát	Austrálie Kanada Čína Německo Indie Írán Izrael New Zealand Severní Korea Libanon Pákistán Palestinian Authority Rusko Singapur Jižní Korea Španělsko Sýrie Turecko Ukrajina Spojené arabské emiráty Spojené království Spojené státy Vietnam	Vodní spout Zmrazit Typhoon Gale Monzun Písečná bouře Vlno veder Bobtnat Sněhem Déšť Vichřice Blesk Blizzard Squall Krupobití Derecho Opar Prach Frost Poryv Mlha Tornádo Cyklon
Finančně motivované	Finančně motivované	Tempest
Útoční aktéři soukromého sektoru	PSOA	Tsunami
Vliv na operace	Vliv na operace	Povodní
Skupiny ve vývoji	Skupiny ve vývoji	Bouře

Následující tabulka obsahuje seznam veřejně zveřejněných jmen aktérů hrozeb s jejich původem nebo kategorií aktéra hrozby, předchozími jmény a odpovídajícími názvy používanými jinými dodavateli zabezpečení, pokud jsou k dispozici. Tato stránka bude aktualizována, jakmile budou k dispozici další informace o názvech jiných dodavatelů.

Název aktéra hrozby	Kategorie původu nebo hrozby	Další názvy
Ametyst déšť	Libanon	Sopečný cedr, těkavý cedr
Starožitný tajfun	Čína	Storm-0558
Aqua Blizzard	Rusko	ACTINIUM, PRIMITIVNÍ MEDVĚD, Gamaredon, Armageddon, UNC530, shuckworm, SectorC08
Berry Sandstorm	Írán	Storm-0852
Modré Tsunami	Izrael, urážlivý aktér soukromého sektoru
Mosazný typhoon	Čína	BARIUM, ZLÁ PANDA, APT41
Brocade Typhoon	Čína	BORON, GOTHIC PANDA, UPS, APT3, OLDCARP, TG-0110, Red Sylvan, CYBRAN
Burgundy Sandstorm	Írán	REMIX KOTĚ, Cadelle, Chafer
Kadet Blizzard	Rusko	DEV-0586, EMBER BEAR
Tajfun kanárů	Čína	CIRCUIT PANDA, APT24, Palmerworm, BlackTech
Plátno cyklon	Vietnam	BISMUTH, OCEAN BUFFALO, OceanLotus, APT32
Karamelové Tsunami	Izrael, urážlivý aktér soukromého sektoru	DEV-0236
Carmine Tsunami	Urážlivý aktér soukromého sektoru
Uhlový tajfun	Čína	CHROMIUM, VODNÍ PANDA, ControlX, RedHotel, BRONZE UNIVERSITY
Checkered Typhoon	Čína	CHLOR, HLUBOKÉ PANDA, ATG50, APT19, TG-3551, Červený Chrlič
Vichřice	Čína, finančně motivované	DEV-0401, HighGround
Kruhový tajfun	Čína	DEV-0322, EMISSARY PANDA, APT6, APT27
Citrin sleet	Severní Korea	STORM-0139, Storm-1222, LABYRINT CHOLLIMA
Hlína tajfun	Čína	Storm-2416
Měděný typhoon	Čína	Tonto Team, Earth Akhlut, Sharp-R
Korálový sleet	Severní Korea	Storm-1877
Bavlněná písečná bouře	Írán	NEPTUNIUM, HAYWIRE KITTEN, Vice Leaker
CovertNetwork-1658	Tajná síť	ORB07
Půlměsíc Tajfun	Čína	CESIA
Crimson Sandstorm	Írán	CURIUM, CÍSAŘSKÉ KOTĚ, Želvošová Skořápka, DOMÁCÍ, TA456
Kuboid Sandstorm	Írán	DEV-0228, IMPERIAL KITTEN
Narcis Gust	Spojené arabské emiráty	Stealth Falcon, Ovocné Brnění, Projekt Havran
Denim Tsunami	Rakousko, útočný aktér soukromého sektoru	DEV-0291
Diamantová sleet	Severní Korea	ZINEK, LABYRINT CHOLLIMA, Černá Artemis, Lazarus
Smaragdový sleet	Severní Korea	THALLIUM, VELVET CHOLLIMA, RGB-D5, Black Banshee, Kimsuky, Greendinosa
Fallow Squall	Singapur	PLATINA, PARAZIT, RUBYVINE, GINGERSNAP
Len typhoon	Čína	Storm-0919, ETHEREAL PANDA
Lesní vánice	Rusko	STRONTIUM, FANCY BEAR, Sednit, ATG2, Sofacy, Blue Athena, Z-Lom Team, Operation Pawn Storm, Tsar Team, CrisisFour, HELLFIRE, APT28
Stínová vánice	Rusko	BROMINE, BERSERK BEAR, TG-4192, Koala Team, Blue Kraken, Crouching Yeti, Dragonfly
Gingham Tajfun	Čína	GADOLINIUM, KRYPTONITE PANDA, TEMP. Periscope, Leviathan, JJDoor, APT40, Feverdream
Žula tajfun	Čína	GALLIUM, PHANTOM PANDA
Šedá písečná bouře	Írán	DEV-0343
Hazel Sandstorm	Írán	EUROPIUM, HELIX KITTEN, KOBALT CIKÁN, Crambus, OilRig, APT34
Srdeční tajfun	Čína	HELIUM, AURORA PANDA, APT17, Skrytý rys, ATG3, Červený Tajfun, KAOS, TG-8153, SportsFans, DeputyDog, Tailgater
Šestiúhelník Tajfun	Čína	HYDROGEN, ČÍSLOVÁNÍ PANDA, Calc Team, Red Anubis, APT12, DNS-Calc, HORDE
Houndstooth Tajfun	Čína	HASSIUM, DRAGNET PANDA, isoon, deepclif
Jade Sleet	Severní Korea	Storm-0954, LABYRINT CHOLLIMA
Jasper Sleet	Severní Korea	Storm-0287
Krajková tempest	Finančně motivované	DEV-0950
Citronová písčitá bouře	Írán	RUBIDIUM, PRŮKOPNICKÉ KOTĚ
Leopardí tajfun	Čína	OLOVO, WICKED PANDA, TG-2633, TG-3279, Mana, KAOS, Red Diablo, Winnti Group
Šeřík Tajfun	Čína	DEV-0234
Lněné tajfuny	Čína	JOD, EMISSARY PANDA, Červený Phoenix, Hroch, Lucky Mouse, BOWSER, APT27, Wekby2, UNC215, TG-3390
Luna Tempest	Finančně motivované
Purpurový prach	Turecko	PROMETHIUM, StrongPity, SmallPity
Tempest pro chloubce	Rusko	DEV-0243, INDRIK SPIDER
Mango Sandstorm	Írán	RTUŤ, STATICKÉ KOTĚ, SeedWorm, TEMP. Zagros, MuddyWater
Mramorovaný prach	Turecko	SILIKON, KOSMICKÉ VLK, Mořské želvy, UNC1326
Marigold Sandstorm	Írán	DEV-500, POMSTYCHTIVÉ KOTĚ
Půlnoční blizzard	Rusko	NOBELIUM, ÚTULNÝ MEDVĚD, UNC2452, APT29
Mátová písčitá bouře	Írán	FOSFOR, OKOUZLUJÍCÍ KOTĚ, Parastoo, Newscaster, APT35
Měsíční kámen sleet	Severní Korea	Bouře-1789, LABYRINT CHOLLIMA
Moruše typhoon	Čína	MANGANESE, KEYHOLE PANDA, Zadní vrátka-DPD, COVENANT, CYSERVICE, Láhev, Červený Horus, Red Naga, Auriga, APT5, ATG48, TG-2754, tabcteng
Hořčice Tempest	Finančně motivované	DEV-0206, INDRIK SPIDER
Povodeň Neva	Rusko, vlivové operace	Storm-1516, CopyCop
Noční tsunami	Izrael	DEV-0336
Nylon Tajfun	Čína	NICKEL, VIXEN PANDA, Hravý drak, RedRiver, ke3chang, APT15, Mirage
Octo Tempest	Finančně motivované	ROZPTÝLENÝ PAVOUK, 0ktapus
Ok Povodeň	Rusko, vlivové operace	Storm-1679
Onyx Sleet	Severní Korea	NIUM, SILENT CHOLLIMA, StoneFly, Tdrop2 kampaň, DarkSeoul, Černá Chollima, Andariel, APT45
Opálová sleet	Severní Korea	OSMIUM, VELVET CHOLLIMA, Planedown, Konni, APT43
Opravené blesky		Storm-0113
Broskev písečná bouře	Írán	HOLMIUM, RAFINOVANÉ KOTĚ, APT33, Elfin
Perlová sleet	Severní Korea	LAWRENCIUM
Pepřový tajfun	Čína	LIMINAL PANDA, CL-STA-0969
Bouře v brčálu	Rusko	DEV-0193, WIZARD SPIDER
Phlox Tempest	Izrael, finančně motivovaný	DEV-0796
Růžová písčitá bouře	Írán	AMERICIUM, SPECTRAL KITTEN, Agrius, Deadwood, BlackShadow, SharpBoys, FireAnt, Justice Blade
Blesk Pinstripe		NIOBIUM, RENEGADE JACKAL, Pouštní sokoli, Scimitar, Vyprahlé zmije
Pistácie Tempest	Finančně motivované	DEV-0237
Plaid Déšť	Libanon	POLONIUM, SEXY ŠAKAL
Dýňová písečná bouře	Írán	DEV-0146
Fialový tajfun	Čína	POTASSIUM, STONE PANDA, GOLEM, Evilgrab, AEON, LIVESAFE, ChChes, APT10, Haymaker, Webmonder, Foxtrot, Foxmail, MenuPass, Red Apollo
Malinový typhoon	Čína	RADIUM, LOTUS PANDA, LotusBlossom, APT30
Rudá písčitá bouře	Írán	Storm-0842, Vyhnané kotě, Void Manticore
Ruby Sleet	Severní Korea	CERIUM, SAMET CHOLLIMA
Povodeň v Ruze	Rusko, vlivové operace
Tajfun lososa	Čína	SODIUM, MAVERICK PANDA, APT4
Solný tajfun	Čína	OPERÁTOR PANDA, GhostEmperor, FamousSparrow
Sangria Tempest	Ukrajina, finančně motivované	ELBRUS, UHLÍKOVÝ PAVOUK
Safírová Sleet	Severní Korea	OPERIUM, UNC1069, STARDUST CHOLLIMA, Lákadl ryby, BlueNoroff, CageyChameleon, CryptoCore
Saténový tajfun	Čína	SCANDIUM, DYNAMITE PANDA, COMBINE, TG-0416, SILVERVIPER, Red Wraith, APT18, Elderwood Group, Wekby
Blizzard mušle	Rusko	IRIDIUM, MEDVĚD VOODOO, BE2, UAC-0113, Modrá Echidna, Sandworm, PHANTOM, BlackEnergy Lite, APT44
Tajná vánice	Rusko	KRYPTON, JEDOVATÝ MEDVĚD, Uroburos, Had, Python modrý, Turla, WRAITH, ATG26
Sefid Flood	Írán, vlivové operace
Stínový tajfun	Čína	Storm-0062, DarkShadow, Oro0lxy
Hedvábí tajfun	Čína	HAFNIUM, MURKY PANDA, timmy
Kouřová písečná bouře	Írán	CÍSAŘSKÉ KOTĚ, UNC1549
Spandex Tempest	Finančně motivované	MONTY SPIDER, TA505
Hvězdná vánice	Rusko	SEABORGIUM, COLDRIVER, Callisto Group, BlueCharlie, TA446
Storm-0133	Írán	HEXANE, Lyceum, Siamesekitten, Spirlin
Storm-0156	Pákistán	MYTHIC LEOPARD, SideCopy, APT36, Transparent Tribe
Storm-0216	Finančně motivované	TUNELOVÝ PAVOUK, UNC2198
Storm-0230	Skupina ve vývoji	WIZARD SPIDER, Conti Team 1
Storm-0247	Čína	ToddyCat, Websiic
Storm-0249	Skupina ve vývoji
Storm-0252	Skupina ve vývoji	CHATTY SPIDER
Storm-0259	Skupina ve vývoji
Storm-0288	Skupina ve vývoji	FIN8
Storm-0302	Skupina ve vývoji	NARWHAL SPIDER, TA544
Storm-0408	Skupina ve vývoji
Storm-0485	Skupina ve vývoji
Storm-0501	Finančně motivované
Storm-0538	Skupina ve vývoji	KOSTRA PAVOUK, FIN6
Storm-0539	Finančně motivované
Storm-0569	Finančně motivované
Storm-0593	Rusko	InvisiMole
Storm-0671	Skupina ve vývoji	UNC2596, Tropicalscorpius
Storm-0940	Čína
Storm-0978	Rusko	RomCom, Underground Team
Storm-1101	Skupina ve vývoji
Storm-1113	Finančně motivované	APOTHECARY SPIDER
Storm-1125	Bělorusko	MoustachedBouncer
Storm-1152	Finančně motivované
Storm-1175	Čína, finančně motivované
Storm-1194	Skupina ve vývoji	MONTI
Storm-1249	Skupina ve vývoji
Storm-1516	Rusko, vlivové operace
Storm-1567	Finančně motivované	PUNK SPIDER
Storm-1575	Skupina ve vývoji
Storm-1607	Skupina ve vývoji
Storm-1674	Finančně motivované
Storm-1747	Skupina ve vývoji
Storm-1811	Finančně motivované	KUDRNATÝ PAVOUK
Storm-1849	Čína	UAT4356
Storm-1865	Skupina ve vývoji
Storm-1982	Čína	SneakyCheff, UNK_SweetSpecter
Storm-2035	Írán, vlivové operace
Storm-2077	Čína	ZNAČKA-100
Storm-2227	Skupina ve vývoji
Storm-2246	Skupina ve vývoji
Storm-2372	Skupina ve vývoji
Storm-2460	Skupina ve vývoji
Storm-2470	Skupina ve vývoji
Storm-2477	Skupina ve vývoji	Lumma Stealer
Storm-2561	Skupina ve vývoji
Storm-2603	Čína
Storm-2657	USA, finančně motivované	Mzdové piráty
Storm-2755	Finančně motivované
Storm-2981	Skupina ve vývoji	Coinbase Cartel
Jahodová bouře	Finančně motivované	DEV-0537, SLIPPY SPIDER, LAPSUS$
Sunglow Blizzard		DEV-0665
Vírový tajfun	Čína	TELLURIUM, STALKER PANDA, Tick, Bronzový butler, REDBALDKNIGHT
Taffeta Tajfun	Čína	TECHNETIUM, TURBINE PANDA, TG-0055, Red Kobold, JerseyMikes, APT26, BEARCLAW
Povodeň Taizi	Čína, vlivové operace	Dragonbridge, Spamouflage
Tumbleweed Tajfun	Čína	THORIUM, Kras
Twill Typhoon	Čína	TANTÁLUM, MUSTANG PANDA, BRONZOVÝ PREZIDENT, Luminiscenční
Vanilková tempest	Finančně motivované	DEV-0832, VICE SPIDER, Vice Society
Sametová bouře	Finančně motivované	DEV-0504, ALPHA SPIDER
Fialový tajfun	Čína	ZIRCONIUM, JUDGMENT PANDA, Chameleon, APT31, WebFans
Void Blizzard	Rusko	Prádelní medvěd
Povodeň Volhy	Rusko, vlivové operace	Storm-1841, Rybar
Volt Tajfun	Čína	VANGUARD PANDA, BRONZOVÁ SILUETA
Pšenice tempest	Finančně motivované	GOLD, Gatak
Wisteria Tsunami	Indie, urážlivý aktér soukromého sektoru	DEV-0605, MintedSoil
Povodeň Yulong	Čína, vlivové operace	Storm-1852
Klikatý zákusek	Korea	DUBNIUM, SHADOW CRANE, Nemim, TEMPLAR, TieOnJoe, Fallout Team, Purple Pygmy, Dark Hotel, Egobot, Tapaoux, PALADIN, APT-C-60

Další informace najdete v našem oznámení o této taxonomii: https://aka.ms/threatactorsblog

Vkládání informací do rukou odborníků na zabezpečení

Profily Společnosti Intel v Analýza hrozeb v programu Microsoft Defender přinášejí zásadní poznatky o aktérech hrozeb. Tyto přehledy umožňují bezpečnostním týmům získat kontext, který potřebují při přípravě na hrozby a reagovat na ně.

Rozhraní ANALÝZA HROZEB V PROGRAMU MICROSOFT DEFENDER Intel Profiles API navíc poskytuje nejaktuálnější přehled o infrastruktuře aktérů hrozeb v dnešním odvětví. Aktualizované informace jsou zásadní pro to, aby týmy pro analýzu hrozeb a operace zabezpečení (SecOps) zjednodušily své pokročilé pracovní postupy proaktivního proaktivního proaktivního vyhledávání a analýzy hrozeb. Další informace o tomto rozhraní API najdete v dokumentaci: Použití rozhraní API analýzy hrozeb v Microsoft Graphu (Preview).

Zdroje

Pomocí následujícího dotazu na Microsoft Defender XDR a další bezpečnostní produkty Microsoftu podporující dotazovací jazyk Kusto (KQL) získejte informace o aktérovi hrozby pomocí starého jména, nového názvu nebo názvu odvětví:

let TANames = externaldata(PreviousName: string, NewName: string, Origin: string, OtherNames: dynamic)[@"https://raw.githubusercontent.com/microsoft/mstic/master/PublicFeeds/ThreatActorNaming/MicrosoftMapping.json"] with(format="multijson", ingestionMapping='[{"Column":"PreviousName","Properties":{"Path":"$.Previous name"}},{"Column":"NewName","Properties":{"Path":"$.New name"}},{"Column":"Origin","Properties":{"Path":"$.Origin/Threat"}},{"Column":"OtherNames","Properties":{"Path":"$.Other names"}}]'); 
let GetThreatActorAlias = (Name: string) { 
TANames 
| where Name =~ NewName or Name =~ PreviousName or OtherNames has Name 
}; 
GetThreatActorAlias("ZINC")

K dispozici jsou také následující soubory, které obsahují komplexní mapování starých jmen aktérů hrozeb na jejich nové názvy:

• Formát JSON
• Excel ke stažení