Wie Microsoft Bedrohungsakteure benennt

Microsoft verwendet eine wetterbasierte Namenstaxonomie für Bedrohungsakteure. Diese Taxonomie bietet eine besser organisierte und artikulierte Möglichkeit, auf Bedrohungsakteure zu verweisen, sodass Organisationen sich selbst besser priorisieren und schützen können, sodass Sicherheitsforscher, die bereits mit einer überwältigenden Menge an Threat Intelligence-Daten konfrontiert sind, Bedrohungen leichter identifizieren und nachverfolgen können.

Microsoft kategorisiert Bedrohungsakteure in fünf Schlüsselgruppen:

Nationalstaatliche Akteure: Cyber-Operatoren, die im Auftrag oder unter der Leitung eines nationalen/staatsorientierten Programms handeln, unabhängig davon, ob es sich um Spionage, finanzielle Gewinne oder Vergeltung handelt. Microsoft hat festgestellt, dass die meisten nationalen Staatlichen Akteure weiterhin Operationen und Angriffe auf Regierungsbehörden, zwischenstaatliche Organisationen, Nichtregierungsorganisationen und Think Tanks für traditionelle Spionage- oder Überwachungsziele konzentrieren.

Finanziell motivierte Akteure: Cyberkampagnen/Gruppen, die von einer kriminellen organization/Person mit Beweggründen finanzieller Gewinne geleitet werden und nicht mit großem Vertrauen zu einem bekannten Nicht-Nationalstaat oder einer kommerziellen Entität verbunden sind. Diese Kategorie umfasst Ransomware-Betreiber, Geschäftliche E-Mail-Kompromittierung, Phishing und andere Gruppen mit rein finanziellen oder Erpressungsmotiven.

Private Sector Offensive Actors (PSOAs): Cyberaktivitäten, die von kommerziellen Akteuren geleitet werden, die bekannte/legitime juristische Personen sind, die Cyber-Geräte erstellen und an Kunden verkaufen, die dann Ziele auswählen und die Cyber-Geräte betreiben. Diese Instrumente wurden beobachtet, die auf Regimekritiker, Menschenrechtsverteidiger, Journalisten, Anwälte der Zivilgesellschaft und andere Privatpersonen abzielten und diese überwachten, was viele globale Menschenrechtsbemühungen bedrohte.

Beeinflussen von Vorgängen: Informationskampagnen, die auf manipulative Weise online oder offline kommuniziert werden, um Wahrnehmungen, Verhaltensweisen oder Entscheidungen von Zielgruppen zu verschieben, um die Interessen und Ziele einer Gruppe oder Nation zu fördern.

Gruppen in Entwicklung: eine vorübergehende Bezeichnung für eine unbekannte, neu auftretende oder sich entwickelnde Bedrohungsaktivität. Diese Bezeichnung ermöglicht es Microsoft, eine Gruppe als diskreten Satz von Informationen nachzuverfolgen, bis eine hohe Zuverlässigkeit hinsichtlich des Ursprungs oder der Identität des Akteurs hinter dem Vorgang erreicht ist. Sobald die Kriterien erfüllt sind, wird eine Gruppe in der Entwicklung in einen benannten Akteur konvertiert oder in vorhandene Namen zusammengeführt.

In dieser Taxonomie stellt ein Wetterereignis oder familienname eine der oben genannten Kategorien dar. Bei nationalstaatlichen Akteuren wird ein Familienname einem Land/einer Herkunftsregion zugewiesen, die an die Zuordnung gebunden ist. Beispielsweise gibt Typhoon den Ursprung oder die Zuordnung zu China an. Für andere Akteure stellt der Familienname eine Motivation dar. Tempest weist beispielsweise auf finanziell motivierte Akteure hin.

Bedrohungsakteure innerhalb derselben Wetterfamilie erhalten ein Adjektiv, um Akteurgruppen mit unterschiedlichen Taktiken, Techniken und Verfahren (TTPs), Infrastruktur, Zielen oder anderen identifizierten Mustern zu unterscheiden. Für Gruppen in der Entwicklung wird eine temporäre Bezeichnung von Storm und eine vierstellige Zahl verwendet, wenn ein neu entdeckter, unbekannter, sich entwickelnder Cluster mit Bedrohungsaktivitäten vorhanden ist.

Die folgende Tabelle zeigt, wie die Familiennamen den von uns nachverfolgten Bedrohungsakteuren zugeordnet werden.

In der folgenden Tabelle sind die Namen öffentlich bekannt gegebener Bedrohungsakteur mit ihrer Herkunfts- oder Bedrohungsakteurkategorie, früheren Namen und entsprechenden Namen aufgeführt, die von anderen Sicherheitsanbietern verwendet werden, sofern verfügbar. Diese Seite wird aktualisiert, sobald weitere Informationen zu den Namen anderer Anbieter verfügbar sind.

Weitere Informationen finden Sie in der Ankündigung zur Benennungstaxonomie von Bedrohungsakteuren.

Intelligenz in die Hände von Sicherheitsexperten geben

Microsoft Defender XDR Bedrohungsanalysen liefern wichtige Erkenntnisse über Bedrohungsakteure. Diese Erkenntnisse ermöglichen es Sicherheitsteams, den Kontext zu erhalten, den sie benötigen, um sich auf Bedrohungen vorzubereiten und darauf zu reagieren.

Darüber hinaus bieten die Microsoft Threat Intelligence APIs in Microsoft Graph derzeit den aktuellsten Einblick in die Infrastruktur von Bedrohungsakteuren in der Branche. Aktualisierte Informationen sind von entscheidender Bedeutung, um Teams für Threat Intelligence und Security Operations (SecOps) zu ermöglichen, ihre Workflows zur erweiterten Bedrohungssuche und -analyse zu optimieren.

Ressourcen

Verwenden Sie die folgende Abfrage für Microsoft Defender XDR und andere Microsoft-Sicherheitsprodukte, die die Kusto-Abfragesprache (KQL) unterstützen, um Informationen zu einem Bedrohungsakteur unter Verwendung des alten Namens, des neuen Namens oder des Branchennamens abzurufen:

let TANames = externaldata(PreviousName: string, NewName: string, Origin: string, OtherNames: dynamic)[@"https://raw.githubusercontent.com/microsoft/mstic/master/PublicFeeds/ThreatActorNaming/MicrosoftMapping.json"] with(format="multijson", ingestionMapping='[{"Column":"PreviousName","Properties":{"Path":"$.Previous name"}},{"Column":"NewName","Properties":{"Path":"$.New name"}},{"Column":"Origin","Properties":{"Path":"$.Origin/Threat"}},{"Column":"OtherNames","Properties":{"Path":"$.Other names"}}]'); 
let GetThreatActorAlias = (Name: string) { 
TANames 
| where Name =~ NewName or Name =~ PreviousName or OtherNames has Name 
}; 
GetThreatActorAlias("ZINC")

Die folgenden Dateien, die die umfassende Zuordnung alter Bedrohungsakteurnamen mit ihren neuen Namen enthalten, sind ebenfalls verfügbar:

• JSON-Format
• Herunterladbares Excel