Come Microsoft chiama gli attori delle minacce

Microsoft usa una tassonomia dei nomi basata sulle condizioni meteorologiche per gli attori delle minacce. Questa tassonomia offre un modo più organizzato e articolato per fare riferimento agli attori delle minacce, in modo che le organizzazioni possano definire meglio le priorità e proteggersi e in modo che i ricercatori di sicurezza già confrontati con una quantità enorme di dati di intelligence sulle minacce possano identificare e tenere traccia delle minacce più facilmente.

Microsoft classifica gli attori delle minacce in cinque gruppi chiave:

Attori nazione-stato: operatori informatici che agiscono per conto o diretti da un programma nazionale/allineato allo stato, indipendentemente dal fatto che per spionaggio, guadagno finanziario o punizione. Microsoft ha osservato che la maggior parte degli attori dello stato nazionale continua a concentrare le operazioni e gli attacchi contro agenzie governative, organizzazioni governative, organizzazioni non governative e think tank per obiettivi di spionaggio o sorveglianza tradizionali.

Attori motivati dal punto di vista finanziario: campagne informatiche/gruppi diretti da un'organizzazione o da una persona criminale con motivazioni di guadagno finanziario e non sono associati con alta fiducia a uno stato non nazionale noto o a un'entità commerciale. Questa categoria include operatori ransomware, compromissione della posta elettronica aziendale, phishing e altri gruppi con motivazioni puramente finanziarie o estorsione.

Attori offensivi del settore privato(PSOA): attività informatica guidata da attori commerciali noti/legittimi, che creano e vendono cyberweapons ai clienti che quindi selezionano obiettivi e gestiscono le cyberweapons. Questi strumenti sono stati osservati per colpire e sorvegliare dissidenti, difensori dei diritti umani, giornalisti, sostenitori della società civile e altri privati cittadini, minacciando molti sforzi globali per i diritti umani.

Operazioni di influenza: campagne informative comunicate online o offline in modo manipolativo per spostare percezioni, comportamenti o decisioni da parte del pubblico di destinazione per promuovere gli interessi e gli obiettivi di un gruppo o di una nazione.

Gruppi in fase di sviluppo: designazione temporanea assegnata a un'attività di minaccia sconosciuta, emergente o in fase di sviluppo. Questa designazione consente a Microsoft di tenere traccia di un gruppo come set discreto di informazioni fino a quando non viene raggiunta un'attendibilità elevata sull'origine o l'identità dell'attore dietro l'operazione. Una volta soddisfatti i criteri, un gruppo in corso di sviluppo viene convertito in un attore con nome o associato a nomi esistenti.

In questa tassonomia, un evento meteo o un nome di famiglia rappresenta una delle categorie precedenti. Per gli attori stato-nazione, un nome di famiglia viene assegnato a un paese/area geografica di origine associato all'attribuzione. Ad esempio, il tifone indica l'origine o l'attribuzione alla Cina. Per altri attori, il nome della famiglia rappresenta una motivazione. Ad esempio, Tempest indica attori motivati finanziariamente.

Agli attori delle minacce all'interno della stessa famiglia meteorologica viene dato un aggettivo per distinguere i gruppi di attori con tattiche, tecniche e procedure distinte , infrastruttura, obiettivi o altri modelli identificati. Per i gruppi in fase di sviluppo, viene usata una designazione temporanea di Storm e un numero a quattro cifre in cui è presente un cluster di attività di minaccia appena scoperto, sconosciuto, emergente o in fase di sviluppo.

La tabella seguente mostra come i nomi delle famiglie corrispondono agli attori della minaccia che monitoriamo.

Nella tabella seguente sono elencati i nomi degli attori di minaccia divulgati pubblicamente con la categoria di attori di origine o minaccia, i nomi precedenti e i nomi corrispondenti usati da altri fornitori di sicurezza, se disponibili. Questa pagina viene aggiornata man mano che diventano disponibili altre informazioni sui nomi di altri fornitori.

Per maggiori informazioni, leggi l'annuncio sulla tassonomia dei nomi degli attori delle minacce.

Mettere l'intelligenza nelle mani dei professionisti della sicurezza

Le analisi delle minacce di Microsoft Defender XDR offrono informazioni cruciali sugli attori minaccianti. Queste informazioni dettagliate consentono ai team di sicurezza di ottenere il contesto necessario durante la preparazione e la risposta alle minacce.

Inoltre, le API Microsoft Threat Intelligence in Microsoft Graph forniscono oggi la visibilità più aggiornata del settore sull’infrastruttura degli attori delle minacce. Le informazioni aggiornate sono fondamentali per consentire ai team secOps (Threat Intelligence and Security Operations) di semplificare i flussi di lavoro avanzati di ricerca e analisi delle minacce.

Risorse

Usare la query seguente su Microsoft Defender XDR e altri prodotti di sicurezza Microsoft che supportano il linguaggio di query Kusto (KQL) per ottenere informazioni su un attore di minacce usando il nome precedente, il nuovo nome o il nome del settore:

let TANames = externaldata(PreviousName: string, NewName: string, Origin: string, OtherNames: dynamic)[@"https://raw.githubusercontent.com/microsoft/mstic/master/PublicFeeds/ThreatActorNaming/MicrosoftMapping.json"] with(format="multijson", ingestionMapping='[{"Column":"PreviousName","Properties":{"Path":"$.Previous name"}},{"Column":"NewName","Properties":{"Path":"$.New name"}},{"Column":"Origin","Properties":{"Path":"$.Origin/Threat"}},{"Column":"OtherNames","Properties":{"Path":"$.Other names"}}]'); 
let GetThreatActorAlias = (Name: string) { 
TANames 
| where Name =~ NewName or Name =~ PreviousName or OtherNames has Name 
}; 
GetThreatActorAlias("ZINC")

Sono disponibili anche i file seguenti contenenti il mapping completo dei nomi degli attori di minacce precedenti con i loro nuovi nomi:

• Formato JSON
• Excel scaricabile