Google công bố hệ phân loại mới cho “crew” tội phạm mạng
"Google announced a new two-word taxonomy for naming cybercrime crews through its Google Threat Intelligence Group, replacing or diverging from efforts to standardize threat-actor names across the industry. The schema assigns a unique actor term plus a category based on motivation, attribution, or activity, with example labels for China, Iran, North Korea, Russia, and non-state cybercriminals; no CVEs or software fixes are involved."
Tác động chủ yếu nằm ở chuẩn hóa/đối chiếu thông tin tình báo: khi tên nhóm thay đổi, đội SOC có thể gặp khó khăn trong việc mapping giữa các nguồn. Điểm then chốt: giảm thiên lệch trong đặt tên, phân loại theo động cơ/quy kết/hoạt động.
Ảnh hưởng vận hành ở mức trung bình do liên quan đến quy trình phân tích và báo cáo mối đe dọa: cần cập nhật quy tắc đối chiếu tên nhóm giữa các vendor và công cụ. Điểm then chốt: tốn công hiệu chỉnh mapping, giảm rủi ro hiểu nhầm khi đối chiếu threat intel.
Google vừa công bố một taxonomy mới để đặt tên các “cybercrime crews”, thông qua Google Threat Intelligence Group (CTIG). Động thái này được mô tả là rời khỏi hoặc không tiếp tục theo hướng chuẩn hóa tên tác nhân mà một số bên trong ngành từng theo đuổi.
Theo thông báo, hệ thống mới là cấu trúc 2 từ: từ thứ nhất là một thuật ngữ duy nhất, dễ nhớ để đại diện cho “actor” cụ thể; nếu cộng đồng đã dùng sẵn một tên, Google sẽ ưu tiên dùng lại, còn nếu không thì hệ thống sẽ tạo từ mới để giảm thiên lệch. Từ thứ hai dùng để phân loại theo motivation, attribution hoặc activity type—tức động cơ, mức độ quy kết hoặc kiểu hoạt động—phục vụ cho defense và response.
Google đưa ra các ví dụ: CASTLE (Trung Quốc), ION (Iran), NEPTUNE (Bắc Triều Tiên), RELIC (Nga) và COMET (tội phạm mạng không có hậu thuẫn nhà nước). Bài viết cũng nêu rằng các tổ chức khác đã có schema riêng, vì vậy Google muốn giữ hệ thống “đơn giản” để dễ ánh xạ sang các taxonomy khác. Không có thông tin về CVE hay bản vá phần mềm trong thông báo này.