Hacker gruplarına neden kod adları veriliyor? Bir siber güvenlik rehberi

Bir fidye yazılımı çetesi ya da devlet destekli bir casusluk grubu ilk kez tespit edildiğinde, siber güvenlik şirketleri genellikle onlara gerçek kimlikleri henüz bilinmeden önce bir kod adı verir. Bu isimlendirme pratiği, kulağa rastgele gelse de aslında son derece sistemli bir mantığa dayanıyor.

Büyük teknoloji şirketleri, kendi tehdit istihbaratı ekiplerinin izlediği gruplara farklı isimlendirme sistemleri uyguluyor. Google'a bağlı tehdit istihbaratı birimleri, tarihsel olarak element ve metal isimlerini kullanırken, açıklanamamış kümeler için geçici "UNC" kod numaraları veriyor.

Microsoft, birkaç yıl önce tüm tehdit aktörlerini hava durumu temalı bir sisteme geçirdi: devlet destekli gruplar fırtına türleriyle, mali motivasyonlu suç gruplarıysa "Blizzard" gibi adlarla anılmaya başladı. CrowdStrike ise hayvan ve ülke sıfatı kombinasyonlarını tercih ediyor.

Bu isimlendirme sistemlerinin arkasındaki temel neden, savunma ekiplerinin aynı tehdidi farklı raporlarda hızla tanımasını kolaylaştırmak. Bir grubun teknik parmak izi -kullandığı araçlar, hedeflediği sektörler, saldırı yöntemleri- değişmeden kalırken, gerçek kimliği çoğu zaman aylarca ya da hiç bilinmiyor.

Uzmanlar, isimlendirmenin aynı zamanda dikkatli bir denge gerektirdiğini belirtiyor: kod adları, grupları romantikleştirmeden ya da onlara istenmeyen bir ün kazandırmadan tanımlanabilir kılmalı. Bu nedenle bazı şirketler, saldırganların kendi seçtikleri isimleri kullanmaktan kaçınıp kendi taksonomilerini tercih ediyor.

Bir diğer önemli neden ise atfetme (attribution) sorunuyla ilgili. Bir saldırının arkasında hangi ülke ya da kurumun olduğunu kesin olarak kanıtlamak son derece zor ve siyasi olarak hassas olabiliyor; nötr bir kod adı kullanmak, şirketlerin diplomatik sonuçlara yol açabilecek doğrudan suçlamalardan kaçınmasına yardımcı oluyor.

Google'ın yakın zamanda yaptığı değişiklik, farklı tehdit istihbaratı ekiplerinin (eskiden Mandiant ve Google bünyesindeki ayrı birimler) isimlendirme sistemlerini birleştirerek analistler arasındaki karışıklığı azaltmayı hedefliyor.

Sektördeki birleşik bir standardın olmaması, aynı grubun farklı şirketlerde farklı isimlerle anılmasına yol açıyor; bu da savunma ekiplerinin raporlar arasında bağlantı kurmasını zorlaştırabiliyor. Bazı araştırmacılar, ortak bir endüstri standardı çağrısında bulunsa da, rekabetçi istihbarat pazarında bu henüz gerçekleşmiş değil.

İsimlendirme sistemleri ayrıca halkla ilişkiler boyutu da taşıyor: akılda kalıcı bir kod adı, bir şirketin tehdit raporunun medyada daha fazla dikkat çekmesini sağlayabiliyor; bu da bazı eleştirmenlerin isimlendirmenin bazen pazarlama amacıyla da kullanıldığını savunmasına yol açıyor.

Sonuç olarak, hacker gruplarına verilen kod adları sadece merak uyandıran bir detay değil; savunma ekiplerinin karmaşık ve sürekli değişen bir tehdit ortamında hızla iletişim kurabilmesini sağlayan pratik bir araç.