Google给旗下追踪的黑客组织换了一套名字。APT41、APT1这些沿用十几年的编号,从Mandiant手里正式退休。取而代之的是“随机好记的名字+国别首字母”:Castle对应中国背景,Ion是伊朗,Neptune是朝鲜,Relic是俄罗斯。
听起来像是给病毒改花名,但这次改名真正藏着的东西,是Google怎么把“我们怀疑是谁干的”一步步做成“我们认为是谁干的”——这中间的置信度变化,才是值得琢磨的地方。
规则很简单,规模很吓人
Google Threat Intelligence Group(GTIG)首席技术官Shane Huntley说,这次改名是把原本Google内部的Threat Analysis Group和收购来的Mandiant,两套各自为战的命名体系合并成一套。
少一套要记的系统,是好事。但规模才是真正的信息量:Google目前追踪的“活动集群”超过5000个,分布在多个国家。Huntley还提到一句轻描淡写却分量很重的话——发达国家里,几乎找不到几个没有自己网络攻击能力的。
一个代号是怎么“转正”的
这才是原文没细说、也是这次改名里最有意思的机制:新观测到的活动,一开始不会立刻拿到一个好记的名字,而是先挂上UNC####这样的“未归因”编号。等证据积累到足够支撑归因判断,它才会“升级”成正式代号。
也就是说,一个代号背后不是一次性的命名动作,而是一条置信度不断被重新评估的流水线。
Huntley自己也承认这套系统的天花板:“没有人拥有完美的可见度……我们永远不会知道正在发生的一切。”这句话不是谦虚,是行业的物理限制——每家公司只能看到自己遥测数据覆盖的那一片。
为什么全行业统一不了名字
每次有公司发新命名体系,业内都会问同一个问题:为什么大家不干脆用一套名字?
数据差异是真原因:各家安全厂商的遥测网络不一样,看到的攻击基础设施、受害者、恶意软件样本天然有出入,同一个组织在不同公司眼里可能长得不太一样。
但这不是全部原因。独家威胁情报是商业竞争力的一部分——微软有自己的天气代号,CrowdStrike有动物代号,谁的命名体系被更多人引用,谁在这个行业里的话语权就更重。MITRE ATT&CK、STIX这类中立框架能做别名映射,但谁也没法强制两家公司认定“这就是同一个组织”。
好记的名字,容易让人忘了它只是猜测
Fancy Bear这种名字之所以能出圈,恰恰因为它听起来像一个确凿的身份,而不是一堆基础设施、恶意软件和受害者模式拼出来的分析性聚类。集群可能被拆分,也可能被合并,证据变了,归因判断也会变。
- 风险.国别代号很容易被简化理解成“国家背书的官方黑客部队”,一旦被媒体和舆论直接引用,归因判断里原本存在的不确定性就被悄悄抹掉了,外交层面的误读空间也随之放大。
追踪国家背书的黑客组织,相对还算容易——目标和行为模式比较稳定。真正难缠的是网络犯罪团伙和雇佣黑客,成员来来去去,时常分裂重组,客户散布在世界各地,很难用一个固定代号框住。
好记的名字,是把概率包装成事实。
谁该多看一眼
企业安全团队要适应新代号,也要继续维护跨厂商的别名对照表——这活儿不会因为Google合并了两套系统就消失。安全厂商之间的命名竞争短期内也不会停,统一命名动的是各家的护城河,谁都不会轻易让步。
接下来值得盯的,是有没有更多厂商跟进合并自己的命名体系,以及UNC####升级为正式代号的具体案例会不会被公开——那才是检验这套“信心打分系统”到底准不准的地方。
给黑客组织起名字这件事,从Mandiant的APT编号开始,走到今天的Castle和Relic,形式一直在变。没变的是背后那句老话:知彼知己,方能应对。只是“知彼”这件事,永远比一个好记的名字复杂得多。