Come Microsoft chiama gli attori delle minacce

Microsoft usa una tassonomia dei nomi per gli attori delle minacce allineati al tema del meteo. Con questa tassonomia intendiamo offrire maggiore chiarezza ai clienti e ad altri ricercatori di sicurezza. Offriamo un modo più organizzato, articolato e semplice per fare riferimento agli attori delle minacce in modo che le organizzazioni possano definire meglio le priorità e proteggersi. Il nostro obiettivo è anche aiutare i ricercatori di sicurezza, che sono già confrontati con una quantità enorme di dati di intelligence sulle minacce.

Microsoft classifica gli attori delle minacce in cinque gruppi chiave:

Attori nazione-stato: operatori informatici che agiscono per conto o diretti da un programma nazionale/allineato allo stato, indipendentemente dal fatto che per spionaggio, guadagno finanziario o punizione. Microsoft ha osservato che la maggior parte degli attori dello stato nazionale continua a concentrare le operazioni e gli attacchi contro agenzie governative, organizzazioni governative, organizzazioni non governative e think tank per obiettivi di spionaggio o sorveglianza tradizionali.

Attori motivati dal punto di vista finanziario: campagne informatiche/gruppi diretti da un'organizzazione o da una persona criminale con motivazioni di guadagno finanziario e non sono associati con alta fiducia a uno stato non nazionale noto o a un'entità commerciale. Questa categoria include operatori ransomware, compromissione della posta elettronica aziendale, phishing e altri gruppi con motivazioni puramente finanziarie o estorsione.

Attori offensivi del settore privato(PSOA): attività informatica guidata da attori commerciali noti/legittimi, che creano e vendono cyberweapons ai clienti che quindi selezionano obiettivi e gestiscono le cyberweapons. Questi strumenti sono stati osservati per colpire e sorvegliare dissidenti, difensori dei diritti umani, giornalisti, sostenitori della società civile e altri privati cittadini, minacciando molti sforzi globali per i diritti umani.

Operazioni di influenza: campagne informative comunicate online o offline in modo manipolativo per spostare percezioni, comportamenti o decisioni da parte del pubblico di destinazione per promuovere gli interessi e gli obiettivi di un gruppo o di una nazione.

Gruppi in fase di sviluppo: una designazione temporanea data a un'attività di minaccia sconosciuta, emergente o in via di sviluppo. Questa designazione consente a Microsoft di tenere traccia di un gruppo come set discreto di informazioni fino a raggiungere un'elevata attendibilità sull'origine o sull'identità dell'attore dietro l'operazione. Una volta soddisfatti i criteri, un gruppo in fase di sviluppo viene convertito in un attore denominato o unito in nomi esistenti.

In questa tassonomia, un evento meteo o un nome di famiglia rappresenta una delle categorie precedenti. Per gli attori stato-nazione, è stato assegnato un nome di famiglia a un paese/area geografica di origine associato all'attribuzione. Ad esempio, il tifone indica l'origine o l'attribuzione alla Cina. Per altri attori, il nome della famiglia rappresenta una motivazione. Ad esempio, Tempest indica attori motivati finanziariamente.

Agli attori delle minacce all'interno della stessa famiglia meteorologica viene dato un aggettivo per distinguere i gruppi di attori con tattiche, tecniche e procedure distinte , infrastruttura, obiettivi o altri modelli identificati. Per i gruppi in fase di sviluppo, viene usata una designazione temporanea di Storm e un numero a quattro cifre in cui è presente un cluster di attività di minaccia appena scoperto, sconosciuto, emergente o in fase di sviluppo.

Nella tabella seguente viene illustrato il mapping dei nomi di famiglia agli attori delle minacce rilevati.

Nella tabella seguente sono elencati i nomi degli attori di minaccia divulgati pubblicamente con la categoria di attori di origine o minaccia, i nomi precedenti e i nomi corrispondenti usati da altri fornitori di sicurezza, se disponibili. Questa pagina verrà aggiornata man mano che saranno disponibili altre informazioni sui nomi di altri fornitori.

Per altre informazioni, vedere l'annuncio relativo a questa tassonomia: https://aka.ms/threatactorsblog

Mettere l'intelligenza nelle mani dei professionisti della sicurezza

I profili Intel in Microsoft Defender Threat Intelligence forniscono informazioni cruciali sugli attori delle minacce. Queste informazioni dettagliate consentono ai team di sicurezza di ottenere il contesto necessario durante la preparazione e la risposta alle minacce.

Inoltre, l'API Microsoft Defender Threat Intelligence Profili Intel offre la visibilità più aggiornata dell'infrastruttura degli attori di minacce nel settore. Le informazioni aggiornate sono fondamentali per consentire ai team secOps (Threat Intelligence and Security Operations) di semplificare i flussi di lavoro avanzati di ricerca e analisi delle minacce. Altre informazioni su questa API sono disponibili nella documentazione: Usare le API di intelligence sulle minacce in Microsoft Graph (anteprima).

Risorse

Usare la query seguente su Microsoft Defender XDR e altri prodotti di sicurezza Microsoft che supportano il linguaggio di query Kusto (KQL) per ottenere informazioni su un attore di minacce usando il nome precedente, il nuovo nome o il nome del settore:

let TANames = externaldata(PreviousName: string, NewName: string, Origin: string, OtherNames: dynamic)[@"https://raw.githubusercontent.com/microsoft/mstic/master/PublicFeeds/ThreatActorNaming/MicrosoftMapping.json"] with(format="multijson", ingestionMapping='[{"Column":"PreviousName","Properties":{"Path":"$.Previous name"}},{"Column":"NewName","Properties":{"Path":"$.New name"}},{"Column":"Origin","Properties":{"Path":"$.Origin/Threat"}},{"Column":"OtherNames","Properties":{"Path":"$.Other names"}}]'); 
let GetThreatActorAlias = (Name: string) { 
TANames 
| where Name =~ NewName or Name =~ PreviousName or OtherNames has Name 
}; 
GetThreatActorAlias("ZINC")

Sono disponibili anche i file seguenti contenenti il mapping completo dei nomi degli attori di minacce precedenti con i loro nuovi nomi:

• Formato JSON
• Excel scaricabile