Microsoft의 이름 위협 행위자 이름

Microsoft는 날씨 테마에 맞춰 정렬된 위협 행위자를 위해 명명 분류를 사용합니다. 우리는이 분류를 사용하여 고객과 다른 보안 연구원에게 더 나은 명확성을 제공 할 계획입니다. 조직에서 더 나은 우선 순위를 지정하고 보호할 수 있도록 위협 행위자를 보다 체계적이고 명료하고 쉽게 참조할 수 있는 방법을 제공합니다. 우리는 또한 이미 위협 인텔리전스 데이터의 압도적 인 양에 직면 한 보안 연구원을 돕는 것을 목표로합니다.

Microsoft는 위협 행위자를 5가지 주요 그룹으로 분류합니다.

국가-국가 행위자: 간첩, 재정적 이익 또는 보복 여부에 관계없이 국가/국가 조정 프로그램을 대신하여 행동하거나 지시하는 사이버 운영자. Microsoft는 대부분의 국가 행위자가 전통적인 스파이 또는 감시 목표를 위해 정부 기관, 정부 간 조직, 비정부 조직 및 싱크 탱크에 대한 운영 및 공격에 계속 초점을 맞추고 있다고 관찰했습니다.

재정적으로 동기를 부여받은 행위자: 재정적 이익을 위한 동기를 가진 범죄 organization/사람이 지휘하는 사이버 캠페인/그룹은 알려진 비국가 국가 또는 상업 단체에 대한 높은 신뢰와 관련이 없습니다. 이 범주에는 랜섬웨어 운영자, 비즈니스 이메일 손상, 피싱 및 순전히 재정적 또는 강탈 동기가 있는 기타 그룹이 포함됩니다.

PSOA(민간 부문 공격 행위자): 알려진/합법적인 법인인 상업 행위자가 주도하는 사이버 활동으로, 사이버 무기는 대상을 선택하고 사이버 무기로 운영하는 고객에게 사이버 무기 를 만들고 판매합니다. 이러한 도구는 반체제 인사, 인권 옹호자, 언론인, 시민 사회 옹호자 및 기타 민간 시민을 대상으로 하고 감시하여 많은 글로벌 인권 노력을 위협하는 것으로 관찰되었습니다.

영향 운영: 정보 캠페인은 온라인 또는 오프라인으로 조작된 방식으로 전달되어 대상 대상 그룹의 인식, 행동 또는 의사 결정을 그룹 또는 국가의 이익과 목표를 더 발전시킬 수 있습니다.

개발 그룹: 알 수 없는, 새로운 또는 개발 위협 활동에 지정된 임시 지정입니다. 이 지정을 통해 Microsoft는 작업 뒤에 있는 행위자의 출처 또는 ID에 대한 높은 신뢰도에 도달할 때까지 그룹을 개별 정보 집합으로 추적할 수 있습니다. 조건이 충족되면 개발 중인 그룹이 명명된 행위자로 변환되거나 기존 이름으로 병합됩니다.

이 분류에서 날씨 이벤트 또는 가족 이름은 위의 범주 중 하나를 나타냅니다. 국가별 행위자의 경우 특성에 연결된 국가/원산지 지역에 가족 이름을 할당했습니다. 예를 들어 태풍은 중국에 대한 출처 또는 특성을 나타냅니다. 다른 배우의 경우 가족 이름은 동기 부여를 나타냅니다. 예를 들어 Tempest는 재정적으로 동기를 부여받은 행위자를 나타냅니다.

동일한 날씨 패밀리 내의 위협 행위자는 TTP(고유한 전술, 기술 및 절차), 인프라, 목표 또는 기타 식별된 패턴으로 행위자 그룹을 구분하는 형용사가 제공됩니다. 개발 중인 그룹의 경우 Storm의 임시 지정과 새로 검색된, 알 수 없는, 새로운 위협 활동 또는 개발 클러스터가 있는 4자리 숫자를 사용합니다.

다음 표에서는 가족 이름이 추적하는 위협 행위자를 매핑하는 방법을 보여 줍니다.

다음 표에서는 원본 또는 위협 행위자 범주, 이전 이름 및 사용 가능한 다른 보안 공급업체에서 사용하는 해당 이름을 사용하여 공개적으로 공개된 위협 행위자 이름을 나열합니다. 다른 공급업체의 이름에 대한 자세한 정보를 사용할 수 있게 되면 이 페이지가 업데이트됩니다.

자세한 내용은 이 분류에 대한 공지 사항을 참조하세요. https://aka.ms/threatactorsblog

보안 전문가의 손에 인텔리전스 배치

Microsoft Defender 위협 인텔리전스 Intel 프로필은 위협 행위자를 위한 중요한 인사이트를 제공합니다. 이러한 인사이트를 통해 보안 팀은 위협에 대비하고 대응할 때 필요한 컨텍스트를 얻을 수 있습니다.

또한 Microsoft Defender 위협 인텔리전스 Intel Profiles API는 오늘날 업계에서 가장 최신 위협 행위자 인프라 가시성을 제공합니다. 업데이트된 정보는 SecOps(위협 인텔리전스 및 보안 운영) 팀이 고급 위협 헌팅 및 분석 워크플로를 간소화할 수 있도록 하는 데 매우 중요합니다. Microsoft Graph에서 위협 인텔리전스 API 사용(미리 보기) 설명서에서 이 API에 대해 자세히 알아보세요.

리소스

KQL(Kusto 쿼리 언어)을 지원하는 Microsoft Defender XDR 및 기타 Microsoft 보안 제품에 대한 다음 쿼리를 사용하여 이전 이름, 새 이름 또는 업계 이름을 사용하여 위협 행위자 관련 정보를 가져옵니다.

let TANames = externaldata(PreviousName: string, NewName: string, Origin: string, OtherNames: dynamic)[@"https://raw.githubusercontent.com/microsoft/mstic/master/PublicFeeds/ThreatActorNaming/MicrosoftMapping.json"] with(format="multijson", ingestionMapping='[{"Column":"PreviousName","Properties":{"Path":"$.Previous name"}},{"Column":"NewName","Properties":{"Path":"$.New name"}},{"Column":"Origin","Properties":{"Path":"$.Origin/Threat"}},{"Column":"OtherNames","Properties":{"Path":"$.Other names"}}]'); 
let GetThreatActorAlias = (Name: string) { 
TANames 
| where Name =~ NewName or Name =~ PreviousName or OtherNames has Name 
}; 
GetThreatActorAlias("ZINC")

새 이름으로 이전 위협 행위자 이름의 포괄적인 매핑을 포함하는 다음 파일도 사용할 수 있습니다.

• JSON 형식
• 다운로드 가능한 Excel