Secureworks biedt overzicht van cybercriminele groepen

De Secu­re­works Counter Threat Unit (CTU) is begonnen met het bijhouden van profielen van cyber­cri­mi­nele groepen. De profielen bevatten een samen­vat­ting van de groepen, hun doelen, andere aliassen waaronder ze bekend kunnen zijn en de malware die ze gebruiken. Zowel criminele als door de overheid gespon­sorde drei­gings­groepen zijn hierin opgenomen. Secu­re­works heeft veel kennis over deze groepen. Dit helpt het bedrijf bepalen welke klanten risico lopen op welke drei­gings­groep en de bijbe­ho­rende acti­vi­teiten te iden­ti­fi­ceren. De infor­matie kan een doelwit of slacht­offer ook helpen antwoord te geven op de vragen ‘wie’, ‘hoe’ en ‘waarom’. Deze inzichten kunnen leiden tot inves­te­ringen in bevei­li­ging, training en controles. Als een orga­ni­satie wordt aange­vallen, kunnen ze ook de focus, snelheid en omvang van de respons bepalen.

Don Smith, Senior Director van het CTU-team, geeft aan: “De beslis­sing kwam voort uit de wens om een gemeen­schap­pe­lijke taal te ontwik­kelen voor het bespreken van deze groepen. We krijgen vaak verzoeken om een verenigde ‘Steen van Rosetta’ te ontwik­kelen die onze drei­gings­groepen met die van anderen verge­lijkt. Er is door anderen al veel werk verricht op dat gebied binnen de sector, maar we wilden hun werk aanvullen en ook een dyna­mi­sche bijdrage leveren met onze analyses. Zoals lief­heb­bers van ‘master data mana­ge­ment’ weten, zijn docu­menten proble­ma­tisch. Docu­menten uit één enkele gege­vens­bron zijn al verouderd zodra ze zijn aange­maakt. Om dit probleem aan te pakken, zal de website voort­du­rend synchro­ni­seren met ons Threat Intel­li­gence Mana­ge­ment System om de meest actuele infor­matie weer te geven.”

Steen van Rosetta

“In feite werken we wel aan ‘een’ Steen van Rosetta, maar niet ‘de’ Steen van Rosetta. De meeste cyber­se­cu­rity-bedrijven hebben hun eigen idee over hoe acti­vi­teiten zich clusteren in verschil­lende drei­gings­groepen. De iden­ti­teit van orga­ni­sa­ties, maar ook de markt­focus, infor­ma­tie­ver­za­me­ling, bronnen en tele­me­trie beïn­vloeden de manier waarop zij acti­vi­teiten typeren. Stand­punten van verschil­lende orga­ni­sa­ties over­lappen elkaar zelden volledig en zijn het soms zelfs funda­men­teel met elkaar oneens. Dat is prima en natuur­lijk logisch. De manier waarop orga­ni­sa­ties bedrei­gings­ac­ti­vi­teit proberen te begrijpen, maakt het niet minder valide. De cyber­se­cu­rity-sector wordt gedo­mi­neerd door profes­si­o­nals die vast­be­raden zijn om het juiste te doen. Weinig van hen zullen bewust onjuiste infor­matie publiceren.”

Secu­re­works monitort de netwerken van meer dan vier­dui­zend klanten die actief zijn in vele sectoren. Hieronder vallen tal van non-gouver­ne­men­tele orga­ni­sa­ties (NGO’s) en finan­ciële dienst­ver­le­ners, ener­gie­be­drijven en produc­tie­be­drijven. De incident respons­teams van Secu­re­works hebben in 2019 op meer dan duizend inci­denten gere­a­geerd. Het CTU-onder­zoeks­team bundelt al deze gegevens en combi­neert ze met tradi­ti­o­neel onderzoek en andere gege­vens­bronnen om inzicht in het drei­gings­land­schap te creëren en te behouden.