Konwencja nazewnictwa aktorów zagrożeń Microsoft: rozszyfrowanie Typhoon, Blizzard i Storm

By Mirko Peters · 2026-10-24

Dowiedz się, jak Microsoft nazywa aktorów zagrożeń cybernetycznych za pomocą etykiet Typhoon, Blizzard i Storm. Łatwo zrozum motywy i pochodzenie przeciwników.

Automatically translated with AI from the original post. Read the English original

Dowiedz się, jak Microsoft klasyfikuje i nazywa aktorów zagrożeń cybernetycznych za pomocą elementów takich jak Typhoon dla Chin, Blizzard dla Rosji i Storm dla niezweryfikowanych grup. Poznaj, jak rozszyfrowanie tych operacyjnych nazw pomaga zespołom bezpieczeństwa szybko określić pochodzenie ataków, motywy i techniki bez głębokiej wiedzy z zakresu cyberbezpieczeństwa.

Najważniejsze wnioski

• Microsoft powiązuje nazwy rodzin aktorów zagrożeń z ich pochodzeniem geograficznym lub główną motywacją operacyjną.
• Typhoon oznacza aktorów pochodzących z Chin lub z nimi powiązanych, a Blizzard wskazuje na Rosję.
• Sleet reprezentuje Koreę Północną, Sandstorm odpowiada Iranowi, a Tempest identyfikuje motywowanych finansowo przestępców.
• Tymczasowe etykiety, takie jak 'Storm-0558', stosuje się w przypadku aktywnych zagrożeń, zanim zostanie potwierdzona pełna atrybucja.
• Znajomość nazw aktorów zagrożeń pomaga generalistom IT przekładać alarmujące raporty o bezpieczeństwie na praktyczne, kontekstowe informacje.

Rozszyfrowanie systemu nazewnictwa aktorów zagrożeń Microsoft

Kiedy zespoły bezpieczeństwa otwierają swoje codzienne raporty o incydentach, często zalewa je techniczny żargon i losowo generowane kody identyfikacyjne. Aby te zagrożenia były łatwiejsze do przyswojenia i śledzenia w globalnym krajobrazie bezpieczeństwa, Microsoft przebudował sposób kategoryzacji grup przeciwników. Zamiast polegać na niejasnych ciągach szesnastkowych lub zmuszać obrońców do zapamiętywania sprzecznych nazw dostawców, Microsoft przypisał grupom zagrożeń nazwy rodzin związane z pogodą.

Ta konwencja nazewnictwa nie jest przypadkowa. Każde słowo w profilu aktora zagrożeń niesie celowe znaczenie kontekstowe, pomagając analitykom natychmiast zrozumieć, skąd prawdopodobnie pochodzi atak i co przeciwnik chce osiągnąć. Niezależnie od tego, czy jesteś administratorem IT zarządzającym hybrydowym przedsiębiorstwem, czy decydentem próbującym zrozumieć nagłówki dotyczące cyberbezpieczeństwa, poznanie tej taksonomii zamienia chaotyczny szum w uporządkowaną, praktyczną wiedzę.

Jak nazwy rodzin wskazują pochodzenie geograficzne

Podstawa systemu nazewnictwa Microsoft opiera się na głównej nazwie rodziny przypisanej grupie zagrożeń. Te znaczniki geograficzne określają domniemane pochodzenie lub sponsorowanie operacji cybernetycznych:

• Typhoon: grupy przypisywane Chinom lub działające z ich terytorium, często prowadzące długoterminowe szpiegostwo wobec agencji rządowych, think tanków i infrastruktury krytycznej.
• Blizzard: przeciwnicy pochodzący z Rosji lub z nią powiązani, często kojarzeni ze sponsorowanym przez państwo gromadzeniem informacji wywiadowczych i głośnymi zakłóceniami geopolitycznymi.
• Sandstorm: aktorzy zagrożeń powiązani z interesami państwa irańskiego, zazwyczaj atakujący regionalnych rywali, wykonawców dla sektora obronnego i operatorów telekomunikacyjnych.
• Sleet: grupy związane z Koreą Północną, skupione przede wszystkim na kradzieży kryptowalut, włamaniach do instytucji finansowych i wywiadzie strategicznym.

Łącząc przedrostek taki jak Typhoon lub Blizzard z incydentem, specjaliści bezpieczeństwa natychmiast uzyskują ogólny kontekst geograficzny dotyczący tego, kto może pukać do ich cyfrowych drzwi.

Identyfikacja motywów przez pryzmat zakresu działania

Poza geografią architektura nazewnictwa Microsoftu wprost kategoryzuje to, co napędza tych atakujących. Drugi człon lub konkretne oznaczenie rodziny wskazuje główny cel przeciwnika:

• Tempest: zarezerwowane wyłącznie dla przestępczych syndykatów nastawionych na zysk finansowy, takich jak operatorzy ransomware i zaawansowane grupy phishingowe.
• Flood: stosowane wyłącznie wobec operacji wpływu i skoordynowanych kampanii dezinformacyjnych, których celem jest zmiana postrzegania opinii publicznej, a nie kradzież danych.
• Tsunami: śledzi prywatnych aktorów ofensywnych, czyli firmy komercyjne, które tworzą, pakują i sprzedają cyfrową broń różnym płacącym klientom.

Ten sprytny podział pozwala organizacjom odróżnić państwo narodowe, które po cichu wyprowadza własność intelektualną, od nastawionej na zysk grupy ransomware, która blokuje stacje robocze, by wymusić okup.

Rola etykiet „Storm” we wczesnym etapie analizy

Jednym z najczęstszych źródeł nieporozumień w zespołach zajmujących się wywiadem zagrożeń jest natrafienie na oznaczenia typu Storm-0558. Gdy Microsoft wykryje złośliwą aktywność, która jest wyraźnie zorganizowana i prowadzona, ale nie potwierdzono jeszcze tożsamości grupy, jej powiązań z państwem ani długoterminowego sponsorowania, przypisuje tymczasową etykietę zastępczą.

Słowo Storm, po którym następuje czterocyfrowa liczba, oznacza, że aktywność jest w pełni rzeczywista i niebezpieczna, ale atrybucja wciąż jest w toku. Gdy badacze bezpieczeństwa Microsoftu zgromadzą wystarczająco jednoznacznych dowodów, takich jak nakładający się kod, wspólna infrastruktura czy konkretne taktyki, techniki i procedury (TTP), grupa przechodzi z tymczasowej etykiety Storm do formalnej, stałej nazwy rodziny z kategorii pogodowych.

Łączenie się z aliasami branżowymi

Różni dostawcy cyberbezpieczeństwa historycznie stosowali zupełnie inne nazwy dla dokładnie tych samych grup zagrożeń, co prowadziło do ogromnego zamieszania podczas międzyfirmowego reagowania na incydenty. Microsoft aktywnie mapuje własną wewnętrzną taksonomię nazw na starsze odpowiedniki branżowe. Na przykład rosyjska grupa, znana wewnętrznie w Microsofcie jako Forest Blizzard, jest powszechnie śledzona w branży jako Fancy Bear lub APT28.

Taka przejrzysta korelacja nazw sprawia, że niezależnie od tego, czy analityk czyta raport o zagrożeniach od Microsoftu, konkurencyjnego dostawcy chmury, czy z kanału informacyjnego wywiadu open source, może od razu rozpoznać, że wszystkie trzy raporty opisują dokładnie tego samego przeciwnika. Eliminuje to zgadywanie i usprawnia współpracę wielu dostawców podczas poważnych incydentów bezpieczeństwa.

Podsumowanie

Zrozumienie współczesnych zagrożeń cyberbezpieczeństwa wymaga czegoś więcej niż reagowania na migające lampki i logi błędów; wymaga zrozumienia ludzkich przeciwników działających za ekranem. Dzięki stosowaniu ustrukturyzowanych konwencji nazewnictwa, takich jak Typhoon, Blizzard czy Storm, Microsoft pomaga organizacjom kontekstualizować alerty i łączyć wyizolowane wskaźniki techniczne z szerszymi kampaniami przestępczymi i państwowymi.

Aby zgłębić temat pasywnego DNS, wskaźników kompromitacji (IoC) i tego, jak wykorzystać te informacje w przedsiębiorstwie, posłuchaj całego odcinka podcastu M365 FM, który zawiera kompletne, pozbawione żargonu omówienie nowoczesnych strategii wywiadu zagrożeń.

Często zadawane pytania

Co oznacza termin „Blizzard” w wywiadzie zagrożeń Microsoftu?

Blizzard to nazwa rodziny używana przez Microsoft do oznaczania aktorów zagrożeń i operacji cybernetycznych pochodzących z Rosji lub z nią powiązanych, zwykle skupionych na szpiegostwie i zbieraniu informacji wywiadowczych o charakterze geopolitycznym.

Dlaczego Microsoft używa etykiet „Storm” zamiast nazw?

Etykiety Storm to tymczasowe oznaczenia nadawane nowo wykrytym, aktywnym klastrom zagrożeń, gdy tożsamość grupy lub jej państwowe sponsorowanie są wciąż badane przez specjalistów ds. bezpieczeństwa.

Czym grupy Tempest różnią się od grup Typhoon?

Grupy Tempest to przestępcy nastawieni na zysk, skupieni na wymuszeniach, ransomware i zysku finansowym, podczas gdy grupy Typhoon to podmioty sponsorowane przez państwo lub z nim powiązane, działające przede wszystkim z terytorium Chin i skupione na szpiegostwie.

Czy inni dostawcy zabezpieczeń stosują nazwy aktorów zagrożeń Microsoftu?

Inni dostawcy często stosują własne konwencje nazewnictwa (np. numery APT lub nazwy zwierząt), ale firma Microsoft aktywnie mapuje swoje nazwy oparte na zjawiskach pogodowych na odpowiedniki stosowane w branży, takie jak APT28 czy Fancy Bear, aby zapewnić przejrzystość między różnymi dostawcami.