Соглашение об именовании угроз Microsoft: расшифровка Typhoon, Blizzard и Storm

By Mirko Peters · 2026-10-24

Узнайте, как Microsoft называет киберугрозы с помощью меток Typhoon, Blizzard и Storm. Легко разберитесь в мотивах и происхождении противников.

Automatically translated with AI from the original post. Read the English original

Узнайте, как Microsoft классифицирует и называет субъектов киберугроз, используя такие элементы, как Typhoon для Китая, Blizzard для России и Storm для неподтверждённых групп. Разберитесь, как расшифровка этих операционных обозначений помогает командам безопасности быстро определять источники атак, мотивы и методы, даже без глубоких знаний в области кибербезопасности.

Главное

• Microsoft соотносит семейные названия субъектов угроз с их географическим происхождением или основным операционным мотивом.
• Typhoon обозначает субъектов, исходящих из Китая или связанных с ним, а Blizzard указывает на Россию.
• Sleet соответствует Северной Корее, Sandstorm — Ирану, а Tempest обозначает финансово мотивированных преступников.
• Временные метки, такие как 'Storm-0558', применяются к активным угрозам до того, как атрибуция полностью подтверждена.
• Понимание названий субъектов угроз помогает ИТ-специалистам широкого профиля превращать тревожные отчёты о безопасности в практичную, контекстную информацию.

Расшифровка системы именования субъектов угроз Microsoft

Когда команды безопасности открывают ежедневные отчёты об инцидентах, их часто засыпают техническим жаргоном и случайными идентификаторами. Чтобы сделать такие угрозы понятнее и упростить их отслеживание в глобальном ландшафте безопасности, Microsoft пересмотрела подход к классификации групп противников. Вместо непрозрачных шестнадцатеричных строк или необходимости запоминать противоречивые названия разных поставщиков Microsoft связала группы угроз с семейными названиями, основанными на погодных явлениях.

Эта система именования не случайна. Каждое слово в профиле субъекта угрозы несёт продуманный смысл, помогая аналитикам сразу понять, откуда, вероятно, исходит атака и чего стремится добиться противник. Являетесь ли вы ИТ-администратором, управляющим гибридной инфраструктурой, или руководителем, который пытается разобраться в заголовках о кибербезопасности, освоение этой таксономии превращает хаотичный шум в структурированные и практичные знания.

Как семейные названия указывают на географическое происхождение

Основа системы именования Microsoft — это основное семейное название, присвоенное группе угроз. Эти географические метки обозначают предполагаемое происхождение или спонсорство киберопераций:

• Typhoon: группы, которые связаны с Китаем или действуют оттуда и часто ведут долгосрочный шпионаж против государственных учреждений, аналитических центров и объектов критической инфраструктуры.
• Blizzard: противники, исходящие из России или связанные с ней, которые часто занимаются сбором разведданных по заказу государства и громкими геополитическими нарушениями.
• Sandstorm: субъекты угроз, связанные с интересами иранского государства, которые, как правило, атакуют региональных соперников, оборонных подрядчиков и телекоммуникационные компании.
• Sleet: группы, связанные с Северной Кореей, которые в основном занимаются кражей криптовалюты, взломами финансовых организаций и стратегической разведкой.

Связывая такой префикс, как Typhoon или Blizzard, с инцидентом, специалисты по безопасности сразу получают общий географический контекст о том, кто может стучаться в их цифровые двери.

Определение мотивов через операционную направленность

Помимо географии, система именования Microsoft явно классифицирует, что движет этими злоумышленниками. Вторичный модификатор или конкретное семейство указывает на основную цель противника:

• Tempest: Используется исключительно для финансово мотивированных киберпреступных синдикатов, таких как операторы программ-вымогателей и изощрённые группы фишинга.
• Flood: Применяется к операциям влияния и скоординированным кампаниям дезинформации, целью которых является изменение общественного восприятия, а не кража данных.
• Tsunami: Отслеживает наступательных субъектов частного сектора — коммерческие компании, которые создают, упаковывают и продают кибероружие различным платящим клиентам.

Это полезное различие позволяет организациям отличать государство, которое тихо выкачивает интеллектуальную собственность, от финансово мотивированной банды программ-вымогателей, которая блокирует рабочие станции ради выкупа.

Назначение меток «Storm» на ранних этапах расследования

Одна из самых частых точек путаницы для команд, изучающих киберразведку, — встреча с такими обозначениями, как Storm-0558. Когда Microsoft фиксирует вредоносную активность, которая явно организована и активна, но точная личность, государственная поддержка или долгосрочное спонсирование группы остаются не подтверждёнными, ей присваивается временная метка-заполнитель.

Слово Storm, за которым следует четырёхзначный номер, означает, что активность абсолютно реальна и опасна, но атрибуция всё ещё находится в стадии активного расследования. Когда исследователи безопасности Microsoft соберут достаточно убедительных доказательств — например, совпадающий код, общую инфраструктуру или характерные тактики, техники и процедуры (TTP), — группа переходит от временной метки Storm к официальному постоянному названию погодного семейства.

Мост через разрозненность отраслевых псевдонимов

Разные поставщики кибербезопасности исторически использовали совершенно разные названия для одних и тех же групп угроз, что приводило к серьёзной путанице при совместном реагировании на инциденты. Microsoft сопоставляет свою внутреннюю систему именования с устоявшимися отраслевыми эквивалентами. Например, российская группа, которую внутри Microsoft называют Forest Blizzard, в отрасли широко известна как Fancy Bear или APT28.

Такое прозрачное перекрёстное сопоставление позволяет аналитику, читающему обзор угроз от Microsoft, отчёт конкурирующего облачного провайдера или данные открытой разведки, мгновенно понять, что все три источника описывают одного и того же противника. Это устраняет догадки и упрощает взаимодействие с несколькими вендорами во время крупных инцидентов безопасности.

Заключение

Разобраться в современных киберугрозах недостаточно лишь реагировать на мигающие индикаторы и журналы ошибок; нужно понимать живых противников, действующих за экраном. Используя структурированные соглашения об именовании, такие как Typhoon, Blizzard и Storm, Microsoft помогает организациям придавать контекст оповещениям и связывать разрозненные технические индикаторы с более широкими криминальными и государственными кампаниями.

Чтобы глубже разобраться в пассивном DNS, индикаторах компрометации и в том, как применять эти знания в своей организации, послушайте полный выпуск подкаста M365 FM — понятный без жаргона разбор современных стратегий разведки угроз.

Часто задаваемые вопросы

Что означает термин «Blizzard» в разведке угроз Microsoft?

Blizzard — это название семейства, которое Microsoft использует для обозначения субъектов угроз и киберопераций, исходящих из России или связанных с ней, как правило, сосредоточенных на шпионаже и сборе геополитической информации.

Почему Microsoft использует метки «Storm» вместо названий?

Метки Storm — это временные обозначения, которые присваиваются недавно обнаруженным активным кластерам угроз, когда исследователи безопасности всё ещё выясняют личность группы или государственное спонсирование.

Чем группы Tempest отличаются от групп Typhoon?

Группы Tempest — финансово мотивированные преступники, сфокусированные на вымогательстве, программах-вымогателях и получении прибыли, тогда как группы Typhoon — государственные или связанные с государством структуры, действующие из Китая и в первую очередь занимающиеся шпионажем.

Используют ли другие поставщики безопасности названия субъектов угроз Microsoft?

Другие вендоры часто используют собственные схемы именования (например, номера APT или названия животных), однако Microsoft активно сопоставляет свои названия, связанные с погодой, с отраслевыми аналогами, такими как APT28 или Fancy Bear, чтобы обеспечить понятность между вендорами.