Конвенція іменування загроз Microsoft: розбираємо Typhoon, Blizzard і Storm

By Mirko Peters · 2026-10-24

Дізнайтеся, як Microsoft називає кіберзагрози за допомогою міток Typhoon, Blizzard і Storm. Легко зрозумійте мотиви та походження зловмисників.

Automatically translated with AI from the original post. Read the English original

Дізнайтеся, як Microsoft класифікує та називає кіберзловмисників за допомогою таких елементів, як Typhoon для Китаю, Blizzard для Росії та Storm для неперевірених груп. Розберіться, як розшифрування цих operational-позначень допомагає командам безпеки швидко визначати походження атак, мотиви та техніки без глибоких знань у сфері кібербезпеки.

Головне

• Microsoft пов’язує родинні назви зловмисників з їхнім географічним походженням або основним оперативним мотивом.
• Typhoon позначає зловмисників, які походять із Китаю або пов’язані з ним, а Blizzard вказує на Росію.
• Sleet відповідає Північній Кореї, Sandstorm — Ірану, а Tempest визначає мотивованих фінансово злочинців.
• Тимчасові мітки на кшталт 'Storm-0558' використовуються для активних загроз до того, як атрибуцію буде повністю підтверджено.
• Знання імен зловмисників допомагає IT-фахівцям широкого профілю перетворювати тривожні звіти про безпеку на практичну, контекстну розвідувальну інформацію.

Розшифровуємо систему іменування загроз Microsoft

Коли команди безпеки відкривають щоденні звіти про інциденти, їх часто засипає технічним жаргоном і випадковими ідентифікаційними кодами. Щоб загрози було легше сприймати та відстежувати в глобальному просторі безпеки, Microsoft переглянула підхід до категоризації груп зловмисників. Замість незрозумілих шістнадцяткових рядків або необхідності запам’ятовувати суперечливі назви різних вендорів, Microsoft прив’язала групи загроз до родинних назв, пов’язаних із погодою.

Ця система іменування не випадкова. Кожне слово в профілі загрози має свідомо закладене контекстне значення, що допомагає аналітикам одразу зрозуміти, звідки, імовірно, походить атака і чого зловмисник прагне досягти. Чи ви ІТ-адміністратор, що керує гібридним підприємством, чи керівник, який намагається розібратися в заголовках про кібербезпеку, знання цієї таксономії перетворює хаотичний шум на структуровані, практичні знання.

Як родинні назви вказують на географічне походження

В основі системи іменування Microsoft лежить основна родинна назва, присвоєна групі загроз. Ці географічні мітки встановлюють імовірне походження або державне замовлення кібероперацій:

• Typhoon: групи, що приписуються Китаю або діють із його території, часто ведуть довготривале шпигунство проти державних установ, аналітичних центрів і критичної інфраструктури.
• Blizzard: зловмисники, що походять із Росії або пов’язані з нею, часто пов’язані зі збиранням розвідданих на замовлення держави та резонансними геополітичними атаками.
• Sandstorm: зловмисники, пов’язані з державними інтересами Ірану, які зазвичай атакують регіональних суперників, оборонних підрядників і телекомунікаційні компанії.
• Sleet: групи, пов’язані з Північною Кореєю, які переважно займаються крадіжкою криптовалюти, злămом фінансових установ і стратегічною розвідкою.

Пов’язавши префікс на кшталт Typhoon або Blizzard з інцидентом, фахівці з безпеки одразу отримують високорівневий географічний контекст щодо того, хто може стукати у їхні цифрові двері.

Визначення мотивів через оперативний фокус

Окрім географії, система іменування Microsoft прямо класифікує те, що рухає цими зловмисниками. Додатковий модифікатор або конкретна назва сімейства вказують на основну мету противника:

• Tempest: Призначено виключно для фінансово мотивованих кіберзлочинних синдикатів, зокрема операторів програм-вимагачів і досвідчених фішингових груп.
• Flood: Застосовується конкретно до операцій впливу та скоординованих кампаній дезінформації, які мають на меті змінити громадську думку, а не викрасти дані.
• Tsunami: Відстежує наступальних учасників приватного сектора — комерційні компанії, які створюють, пакують і продають кіберзброю різним платним клієнтам.

Ця розумна відмінність дозволяє організаціям розрізняти державного актора, який намагається непомітно викачати інтелектуальну власність, і фінансово мотивовану групу програм-вимагачів, яка прагне заблокувати робочі станції заради викупу.

Призначення міток «Storm» на початковому етапі розслідування

Один із найчастіших источників плутанини для команд, які вивчають розвідку загроз, — зустріч із позначеннями на кшталт Storm-0558. Коли Microsoft виявляє зловмисну активність, яка явно організована та триває, але остаточна ідентичність, державна підтримка чи довгострокове спонсорування групи ще не підтверджені, вона присвоює тимчасову мітку-заповнювач.

Слово Storm, за яким іде чотиризначне число, означає, що активність є цілком реальною та небезпечною, але атрибуцію ще досліджують. Щойно дослідники безпеки Microsoft зберуть достатньо остаточних доказів — наприклад, спільний код, спільну інфраструктуру чи конкретні тактики, техніки та процедури (TTP) — група переходить від тимчасової мітки Storm до офіційної, постійної назви погодного сімейства.

Подолання розриву за допомогою галузевих псевдонімів

Різні постачальники кібербезпеки історично використовували зовсім різні назви для однакових загроз, що призводило до великої плутанини під час міжкомпанійного реагування на інциденти. Microsoft систематично зіставляє свою внутрішню таксономію іменування з галузевими еквівалентами. Наприклад, російська група, яку Microsoft внутрішньо називає Forest Blizzard, у галузі широко відома як Fancy Bear або APT28.

Таке прозоре перехресне зіставлення гарантує, що, читаючи загрозливий брифінг від Microsoft, звіт конкурентного хмарного провайдера чи стрічку розвідки з відкритих джерел, аналітик миттєво розпізнає, що всі три звіти описують одного й того самого противника. Це усуває здогадки й спрощує співпрацю між різними постачальниками під час серйозних інцидентів безпеки.

Висновки

Розуміння сучасних кіберзагроз вимагає більшого, ніж реагування на миготливі індикатори та журнали помилок; воно потребує розуміння людських противників, які діють за екраном. Використовуючи структуровані конвенції іменування, як-от Typhoon, Blizzard та Storm, Microsoft допомагає організаціям контекстualізувати сповіщення та пов’язувати ізольовані технічні індикатори з ширшими злочинними й державними кампаніями.

Щоб глибше зануритися в пасивний DNS, індикатори компрометації та те, як застосовувати ці відомості у вашому підприємстві, послухайте повний епізод подкасту M365 FM — повний розбір сучасних стратегій розвідки загроз без зайвого жаргону.

Поширені запитання

Що означає термін «Blizzard» у розвідці загроз Microsoft?

Blizzard — це назва сімейства, яку Microsoft використовує для позначення зловмисних акторів і кібероперацій, що походять із Росії або пов’язані з нею, як правило, орієнтованих на шпигунство та збирання геополітичної розвідувальної інформації.

Чому Microsoft використовує мітки «Storm» замість назв?

Мітки Storm — це тимчасові позначення, які присвоюються новим виявленим активним кластерам загроз, коли їхня особа або державне спонсорство ще досліджуються фахівцями з безпеки.

Чим групи Tempest відрізняються від груп Typhoon?

Групи Tempest — це фінансово мотивовані злочинці, зосереджені на вимаганні, програмах-вимагачах і прибутку, тоді як групи Typhoon — це підтримувані державою або пов’язані з державою структури, що діють із Китаю, переважно з метою шпигунства.

Чи використовують інші постачальники безпеки назви зловмисних акторів Microsoft?

Інші вендори часто використовують власні системи найменувань (наприклад, номери APT або назви тварин), однак Microsoft активно співставляє свої назви, пов’язані з погодою, з галузевими аналогами на кшталт APT28 чи Fancy Bear, щоб забезпечити однозначність між різними вендорами.