十多年来，网络安全行业一直在为各类黑客组织分配代号。其中一些名字，比如"奇幻熊"，因其引人注目的攻击事件和朗朗上口的名称而广为人知，进入了大众视野；另一些则仅在安全圈内流传。
即便是业内人士，有时也难以理清头绪。部分原因在于，每家公司对黑客组织的命名方式各不相同。正因如此，业内出现了一些整合性资源，试图为网络安全专家、政府官员、政策制定者、记者及普通公众提供一站式参考，帮助大家搞清楚各个组织的身份。
上个月，谷歌成为最新一家对黑客组织命名体系进行改革的公司。
APT1、APT41或其他APT数字编号的时代已经过去。这套编号体系最早由Mandiant采用，Mandiant曾是一家独立安全公司，现已并入谷歌，也是业内最早采用系统命名方案的机构。
从现在起，谷歌的命名规则相对简单：每个黑客组织将拥有一个随机且便于记忆的名字，以及一个后缀词，其首字母代表组织的来源国——Castle对应中国、Ion对应伊朗、Neptune对应朝鲜、Relic对应俄罗斯。
谷歌威胁情报集团（Google Threat Intelligence Group）首席技术官Shane Huntley表示，该团队是谷歌内部的黑客追踪机构，此次命名体系改革旨在为公司内外的安全研究人员提供更清晰的参考框架。
Huntley向TechCrunch表示，2010年代初，当各公司开始发布网络攻击报告并公开攻击者身份时，"我们没有预料到如今会追踪到如此之多的威胁组织。"
随着追踪对象不断增加，信息管理变得愈发困难。据谷歌威胁情报集团首席分析师John Hultquist介绍，谷歌目前在多个国家追踪着超过5000个"活动集群"。Huntley指出，几乎没有哪个发达国家不具备自己的网络攻击能力和黑客组织。
那么，为黑客组织命名的意义究竟在哪里？Huntley解释说，这绝非学术层面的练习。其核心目标在于建立一套基础认知体系，明确谁在攻击谁、采用何种攻击方式。有了这套体系，各机构才能更快识别威胁、提前做好防御准备，理想情况下能够阻止攻击，或者至少在事件发生后更迅速地展开调查。
他强调，上述一切都建立在持续追踪和系统命名的基础之上。
"如果你真的遭到攻击，或者正在处理某起安全事件，了解该攻击者的行为模式、惯用手法以及历史记录，这些细节对于应急响应以及评估防御覆盖范围都至关重要。"Huntley说道。
以朝鲜政府黑客组织"Lazarus Group"为例，了解其行为模式、通常目标及其所服务的机构，能为防御方提供应对这类黑客的重要切入点。
Huntley指出，追踪国家支持的黑客组织虽有挑战，但相比追踪网络犯罪团伙和雇佣黑客来说还是相对容易一些。国家黑客的攻击目标和行动模式往往较为稳定，而网络犯罪团伙则成员流动频繁，有时还会分裂，整体形态更加松散。雇佣黑客组织和间谍软件开发商在全球各地拥有众多客户，追踪难度则更高一些。
每当有公司推出新命名体系，一个常见质疑随之而来：为什么各公司和机构不统一使用同一套代号？这个问题看似好回答，现实却并非如此。每家公司基于各自掌握的数据和遥测信息，对同一黑客组织会形成略有不同的认知。Huntley认为，这是一个无法回避的客观现实，仅靠公司间或研究团队间加强信息共享并不能解决根本问题。
"没有任何一方能做到完全掌握全局，"他说，"我们都是在构建各自的模型、形成各自的最优判断，但我们永远无法掌握所有信息。"
此次改革将谷歌旗下原威胁分析小组（由Huntley主导）与Mandiant的命名体系统一整合，至少减少了一套需要记忆的命名方案。至于其他体系，那份庞大的对照列表依然是不可或缺的参考工具。
Q&A
Q1：谷歌新的黑客组织命名体系是怎么运作的？
A：谷歌新命名体系规则较为简单，每个黑客组织拥有一个随机且易于记忆的名字，加上一个后缀词，首字母代表来源国：Castle代表中国、Ion代表伊朗、Neptune代表朝鲜、Relic代表俄罗斯。此次改革整合了谷歌原威胁分析小组与Mandiant两套命名体系，目的是为安全研究人员提供更清晰统一的参考标准。
Q2：为什么网络安全公司要给黑客组织取代号？
A：给黑客组织命名并非学术行为，而是具有实际防御意义。统一的命名体系能帮助安全机构建立对攻击者的基础认知，包括其行为模式、惯用手法和历史记录，从而更快识别威胁、加速事件响应、提升防御覆盖能力。谷歌目前追踪的活动集群已超过5000个，系统化命名是管理如此规模信息的必要手段。
Q3：为什么各网络安全公司不统一使用同一套黑客组织命名标准？
A：主要原因在于每家公司掌握的数据和遥测信息各不相同，对同一黑客组织的认知也会存在差异。谷歌威胁情报集团首席技术官Shane Huntley指出，这是无法通过加强信息共享来完全解决的客观现实，"没有任何一方能做到完全掌握全局"，各机构只能基于自身数据构建最优判断模型。
