Google เปิดระบบจัดกลุ่มอาชญากรรมไซเบอร์ใหม่ ลดอคติและเพิ่มความเร็วในการตอบโต้

Google ได้เปิดตัวโครงสร้างการตั้งชื่อกลุ่มอาชญากรรมไซเบอร์รูปแบบใหม่ในโพสต์เมื่อวันเสาร์ที่ผ่านมา หลังจากที่บริษัทได้รวม Mandiant เข้ากับทีม Google Threat Intelligence Group (CTIG) ซึ่งก่อตั้งขึ้นหลังการซื้อกิจการปี 2022 การเปลี่ยนแปลงนี้ส่งผลต่อวิธีการอธิบายและจัดหมวดหมู่ผู้กระทำความผิดในระดับโลก และอาจเป็นตัวบ่งชี้ว่าบริษัทกำลังห่างไกลจากโครงการมาตรฐานชื่อของ Microsoft‑CrowdStrike ที่พยายามผลักดันในปี 2025**

Overview

การประกาศใหม่ของ Google เน้นที่การสร้าง “taxonomy” สองคำซึ่งคำแรกเป็น คำจำเพาะที่จดจำได้ เพื่อแทนผู้กระทำความผิดแต่ละราย หากมีชื่อที่ใช้แล้วอยู่แล้ว Google จะนำมาใช้งานต่อไป มิฉะนั้นระบบจะสุ่มเลือกคำเพื่อ ลดอคติ คำสองจะระบุประเภทของภัยคุกคามตามแรงจูงใจ การสังกัดหรือรูปแบบกิจกรรม ซึ่งถือเป็นเกณฑ์สำคัญสำหรับการป้องกันและตอบสนอง

Google ได้กำหนดชื่อให้กับห้ากลุ่มหลักดังนี้

• CASTLE – กลุ่มที่มาจาก สาธารณรัฐประชาชนจีน
• ION – ภัยคุกคามจากอิหร่าน
• NEPTUNE – ผู้โจมตีจากเกาหลีเหนือ
• RELIC – แหล่งกำเนิดรัสเซีย
• COMET – อาชญากรรมไซเบอร์ที่ไม่มีการสนับสนุนจากรัฐ

New Taxonomy Details

ระบบใหม่อ้างว่าออกแบบให้ ง่ายต่อการแมปกับโครงสร้างชื่ออื่นๆ ที่มีอยู่ในตลาด ซึ่งช่วยลดความซับซ้อนเมื่อองค์กรต้องรับข้อมูลภัยคุกคามจากหลายผู้จำหน่าย เครื่องมือต่าง ๆ มักใช้คำศัพท์ที่แตกต่างกัน ทำให้ทีมรักษาความปลอดภัยต้องเสียเวลาในการแปลงและทำความเข้าใจว่า “กลุ่มเดียวกัน” นั้นถูกเรียกว่าอะไรในแต่ละระบบ

Google ย้ำว่าการเลือกคำแรกแบบสุ่มจะช่วยหลีกเลี่ยงการใช้ชื่อที่อาจมี แนวโน้มเชิงลบหรือสื่อถึงชาติ อย่างเช่น “Typhoon”, “Panda” หรือ “Dragon” ที่เคยถูกวิพากษ์โดยศูนย์ตอบสนองไวรัสคอมพิวเตอร์แห่งชาติจีน (CVERC) ในปี 2024

Comparison with Existing Schemes

ในปี 2025 Microsoft ร่วมกับ CrowdStrike พยายามสร้างมาตรฐานการตั้งชื่อที่สอดคล้องกันทั่วอุตสาหกรรม เพื่อแก้ไขปัญหาที่นักวิจัยต้องใช้ชื่อหลายสิบชุดสำหรับกลุ่มเดียว เช่น “Seashell Blizzard”, “IRIDIUM”, “VOODOO BEAR” ฯลฯ ที่ทั้งหมดอ้างถึงหน่วยข่าวกรองทหารรัสเซีย 74455

Google ก่อนหน้านี้เคยแสดงความสนใจที่จะรับเอาโครงการของ Microsoft แต่ตามข้อมูลจาก The Register การประกาศล่าสุดบ่งชี้ว่าความร่วมมืออาจไม่ได้สานต่อหรือยุติไปแล้ว ความแตกต่างหลักอยู่ที่ Google ให้ความสำคัญกับ ความเรียบง่าย และการเชื่อมโยงกับระบบอื่น ๆ แทนการทำตามโครงสร้างเดียวกันทั่วทั้งอุตสาหกรรม

Industry Reaction & Bias Concerns

ข้อวิจารณ์ต่อชื่อของกลุ่มจีนจาก CVERC ยังเป็นประเด็นที่ Google พิจารณาโดยตรง บริษัทระบุว่าการสุ่มคำจะช่วย ลดอคติ ที่อาจเกิดขึ้นจากการใช้สัญลักษณ์หรือสัตว์ที่เชื่อมโยงกับวัฒนธรรมของแต่ละประเทศ อย่างไรก็ตาม นักวิจัยบางส่วนเตือนว่าแม้ระบบใหม่จะง่ายต่อการใช้งาน แต่ความหลากหลายของชื่อทั่วโลกยังคงทำให้ การแลกเปลี่ยนข้อมูล ระหว่างองค์กรยากขึ้น

ในขณะที่ Microsoft‑CrowdStrike ยังคงผลักดันมาตรฐานสากล บางองค์กรอาจเลือกใช้ระบบของ Google เพื่อลดขั้นตอนแปลงข้อมูล แต่ก็ต้องพิจารณาว่า การแมปชื่อ ระหว่างสองโครงสร้างนั้นจะเกิดความคลาดเคลื่อนหรือไม่

Implications for Security Operations

สำหรับทีม SOC และผู้เชี่ยวชาญด้านภัยคุกคาม การปรับตัวเข้ากับ taxonomy ใหม่ของ Google จะต้องอัปเดตฐานข้อมูลภายในและระบบ SIEM เพื่อให้รับรู้ว่า CASTLE, ION ฯลฯ คือกลุ่มใดในแง่ของที่มาที่ไปและแรงจูงใจ การทำเช่นนี้จะช่วยให้กระบวนการตอบโต้เป็นไปอย่างรวดเร็วกว่าเดิม เนื่องจากผู้ปฏิบัติงานไม่ต้องตีความหลายชื่อ

แต่ในระยะยาว หากอุตสาหกรรมยังคงมีระบบตั้งชื่อต่างกัน การจัดทำ mapping table ระหว่าง taxonomy ของ Google กับมาตรฐานของ Microsoft‑CrowdStrike จะเป็นภาระเพิ่มเติม ซึ่งอาจกระทบต่อการแบ่งปันข้อมูลแบบ real‑time ระหว่างพันธมิตรและผู้ให้บริการคลาวด์

Summary

Google เปิดตัวระบบตั้งชื่อกลุ่มอาชญากรรมไซเบอร์ใหม่ที่เน้นความเรียบง่ายและลดอคติ โดยกำหนดชื่อ CASTLE, ION, NEPTUNE, RELIC และ COMET เพื่อตัวแทนของประเทศต่าง ๆ การเปลี่ยนแปลงนี้สร้างแรงกระเพื่อมต่อมาตรฐานการตั้งชื่อที่ Microsoft‑CrowdStrike พยายามผลักดันและอาจส่งผลให้ทีมรักษาความปลอดภัยต้องปรับกระบวนการแมปข้อมูลระหว่างระบบหลายแบบ.