更新された脅威アクター命名システム

はじめに

本日より、Google Threat Intelligence Group(GTIG)は脅威アクターを追跡するための統一命名スキーマの展開を開始します。この新しい命名分類法は、各種プラットフォームおよび公開レポート全体で追跡方法を標準化する取り組みです。

命名システムを変更する理由

これまで、MandiantとGoogleのThreat Analysis Group(TAG)はそれぞれ独自の追跡システムを維持しており、長年にわたり並行して発展してきた命名スキーマに依存していました。GTIGの発足に伴い、統合された新しい追跡システムと、それに対応する新しい命名システムが必要になりました。将来を見据え、GTIGの新システムは暗号名(クリプトニム)方式を採用します。連番や(APT1のような)ばらばらの識別子に頼るやり方では、防御側が迅速に対応するために必要な重要な文脈情報を提供できません。脅威の追跡は暗記の作業であるべきではなく、直感的に把握できるものであるべきです。この新しい命名規則は、業界標準の脅威アクター命名システムに沿ったものとなっています。

新しいスキーマ

新しいスキーマでは、暗号名ベースのアプローチを採用し、それぞれの脅威アクターを覚えやすい2語の組み合わせで表します。

• 1語目は、特定のアクターを表すために選ばれた、独自性がありかつ覚えやすい語です。過去の公開レポートで使用されていた名称がある場合は、それを優先的に採用します。以前に使用された語が存在しない場合は、バイアスを排除するためにランダムに生成し、その後アナリストが精査します。

• 2語目は、動機・攻撃者の所属・活動タイプのうち、防御・対応戦略上最も重要とみなされる観点に基づいて、脅威クラスターを分類します。

以下の表は、脅威アクターのカテゴリーが各暗号名の2語目にどのように対応付けられるかを示す例です。

表1: Googleの新しい脅威アクター命名システムにおけるカテゴリー例

業界には数多くの脅威アクター追跡スキーマが存在することを踏まえ、私たちは意図的にこのシステムをできる限りシンプルに保ち、運用の効率化と他の命名分類法とのマッピングのしやすさを重視しています。ただし、重要な留保事項が一つあります。脅威の状況に対する可視性は組織ごとに全く異なるため、脅威アクター同士を単純に一対一で比較することはほとんどできません。それでも、より追いやすく覚えやすい規則へ移行することは、極めて複雑な追跡上の課題に対処するための実践的な一歩と言えます。

取り組みは今も継続中

まずは特に活動が活発な数十のグループを優先してリネームを進めており、今後もこの作業を順次継続していきます。従来の名称は引き続きGoogle Threat Intelligence(GTI)プラットフォーム上でインデックス化・検索可能な状態を維持し、MITRE ATT&CKへのマッピングや他ベンダーによるエイリアスも保持されます(図1を参照)。