セキュリティ
MicrosoftとCrowdStrikeが目指していた業界共通の命名規則は、どうなってしまったのでしょうか
Googleはサイバー犯罪組織を表す新たな分類法を策定しました。どうやら、Microsoftが主導していた命名規則統一の取り組みからは手を引いた形のようです。
Googleは土曜日、新たな分類体系を発表しました。その投稿では、2022年に実施したMandiant買収と、それに続くGoogle Threat Intelligence Group(CTIG)という新チームへの統合について触れています。
2つの組織が1つになったことで、Googleはサイバー犯罪組織を表すための一貫した命名規則が必要だと判断したようです。
その結果生まれたのが、2つの単語からなる分類体系です。最初の単語は「特定の攻撃者を表す、ユニークで覚えやすい用語」とされています。セキュリティ業界がすでに特定の呼称を使っている場合はGoogleもそれを踏襲しますが、そうでない場合は「偏りを排除するため」にランダムに単語を生成するとしています。
Googleによれば、2つ目の単語は「防御・対応戦略上、最も重要と考えられるカテゴリーに基づき、動機・帰属・活動タイプによって脅威クラスターを分類するもの」だといいます。
この点については後ほど詳しく触れます。
Googleは以下の名称を採用することを決定しました。
-
CASTLE：中華人民共和国を拠点とする組織を表す名称
-
ION：イランからの脅威を表す名称
-
NEPTUNE：北朝鮮の攻撃者を表す名称
-
RELIC：ロシアの攻撃者を表す名称
-
COMET：国家の支援を受けていないサイバー犯罪者を表す名称
Googleの投稿では、セキュリティ業界の他のプレイヤーもそれぞれ独自の脅威アクター分類体系を開発していると指摘した上で、そのためGoogleは「運用の効率化と他の命名分類体系へのマッピングを容易にするため、意図的にこの体系をできるだけシンプルに保つよう努めている」としています。
これはやや奇妙な立場と言えます。というのも、2025年にはMicrosoftとCrowdStrikeが業界全体を巻き込んだ取り組みを起こし、脅威アクターに一貫した名称を適用しようとしていたからです。当時本紙が報じた通り、複数の命名体系が併存することで、研究者たちが同一の攻撃グループを10通りもの異なる名称で呼ぶという事態が生じています。例えば、ロシア軍参謀本部情報総局(GRU)の第74455部隊という単一の組織を指すのに、研究者たちはSeashell Blizzard、IRIDIUM、VOODOO BEAR、BE2、UAC-0113、Blue Echidna、PHANTOM、BlackEnergy Lite、APT44といった名称を使い分けているのです。
多くの組織が複数のセキュリティツールを利用し、それに伴い多数のベンダーから脅威インテリジェンス情報を受け取っている以上、利用者は自分たちがどの攻撃組織から身を守ろうとしているのかを都度理解しなければなりません。
当時、複数の情報筋によれば、GoogleとMandiantはMicrosoft主導のこの取り組みを積極的に採用しようとしていたとのことでした。
しかし今回のGoogleの新発表を見る限り、その協力関係は実を結ばなかったか、あるいは長続きしなかったようです。
偏りの問題に話を戻すと、2024年には中国の国家コンピュータウイルス緊急対応センター(CVERC)が、欧米企業が中国のサイバー犯罪グループを表すのに「Typhoon」「Panda」「Dragon」といった名称を選んでいると批判していました。
CVERCは、「Hurricane」や「Koala」など、英語圏の慣用表現を反映した名称の方がふさわしいと提案しています。
参考までに触れておくと、「Koala(コアラ)」という単語は、英国による植民地化以前にオーストラリア・シドニー周辺に暮らしていた先住民族、ダルグ族の言語に由来する言葉です。コアラは1日18時間から22時間も眠り続ける、実に無防備な生き物です。たとえこの有袋類の習性が、一部の休眠型マルウェアの挙動をある意味的確に言い表しているのだとしても、この名称を耳にして防御担当者たちの闘志に火がつくことはまずなさそうです。®
