もしあなたがCISOなら、また一つ悩みの種が増えることになります。Sandworm Relicと Strawberry Tempest、どちらをより警戒すべきなのでしょうか。
Google Threat Intelligence Groupは先週、競合他社に続く形でハッカーの命名方法を変更し、長年分裂していた命名システムを、覚えやすい単語の組み合わせによる単一のコードネーム体系に置き換えました。
同社はブログ投稿の中で、今回の変更はGoogle社内で長年別々に発展してきた2つの体系を統合するものだと説明しています。その2つとは、Googleが2022年に買収したセキュリティ企業Mandiantと、社内組織のThreat Analysis Groupです。両部門の統合により、同じハッキンググループに対して重複した名称が存在する事態が生じており、新体系はこの問題を解消することを狙いとしています。
ブログ投稿には「脅威の追跡は暗記の作業であってはならず、直感で理解できるものであるべきだ」と記されています。
追跡対象となる各グループには、今後2つの単語からなる名称が付与されます。1つ目の単語は覚えやすさを重視した固有の語で、多くの場合そのグループに関する過去の報告ですでに使われてきた名称から採用されます。該当する名称が存在しない場合は、研究者がランダムに生成し、使用前にアナリストが確認する仕組みです。2つ目の単語は、出身国や動機といった観点でグループを分類する役割を担います。Googleが公開した例では、CASTLEは中国関連のグループ、IONはイラン、NEPTUNEは北朝鮮、RELICはロシアと、それぞれ対応しており、COMETは国家との結びつきがない金銭目的の脅威アクターに割り当てられています。
このアプローチは、CrowdStrikeが長年採用してきた手法を彷彿とさせます。CrowdStrikeは固有の単語と、国や動機に紐づく動物名を組み合わせています。中国にはPANDA、ロシアにはBEAR、サイバー犯罪者にはSPIDER、ハクティビストにはJACKALといった具合です。Googleの新体系は動物名の代わりにCASTLEやNEPTUNEといった単語を用いていますが、基本的な構造は同じであり、その有効性の理由づけも共通しています。すなわち、2要素からなる名称は単なる国名ラベルや番号よりも多くの情報を伝えることができ、アトリビューション（攻撃者特定）が精緻化されるのに合わせて変更することも可能だという点です。
Microsoftも2023年4月に独自の命名体系刷新に踏み切り、化学元素・樹木・火山にちなんだ体系を廃止して気象用語に基づく体系へと移行しました。この体系では、Typhoonが中国、Blizzardがロシア、Sandstormがイラン、Tempestが金銭目的のサイバー犯罪者を表します。この変更によって生まれた名称は、その中身と同じくらい語感でも注目を集めることになりました。Strawberry Tempest、Pumpkin Sandstorm、Pistachio Tempestなどがその例です。業界の専門家からは、これらの名称がアイスクリームのフレーバーやカクテルを連想させるとして反発の声が上がりました。
2025年までには、業界の命名の乱立が共通の頭痛の種となり、この分野の二大プレーヤーが協力して整理に乗り出す事態にまで発展しました。MicrosoftとCrowdStrikeは同年6月に共同マッピングの取り組みを発表し、同一の追跡対象グループについてMicrosoftの気象名とCrowdStrikeの動物名を対応させました。この取り組みには、Google、Mandiant、Palo Alto Networks傘下のUnit 42も参加を表明しています。両社とも、このプロジェクトは業界全体を単一の命名システムに統一しようとする試みではなく、あくまで既存の各体系間の対応関係を分かりやすくするためのものだと強調しています。
Googleの新体系は、まず最も活発に追跡されている数十のハッキンググループから展開が始まり、今後さらに対象を拡大していく予定です。従来の名称は、Googleの脅威インテリジェンスプラットフォーム上で引き続き検索可能で、MITRE ATT&CKフレームワークや他ベンダーの命名システムとの対応関係も併せて確認できます。
同社によれば、あるグループがこの分類体系のどこに位置づけられるかを特定するにはまだ時期尚早と判断される場合、引き続き「未分類」を意味する「UNC」の名称が使われ続けるとのことです。
翻訳元: https://cyberscoop.com/google-threat-actor-naming-system/
