Google、新たな脅威アクター命名システムを採用

Googleは、Google Threat Intelligence Group(GTIG)が脅威アクターを追跡するための新たな暗号名(cryptonym)ベースの命名規則を採用すると発表しました。

この巨大IT企業によると、新方式は連番やばらばらの識別子から脱却し、各活動クラスターに対して2単語の組み合わせを用いる仕組みに移行するとしています。

Googleの説明によれば、1つ目の単語は、公開報告で使われたことがあるような、覚えやすく固有性のある用語で、その脅威アクターを表すことを意図しています。該当する用語が存在しない場合は、ランダムに生成された語が用いられます。

2つ目の単語は、動機、帰属、活動タイプに基づいて各脅威アクターを特定のカテゴリーに位置づけるためのものです。

一例として、Googleは中国由来の脅威アクターには2つ目の単語として「Castle」、イラン由来のものには「Ion」、北朝鮮のグループには「Neptune」、ロシアの脅威アクターには「Relic」、サイバー犯罪集団には「Comet」を用いるとしています。

新たな命名方式のもとでは、Googleが「APT44」として追跡してきたロシアの悪名高いSandwormグループは「Sandworm Relic」となります。このAPTはセキュリティコミュニティ内ではBlue Echidna、Electrum、FrozenBarents、G0034、Iridium、Iron Viking、Quedagh、Seashell Blizzard、TEMP.Noble、TeleBots、UAC-0082、UAC-0113、そしてVoodoo Bearという名称でも追跡されています。

「業界には数多くの脅威アクター追跡方式が存在することを私たちは認識しています。そのため、このシステムを意図的にできるだけシンプルに保ち、運用の効率化と他の命名分類法へのマッピングの容易化を図っています」とGoogleは述べています。

同社によると、依然として残る課題は各サイバーセキュリティ組織が脅威の状況に対して持つ可視性の違いであり、これにより多くの場合、脅威アクター同士を単純に横並びで比較することができないといいます。

「追跡・記憶しやすい命名規則へ移行することは、非常に複雑な追跡上の課題を管理するための実践的な一歩です」と同社は指摘しています。

新たな分類法への移行の第一歩として、Googleは最も活発な脅威アクターのうち数十件についてすでに名称を変更しました。この作業は今後も順次継続される予定です。

「以前の名称は引き続きGoogle Threat Intelligence(GTI)プラットフォーム上でインデックス化・検索可能な状態を維持し、MITRE ATT&CKへのマッピングやその他ベンダーによる別名も保持されます」と同社は述べています。

なお、分類されていない脅威クラスターについては、Googleは引き続きUNCという呼称を使用します。