Googleは、自社のスペシャリストが追跡するハッカーグループに対して、統一的な命名システムを導入しています。APT1のようなラベルや無関係な識別子の寄せ集めに代わり、攻撃者には今後、覚えやすい2単語のエイリアスが付与されます。この移行は7月24日から始まっており、今後Google Threat Intelligence Groupのデータ、公開レポート、Google Threat Intelligenceプラットフォームに順次反映されていきます。
変更が必要になった背景
この見直しは、分析部門の統合を受けたものです。MandiantとThreat Analysis Groupは統合されましたが、それまで両チームはそれぞれ独自に攻撃を追跡し、異なる命名規則を用いていました。Google Threat Intelligence Groupの発足後、これら並行する体系が情報の照合を妨げるようになっていました。Googleはこの変更について、更新版の命名システムに関する発表で説明しています。
新しい命名方式の仕組み
新しい名前はそれぞれ英単語2つで構成されます。1つ目の単語は特定のグループを示す固有名となります。可能な限り、既に公開研究で使われている見覚えのあるラベルを維持する方針です。適切な選択肢がない場合はランダムに単語が選ばれ、その後アナリストによる確認を経ることで、名前に望ましくない連想や偏った判断が含まれないようにしています。
2つ目の単語は、出所・動機・活動タイプを一目で示す役割を担います。これにより、アナリストは各数字識別子がどの国やカテゴリーに属するかをいちいち記憶する必要がなくなります。名前自体に、脅威を初期評価するために必要な情報の一部が組み込まれているのです。
出所を示す接尾辞
2つ目の単語は、推定される出所や動機に対応付けられています。中国と関連のあるグループには接尾辞「CASTLE」が付与されます。イランによる関与が疑われる作戦には「ION」、北朝鮮関連には「NEPTUNE」、ロシア関連には「RELIC」が使われます。金銭目的のサイバー犯罪者は、国籍を問わず「COMET」で示されます。
この論理は非常にわかりやすいものです。例えば、Googleがロシアと結び付けている2つの異なるグループには、それぞれ異なる1つ目の単語が付きますが、末尾は同じ「RELIC」になります。これにより、アナリストは別途参考資料を開いたりエイリアス一覧を確認したりすることなく、推定される出所を即座に把握できます。
業界統一基準はまだ存在しない
他社も既に同様のシステムを採用していますが、業界全体で統一された参照体系はまだ存在しません。同一の活動であっても、Google、Microsoft、CrowdStrike、Palo Alto Networksなどでそれぞれ異なる名前が付けられている場合があります。さらに、研究者によっては複数の作戦を1つのグループにまとめたり、逆に別々のクラスターに分割したりすることもあります。
その原因は単なる用語の違いにとどまりません。各社はそれぞれ独自のテレメトリ情報源、顧客、利用可能なデータセットを持っています。悪性ファイルやネットワークインフラを目にするスペシャリストもいれば、侵害を受けた組織内部での調査結果を保有するスペシャリストもいます。そのため、2社のラベルが必ずしも全く同一の攻撃者集団や作戦を指しているとは限りません。
Googleは、新システムが膨大なデータの取り扱いを容易にする一方で、各ベンダーの分類の違いを解消するものではないと強調しています。Google Threat Intelligenceプラットフォーム内では、従来の名前、他ベンダーのエイリアス、MITRE ATT&CKベースへのマッピングを引き続き保持します。ユーザーは新旧いずれのラベルでもグループを検索できます。
段階的な移行
まず同社は、最も活動が活発な数十のグループから改名を進めます。残りのラベルは、蓄積された情報の検証が進むにつれて順次更新されていきます。このアプローチにより、何百もの見慣れた識別子を一斉に入れ替える事態を避けられ、スペシャリストが社内レポートや検知ルール、インシデント管理システムを調整するための時間的余裕も生まれます。
UNCという接頭辞の付いたラベルは、当面そのまま残ります。Mandiantはこれを、調査の初期段階でまだ分類されていない活動クラスターに使用しています。このような番号は、必ずしも安定したハッカー組織に対応しているとは限りません。限定的なキャンペーンや、関連する一連のツール、あるいはまだ情報が不十分な活動を指している場合もあります。
後になってアナリストが、こうしたクラスターの出所や目的、安定した特徴を特定できた段階で、新方式のもとで正式な名前が付与されることになります。それまでの間は、旧来のラベルによって、攻撃の背後にいる人物や国家との関連について時期尚早な結論を出すことなく、チームが活動を追跡し続けられるようになっています。
脅威レポートは明確に、ただし最終的な帰属特定ではない
連番による識別をやめるだけでも、アナリストだけでなくインシデント対応を担う担当者にとって、脅威レポートはより分かりやすいものになるはずです。名前の末尾を見るだけで、その攻撃者が特定の国家と関連しているのか、あるいは金銭目的で行動しているのかを即座に把握できます。
ただし、新しいエイリアスを帰属特定の最終的な証拠として受け取るべきではありません。特定の国家や犯罪集団との関連性は、技術的指標とインテリジェンス指標を組み合わせて判断されるものであり、新たなデータが得られるにつれて見直される可能性があります。この名前は、攻撃に関与したすべての当事者について公式に確立された身元を示すものではなく、あくまでGoogleの現時点での評価を反映したものです。
何よりもこの統一体系により、MandiantとかつてのThreat Analysis Groupとの間に存在していた社内的な不一致が解消されます。今後はGoogleのレポート、調査、プラットフォームデータが単一の分類体系に基づくものとなる一方、維持されるエイリアスによって、新しい名前とAPT、FIN、UNC、その他ベンダーのラベルとの照合が可能になります。
翻訳元: https://meterpreter.org/google-threat-actor-naming-system/
