- Google Threat Intelligence Groupは、MandiantとTAGから引き継いだ識別子を廃止し、最も注視している数十の攻撃グループから順に2語構成のコードネームへと切り替えます
- 2つ目の単語はアトリビューション（攻撃主体の特定）や動機を表し、CASTLEは中国、IONはイラン、NEPTUNEは北朝鮮、RELICはロシア、COMETは特定国家との関連が明確でない犯罪集団を指します
- この方式はGoogle社内での命名を標準化する一方で、業界がようやく共通のエイリアス対応表に合意したのは昨年になってからであり、また新たな独自の慣習が加わることになります
セキュリティ業界の多くがSandwormと呼んできたロシア軍参謀本部情報総局（GRU）系のハッキング集団に、また新たな名前が付きました。少なくともGoogleの呼び方では「Sandworm Relic」となります。
Google Threat Intelligence Groupは、これまで2つの別々のチームから引き継いできた識別子の寄せ集めを廃止する計画を発表しました。今後は2語からなるコードネームに置き換え、まずは最も注視している数十の攻撃グループから開始し、順次拡大していくとしています。
Googleはこれまで、APT1のような連番の識別子を用いる従来の方式について、番号自体は防御側に攻撃主体の手がかりを何も与えないと主張してきました。今回、より直感的で、攻撃の出所や動機を判断しやすくなるとする新方式への切り替えを始めています。
既存の秩序をなぜ変える必要があるのか、Googleの言い分
仕組み自体は単純です。追跡対象の攻撃主体にはそれぞれ2語の組み合わせが割り当てられます。1つ目の単語は際立って覚えやすいものであることを意図しており、セキュリティコミュニティですでに定着した呼称がある場合はGoogleはそれをそのまま採用するとしています。該当する呼称が存在しない場合は、偏見を排除するためにランダムに単語を生成し、使用開始前にアナリストが確認する仕組みです。
2つ目の単語は分類の役割を担い、動機、アトリビューション、活動の種類ごとにクラスターを仕分けます。Googleが公開したサンプル表では、CASTLEは中華人民共和国と関連するグループ、IONはイラン、NEPTUNEは北朝鮮、RELICはロシア、COMETは金銭目的の犯罪者にそれぞれ対応付けられています。
CyberScoopが指摘するように、この手法はCrowdStrikeが長らく採用してきた「固有の単語」と「国・動機に紐づく動物名」を組み合わせる方式――中国はPANDA、ロシアはBEAR、犯罪者はSPIDER、ハクティビストはJACKAL――と非常によく似ています。Googleは単に動物名をCASTLEやNEPTUNEといった単語に置き換えただけとも言えます。
今回の動きは、Googleが2022年にMandiantを54億ドルで買収したことに続く最新の一歩です。この買収により、Googleは最終的にMandiantを社内のThreat Analysis Groupと統合し、GTIGを発足させました。
この統合により、それぞれ長年独立して発展してきた2つの追跡システムが1つにまとまったわけですが、その結果、同一の活動であってもレポートを執筆したチームによってGoogle内で異なるラベルが付けられるという事態が生じていました。
今のところ、公になった新名称はロシア関連の「Sandworm Relic」のみですが、こうした試みを行っているのはGoogleが初めてではありません。
Microsoftは気象現象にちなんだ名前を採用しており、中国のような国家はこうした名称の背後にあるアトリビューションについて公に異議を唱えてきました。Googleが目指す脅威名称の「合理化」も、世界の他の関係者に広く受け入れられれば、事態をよりシンプルにする可能性はあります。
その一方で、まだ完全な標準が定まっていない業界に、さらなる混乱を持ち込むだけに終わる可能性もあります。GoogleとMandiantは2025年6月、MicrosoftとCrowdStrikeが主導するエイリアス対応の取り組みに参加することに合意しており、The Registerが報じたところによれば、当時の情報筋は両社ともMicrosoft主導の方式を採用する意向だったとしています。しかし先週の発表では、この取り組みについて一切触れられていません。Googleの意図がどれほど善意によるものであっても、防御側にはまた1つ、新たに学ぶべき体系が増えることになりそうです。
