サイバーセキュリティ研究者が覚えるべき分類法がまた一つ増えました。
Googleは、サイバーセキュリティの脅威を仕掛ける攻撃者に対する新たな命名方式を策定し、攻撃報告の表記を標準化したい考えです。しかし結論から言うと、それは実現しそうにありません。
セキュリティ研究者はこうした命名方式を用いることで、背後にいる人物を正確に特定しなくても攻撃の帰属を示せるようにしています。Googleにはこれまで社内で使われてきた命名方式が2つありました。1つは自社の脅威分析グループ(TAG)が開発したもの、もう1つは現在Googleの傘下にあるMandiantが開発したものです。
今後はこの両方が、連番や曖昧な識別子に基づく従来の方式に代わって、Google脅威インテリジェンスグループ(GTIG)が新たに開発した命名方式に統一されることになります。
新しい命名方式は2語構成のアプローチを採用します。1つ目の単語は動機・帰属・活動種別を表し、2つ目の単語は特定の脅威アクターを表します。例えば、中国発の脅威は末尾が「CASTLE」となり、ロシア発の脅威は末尾が「RELIC」となります。国家の支援を受けていないと考えられる脅威グループの場合、末尾の単語は「COMET」になります。
Googleはすでに既存の脅威グループについて新しい名称を作成しています。TEMP.TickはTICK CASTLEに、FIN11はRAZOR COMETになりました。
Googleはまったく新しい命名方式を考案するのではなく、社内にある2つの方式のどちらかに単純に標準化することもできたはずです。あるいは、Microsoftが2023年に策定した方式を採用することもできたでしょう。または、2025年に取り組むと表明していたとおり、業界全体で共通の分類法を作る取り組みを継続することもできたはずです。
