サイバー攻撃グループの名前から国家や動機を分かりやすく。Googleが新命名規則を展開

　Google Threat Intelligence Group（GTIG）は7月25日、サイバー攻撃グループ（脅威アクター）の新たな命名規則の展開を開始した。

　GTIGは、Googleの脅威分析チーム「Threat Analysis Group」（TAG）と、子会社のセキュリティ企業「Mandiant」の統合により設立された組織。現在、脅威アクターの命名に明確なルールはなく、脅威分析チームなどが独自に命名していたり、脅威アクターの自称を報道で用いたりする状況になっている。

　これまで、Mandiantでは脅威アクターに対して「APT44」のように「APT」のあと連番を付ける命名規則を採用し、一方でGoogleでは英単語を用いて、それぞれ独自の命名を行っていた。しかし、GTIGの設立に伴う情報の一元化を目的に、今回の命名規則が導入された。

　新たな命名規則は、直感的に理解しやすい設計となっており、2つの単語の組み合わせで構成されている。

　1つ目の単語には、脅威アクターを表す固有の単語が使用される。過去の報道やレポートで使用された名前があればそれが採用され、存在しない場合はランダムに生成し、アナリストが検証した上で単語が割り当てられる。

　2つ目の単語には、攻撃グループの起源（支援国）や動機に基づいて割り当てられた単語が使用される。以下の表が使用される単語の例。

　新たな命名規則では、「APT44」や「Sandworm」と呼ばれているロシア連邦軍参謀本部情報総局（GRU）に関連する脅威アクターは、「SANDWORM RELIC」となる。

　GTIGは、活動的なグループを優先して名前の変更を順次進めていくとしている。なお、Google Threat Intelligence（GTI）上では過去の名前でも検索でき、過去のデータや他のセキュリティベンダーの呼称との紐付けも維持される。

Google Threat Intelligence（GTI）上での表示