Google、脅威アクターの呼び名を統一へ 中国系「CASTLE」ロシア系「RELIC」

「同じ集団なのに呼び名が10個」問題 #

セキュリティ業界には長年の悩みがある。同一の攻撃者集団に、ベンダーごとにバラバラの名前が付く問題だ。ロシア軍参謀本部情報総局(GRU)傘下とされる集団は、Mandiantでは「APT44」、CrowdStrikeでは「Voodoo Bear」、Microsoftでは「Seashell Blizzard」、通称「Sandworm」とも呼ばれる。アナリストは日々、これらの対応表を頭に入れながらレポートを読む羽目になっていた。

Googleは8月、自社の脅威インテリジェンス統合チームGTIG(Google Threat Intelligence Group、MandiantとTAGの統合後組織)が追跡する5000超の活動クラスターに、新しい命名規則を導入すると発表した。

2語のコードネーム方式 #

新方式は「固有名+出自コード」の2語構成。固有名は旧称を引き継ぐか新規生成し、第2語で出自・動機を機械的に示す。

Sandwormのように業界で定着した通称は第1語として温存されるため、過去のレポートとの連続性は保たれる。まずは活動が活発な数十グループから適用を始め、順次拡大する方針だ。

ハッカー視点で見る限界 #

この統一は歓迎すべき一歩だが、業界全体の名前を統一するものではない点には注意がいる。CrowdStrikeの動物名、Microsoftの気象名、各社独自のUNC/TEMP番号は今後も並存する。GTIGの分類は各社の可視範囲(テレメトリ)に依存するため、帰属判定そのものが割れることもある。

それでもディフェンダー目線では意味は大きい。名前の第2語を見るだけで対応する優先度やTTPの傾向をある程度推測でき、脅威インテリジェンスの初動トリアージが速くなる。命名という地味な整理整頓が、実は検知・対応の速度に直結するという好例だ。