profiling-threat-actor-groups

脅威アクターグループのプロファイリング

使用するタイミング

このスキルは次の場合に使用します:

• 自組織の業界を最近標的にしている敵対グループのプロファイルで、組織の脅威モデルを更新する場合
• 自社のビジネスに影響する地政学的イベントと関連する APT グループについて、経営層向けのブリーフィングを準備する場合
• SOC アナリストが攻撃者の目的と TTP を理解し、検知チューニングを改善できるようにする場合

このスキルを実時間のインシデント帰属に使用しないでください。 アクティブなインシデント中の帰属は、封じ込めを優先して後回しにすべきです。プロファイルの精緻化はインシデント後に行います。

前提条件

• MITRE ATT&CK Groups データベースへのアクセス (https://attack.mitre.org/groups/)
• 商用の脅威インテリジェンスサブスクリプション (Mandiant Advantage、CrowdStrike Falcon Intelligence、または Recorded Future)
• 業界固有の対象インテリジェンスのための業界 ISAC への加入 (FS-ISAC、H-ISAC、E-ISAC)
• 構造化されたプロファイルテンプレート (以下のワークフローを参照)

ワークフロー

ステップ 1: 関連する脅威アクターを特定する

組織の業界、地域、テクノロジースタックを、既知の敵対者の標的化パターンと突き合わせます。情報源:

• MITRE ATT&CK Groups: TTP のマッピングを伴う 130 以上の文書化された国家支援型およびサイバー犯罪グループ
• CrowdStrike Annual Threat Report: 国家ごとのアダバーサリー命名 (BEAR=ロシア、PANDA=中国、KITTEN=イラン、CHOLLIMA=北朝鮮)
• Mandiant M-Trends: 業界固有の標的化統計を含む年次レポート
• CISA Known Exploited Vulnerabilities (KEV) カタログ: 特定の脅威アクターによって実際に悪用されている脆弱性を特定します

業界の一致と最近の活動に基づき、自組織を標的にする可能性が最も高いグループを 5～10 個に絞り込みます。

ステップ 2: プロファイルデータを収集する

各敵対者について、標準的な観点ごとに次の内容を記録します:

Identity (識別情報): ATT&CK Group ID (例: APT29 の G0016)、別名 (Cozy Bear、The Dukes、Midnight Blizzard)、推定される国家の後ろ盾

Motivations (動機): スパイ活動、金銭的利益、妨害、知的財産の窃取

Targeting (標的): 業界、地域、組織規模、テクノロジー対象 (OT/IT、クラウド、サプライチェーン)

Capabilities (能力): 独自のマルウェア (例: APT29 の SUNBURST、MiniDuke)、ゼロデイの悪用と既知の CVE の悪用の比較、サプライチェーン攻撃の能力

Campaign History (キャンペーン履歴): 日付付きの主要な作戦 (SolarWinds 2020、Exchange Server 2021 など)

TTPs by ATT&CK Phase (ATT&CK フェーズ別の TTP): 戦術フェーズごとに上位 5 つの手法を記録します

ステップ 3: TTP を ATT&CK にマッピングする

mitreattack-python を使用して:

from mitreattack.stix20 import MitreAttackData

mitre = MitreAttackData("enterprise-attack.json")
apt29 = mitre.get_object_by_attack_id("G0016", "groups")
techniques = mitre.get_techniques_used_by_group(apt29)

profile = {}
for item in techniques:
    tech = item["object"]
    tid = tech["external_references"][0]["external_id"]
    tactic = [p["phase_name"] for p in tech.get("kill_chain_phases", [])]
    profile[tid] = {"name": tech["name"], "tactics": tactic}

ステップ 4: プロファイルに対する検知カバレッジを評価する

敵対者の手法リストを、自組織の検知カバレッジマトリクス (ATT&CK Navigator レイヤーから作成) と比較します。次の点を特定します:

• このグループが使用する手法のうち、自組織で検知が存在しないもの (重大なギャップ)
• 部分的なカバレッジにとどまるもの (ログは取得しているがアラートがない)
• 検知が実現できない場合の補償的コントロール (横方向移動の緩和策としてのネットワークセグメンテーション)

ステップ 5: 配布用にプロファイルをパッケージ化する

最終的なプロファイルを、対象者ごとに異なる形式に構成します:

• エグゼクティブサマリー (1 ページ): 誰か、動機、最近のキャンペーン、自組織にとっての最大のリスク、推奨される優先アクション
• SOC アナリスト向けブリーフ (3～5 ページ): 検知状況を含む完全な TTP リスト、IOC リスト、ハント仮説
• 技術付録: YARA ルール、Sigma 検知ルール、TIP インポート用の STIX JSON オブジェクト

社内配布には TLP:AMBER を適用します。外部共有の前には ISAC の承認を取得してください。

主要な概念

用語	定義
APT	高度な持続的脅威（Advanced Persistent Threat）。長期にわたる標的型攻撃を行う、十分なリソースを持つ高度な攻撃者（通常は国家主体、または高度な犯罪者）です。
TTPs	戦術、技術、手順（Tactics, Techniques, Procedures）。攻撃者グループの行動上の特徴を示すもので、頻繁に変化する IOC よりも長期間有効です。
別名	脅威アクターは、ベンダーごとに異なる名称で呼ばれます（APT29 ＝ Cozy Bear ＝ The Dukes ＝ Midnight Blizzard ＝ YTTRIUM）。
アトリビューション	攻撃を特定の脅威アクターに結び付けるプロセスです。複数の独立した裏付けデータが必要であり、本質的に不確実性を伴います。
クラスター	関連する侵入活動のグループです。単一のアクターによるものと特定できる場合も、できない場合もあります。アトリビューションが不確かな場合に使用します。
侵入セット	共通の目的を持つ一連の敵対的な行動をまとめた STIX SDO のタイプです。アクターの正体が不明な場合も含みます。

ツールとシステム

• MITRE ATT&CK Groups：キャンペーンのレポートを参照できる、130 を超える文書化済みの攻撃者グループを収録した、無料のコミュニティ管理型データベースです。
• Mandiant Advantage Threat Intelligence：詳細な APT プロファイル、マルウェアファミリー、キャンペーン分析を提供する商用プラットフォームです。
• CrowdStrike Falcon Intelligence：攻撃者を中心としたプロファイルと、リアルタイムのアトリビューション更新情報を提供する商用フィードです。
• Recorded Future Threat Intelligence：OSINT、ダークウェブ、技術情報を組み合わせて攻撃者のプロファイリングを行います。
• OpenCTI：脅威アクター間の関係、ツール、キャンペーンの関連性をグラフで可視化します。

よくある落とし穴

• IOC 中心のプロファイル：TTPs ではなく IP アドレスやドメインを中心にプロファイルを作成すると、インフラが入れ替わるため、数週間で古くなります。
• ベンダーごとの別名の混同：マルウェアやインフラが共通しているという理由で、異なる脅威アクターグループを同一視すると、脅威モデルの前提を誤ることになります。
• 二者択一のアトリビューション：確率的なものを確実なものとして扱うことです。アトリビューションの確信度は、必ず「低・中・高」で示してください。
• 内部関係者や犯罪グループの軽視：国家主体の APT を過度に重視する一方で、多くの組織にとって発生確率の高い脅威であるランサムウェアグループ（Cl0p、LockBit、ALPHV）を見落とすことです。
• プロファイルの陳腐化：攻撃者の TTPs は進化します。四半期ごとに更新しないプロファイルでは、手法の変化、新たなマルウェア、標的の変化を見逃す可能性があります。