Emerging Threats Center の概要

以下でサポートされています。

Google Security Operations の Emerging Threats Center は、現在および新たな脅威キャンペーンやオペレーションが組織にどのような影響を与える可能性があるかを把握するのに役立つ、AI を活用した脅威インテリジェンスを提供します。Applied Threat Intelligence（ATI）を基盤としており、Google Threat Intelligence（GTI）と Gemini モデルを活用しています。

Emerging Threats Center には、環境にリスクをもたらす GTI の最も重大なグローバル脅威のキュレートされたビューが表示されます。これには、IoC、検出一致、影響を受けるエンティティが含まれます。Gemini を使用して、大量の未加工のインテリジェンス フィードを実用的な分析情報に変換し、調査ワークフローで脅威データを直接運用できます。

[新興の脅威] ページにアクセスするために必要な IAM 権限の詳細については、新興の脅威: threatCollections と iocAssociations をご覧ください。

キャンペーンとは

キャンペーンとは、特定の目標を念頭に置いて脅威アクターが実行する、大規模で調整された一連の攻撃です。攻撃者は 1 つの標的だけでなく、特定の期間内にさまざまな業界や地域の複数の組織を標的にします。Google SecOps でキャンペーンを追跡すると、攻撃者のアクティビティの全体像を把握できます。世界中で使用されている共通の戦術、ツール、マルウェアを可視化することで、防御を事前に準備できます。

オペレーションとは

オペレーションは、キャンペーンをより小規模で、より絞り込んだバージョンです。多くの被害者を対象としたグローバルな攻撃を追跡するのではなく、1 つの組織に対する特定のミッションに焦点を当てます。これらは、Mandiant Threat Defense チームが実施するような最前線の調査から得られることがよくあります。オペレーションには特定の現実世界の被害者が含まれるため、組織の身元を隠しながら、貴重なパーソナライズされた脅威の手がかりとローカライズされた防御戦略を提供するためのプライバシー保護機能が組み込まれています。

主なメリット

Emerging Threats Center は、進行中または開発中の脅威キャンペーンやオペレーションに対する組織の可視性を強化します。
次のような特典があります。

  • 継続的な脅威の可視性: GTI キャンペーンまたはオペレーション データがワークスペースに継続的に反映されるため、関連する脅威の発生を常に把握できます。
  • 実用的な分析情報: 脅威レポートを手動で閲覧するのではなく、コンテキストが豊富で実用的な結果を受け取ります。
  • 検出の検証を迅速化: 自動化されたプロセスにより、検出範囲を検証し、キャンペーンやオペレーションのデータを手動で確認する手間を省くことができます。
  • 運用オーバーヘッドの削減: 検出の生成をすぐに利用できるため、検出の機会を求めて脅威レポートを解析する手作業が軽減されます。

Emerging Threats Center フィード

Google SecOps の Emerging Threats Center フィードには、Google Threat Intelligence（GTI）から提供される AI ベースの脅威インテリジェンスがリアルタイムで表示されます。組織に最も関連性の高いアクティブな脅威キャンペーンや新たな脅威キャンペーンを公開することで、環境内の潜在的な侵害を特定するのに役立ちます。

このフィードには、キャンペーン、オペレーション、レポート、およびそれらに関連する脅威アクターとマルウェア ファミリーのキュレートされたビューが表示されます。脅威の関係を調べたり、脅威キャンペーンやオペレーションの詳細を調査したりできます。

フィードに表示されるレポートは GTI によって生成されたものに限定され、GTI 自体で表示されるクラウドソーシング レポートは含まれません。

フィルタを適用してキャンペーンとオペレーションを表示する

Emerging Threats Center フィードをフィルタして、特定の条件に基づいてキャンペーン、オペレーション、レポートのリストを表示できます。

フィルタを適用するには:

  1. [Emerging Threats Center] フィードで、[ filter_alt フィルタ] をクリックします。
  2. [フィルタ] ダイアログで、論理演算子を選択します。
    • OR: 選択したフィルタのいずれかに一致します。
    • AND: 選択したすべてのフィルタに一致します。
  3. フィルタ カテゴリを選択します。
    • 関連するマルウェア: 脅威に関連付けられている特定のマルウェア ファミリーでフィルタします。
    • 関連ツール: キャンペーンまたはオペレーションで使用された特定のツールでフィルタします。
    • 移行元のリージョン: 脅威が発生した地理的リージョンでフィルタします。
    • ターゲットとする業種: キャンペーンまたはオペレーションのターゲットとする業種でフィルタします。
    • 対象地域: 対象地域でフィルタします。
    • 関連する攻撃グループ: キャンペーンまたはオペレーションに関連する特定の攻撃グループでフィルタします。
    • IoC の一致がある: 環境に一致する IoC を含むキャンペーンまたはオペレーションを表示します。
    • オブジェクト タイプ: 調査の焦点に応じて、キャンペーン、オペレーション、レポートのいずれかを表示します。

選択したフィルタは、表の上にチップとして表示されます。

脅威カードについて

フィード内の各脅威は、次の情報を含むカードとして表示されます。

  • 脅威のタイトルと概要: 脅威アクティビティの簡単な説明。
  • 関連するメタデータ: 標的となる業界、標的となる地域、関連するマルウェア、脅威アクターの概要。
  • バッジ: IoC の一致と関連するルールを表示するクイック インジケーター。
    • キャンペーン、オペレーション、レポートの場合、IOC バッジは、レポート、キャンペーン、オペレーションの IoC が環境のデータと一致するかどうかを示します。
    • キャンペーンまたはオペレーションの場合、[ルール] バッジには、環境で有効になっている関連する検出ルールの数が表示されます。たとえば、1/2 rules というラベルのバッジは、そのキャンペーンまたはオペレーションで使用可能な 2 つのルールのうち、1 つだけが環境で有効になっていることを示します。

バッジにポインタを合わせると、広範囲ルールと絞り込みルールの数と、それらが有効か無効かの内訳が表示されます。

関連するアクターとマルウェアを表示する

関連する攻撃者とマルウェアを表示するには、脅威カードをクリックして、脅威に関する詳細なコンテキストを表示します。

  • 関連するアクター: アクター名、概要、既知のソース国、最初と最後に確認された日付、関連するキャンペーン、オペレーション、マルウェア、インジケーターのセクションを含む [アクターの詳細] パネルが表示されます。

  • 関連するマルウェア: マルウェア ファミリー、概要、オペレーティング システム、報告されたエイリアス、関連するキャンペーン、オペレーション、アクター、インジケーターのセクションを含む [マルウェアの詳細] パネルが表示されます。

各パネルで、セクション名の横にある keyboard_arrow_down をクリックしてセクションを開き、詳細を表示します。または、これらの詳細を GTI で直接開いて、詳細情報を確認することもできます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。