キャンペーン属性評価エビデンスの分析
概要
キャンペーン属性分析は、サイバー攻撃の背後にいる脅威アクターまたはグループを特定するために、証拠を体系的に評価する手法です。このスキルでは、ダイヤモンドモデルとACH（競合仮説分析）を使用した属性指標の収集と重み付け、インフラ重複、TTPの一貫性、マルウェアコード類似性、運用タイミングパターン、言語アーティファクトの分析を通じて、信頼度で重み付けされた属性評価を構築する方法をカバーします。
使用すべきタイミング
- キャンペーン属性評価エビデンスの分析を必要とするセキュリティインシデントを調査する場合
- このドメイン向けの検知ルールや脅威ハンティングクエリを構築する場合
- SOCアナリストがこの分析タイプの構造化された手順を必要とする場合
- 関連する攻撃テクニックに対するセキュリティ監視カバレッジを検証する場合
前提条件
- Python 3.9+ と
attackcti、stix2、networkxライブラリ - 脅威インテリジェンスプラットフォーム（MISP、OpenCTI）へのアクセス
- 侵入分析のダイヤモンドモデルに関する理解
- MITRE ATT&CK 脅威グループプロファイルへの精通
- マルウェア分析とインフラ追跡技術に関する知識
主要な概念
属性評価のエビデンスカテゴリ
- インフラ重複: 共有C2サーバー、ドメイン、IPレンジ、ホスティングプロバイダー
- TTPの一貫性: キャンペーン間でのATT&CKテクニックとサブテクニックの一致
- マルウェアコード類似性: 共有コードベース、コンパイラ、PDBパス、暗号化ルーチン
- 運用パターン: タイミング（業務時間、タイムゾーン）、ターゲティングパターン、運用テンポ
- 言語アーティファクト: 特定言語の埋め込み文字列、変数名、エラーメッセージ
- 被害者プロファイリング: ターゲットセクター、地理的分布、組織プロファイルの一貫性
信頼度レベル
- 高信頼度: 複数の独立したエビデンスカテゴリが同一アクターに収束する
- 中程度の信頼度: いくつかのエビデンスカテゴリが一致するが、曖昧さが残る
- 低信頼度: 限られたエビデンス、偽旗や共有ツールの可能性
競合仮説分析（ACH）
複数の競合する仮説に対して証拠を評価する構造化分析方法。各証拠は、各仮説に対して「一致」「不一致」「中立」としてスコアリングされます。最も不一致な証拠が少ない仮説が優先されます。
ワークフロー
ステップ 1: 属性エビデンスの収集
from stix2 import MemoryStore, Filter
from collections import defaultdict
class AttributionAnalyzer:
def __init__(self):
self.evidence = []
self.hypotheses = {}
def add_evidence(self, category, description, value, confidence):
self.evidence.append({
"category": category,
"description": description,
"value": value,
"confidence": confidence,
"timestamp": None,
})
def add_hypothesis(self, actor_name, actor_id=""):
self.hypotheses[actor_name] = {
"actor_id": actor_id,
"consistent_evidence": [],
"inconsistent_evidence": [],
"neutral_evidence": [],
"score": 0,
}
def evaluate_evidence(self, evidence_idx, actor_name, assessment):
"""証拠を仮説に対して評価: consistent/inconsistent/neutral."""
if assessment == "consistent":
self.hypotheses[actor_name]["consistent_evidence"].append(evidence_idx)
self.hypotheses[actor_name]["score"] += self.evidence[evidence_idx]["confidence"]
elif assessment == "inconsistent":
self.hypotheses[actor_name]["inconsistent_evidence"].append(evidence_idx)
self.hypotheses[actor_name]["score"] -= self.evidence[evidence_idx]["confidence"] * 2
else:
self.hypotheses[actor_name]["neutral_evidence"].append(evidence_idx)
def rank_hypotheses(self):
"""属性スコアで仮説をランク付けする。"""
ranked = sorted(
self.hypotheses.items(),
key=lambda x: x[1]["score"],
reverse=True,
)
return [
{
"actor": name,
"score": data["score"],
"consistent": len(data["consistent_evidence"]),
"inconsistent": len(data["inconsistent_evidence"]),
"confidence": self._score_to_confidence(data["score"]),
}
for name, data in ranked
]
def _score_to_confidence(self, score):
if score >= 80:
return "HIGH"
elif score >= 40:
return "MODERATE"
else:
return "LOW"
ステップ 2: インフラ重複分析
def analyze_infrastructure_overlap(campaign_a_infra, campaign_b_infra):
"""属性評価のために2つのキャンペーン間のインフラを比較する。"""
overlap = {
"shared_ips": set(campaign_a_infra.get("ips", [])).intersection(
campaign_b_infra.get("ips", [])
),
"shared_domains": set(campaign_a_infra.get("domains", [])).intersection(
campaign_b_infra.get("domains", [])
),
"shared_asns": set(campaign_a_infra.get("asns", [])).intersection(
campaign_b_infra.get("asns", [])
),
"shared_registrars": set(campaign_a_infra.get("registrars", [])).intersection(
campaign_b_infra.get("registrars", [])
),
}
overlap_score = 0
if overlap["shared_ips"]:
overlap_score += 30
if overlap["shared_domains"]:
overlap_score += 25
if overlap["shared_asns"]:
overlap_score += 15
if overlap["shared_registrars"]:
overlap_score += 10
return {
"overlap": {k: list(v) for k, v in overlap.items()},
"overlap_score": overlap_score,
"assessment": "STRONG" if overlap_score >= 40 else "MODERATE" if overlap_score >= 20 else "WEAK",
}
ステップ 3: キャンペーン間のTTP比較
from attackcti import attack_client
def compare_campaign_ttps(campaign_techniques, known_actor_techniques):
"""キャンペーンのTTPを既知の脅威アクタープロファイルと比較する。"""
campaign_set = set(campaign_techniques)
actor_set = set(known_actor_techniques)
common = campaign_set.intersection(actor_set)
unique_campaign = campaign_set - actor_set
unique_actor = actor_set - campaign_set
jaccard = len(common) / len(campaign_set.union(actor_set)) if campaign_set.union(actor_set) else 0
return {
"common_techniques": sorted(common),
"common_count": len(common),
"unique_to_campaign": sorted(unique_campaign),
"unique_to_actor": sorted(unique_actor),
"jaccard_similarity": round(jaccard, 3),
"overlap_percentage": round(len(common) / len(campaign_set) * 100, 1) if campaign_set else 0,
}
ステップ 4: 属性レポートの生成
def generate_attribution_report(analyzer):
"""構造化された属性評価レポートを生成する。"""
rankings = analyzer.rank_hypotheses()
report = {
"assessment_date": "2026-02-23",
"total_evidence_items": len(analyzer.evidence),
"hypotheses_evaluated": len(analyzer.hypotheses),
"rankings": rankings,
"primary_attribution": rankings[0] if rankings else None,
"evidence_summary": [
{
"index": i,
"category": e["category"],
"description": e["description"],
"confidence": e["confidence"],
}
for i, e in enumerate(analyzer.evidence)
],
}
return report
検証基準
- エビデンス収集が6つの属性カテゴリすべてをカバーしている
- ACHマトリックスが競合する仮説に対してエビデンスを適切に評価している
- インフラ重複分析が共有指標を特定している
- TTP比較で精度を高めるためにATT&CKテクニックIDを使用している
- 属性信頼度レベルが適切に正当化されている
- レポートに代替仮説と偽旗の考慮事項が含まれている