Google Threat Intelligence　GTIスコアとは

更新日：2026.08.13
掲載日：2026.08.13

目次閉じる開く

概要
GTIスコアとは

GTIスコアの概要
GTIスコアの算出方法
GTIスコアの区分

GTIスコアで変わるリスク判断（VirusTotalとの比較）
GTIスコアの活用方法（Splunkとの連携）

概要

Google Threat IntelligenceのGTIスコアは、ファイルやIPアドレス、ドメイン、URLなどのIoCについて、組織への影響度を0～100で示すスコアです。

GTIスコアを活用することで、多数のIoCの中から優先的に調査すべき対象を判断しやすくなるほか、インシデント対応や脅威ハンティングの効率化、SIEM・SOARと連携したセキュリティ運用にも活用できます。

本記事では、GTIスコアの概要や構成要素、VirusTotalの検知結果との違い、さらにGTIスコアを活用した運用方法について、紹介します。

GTIスコアとは

GTIスコアの概要

Google Threat Intelligence（GTI）のIoC Investigationは、ファイルハッシュやIPアドレス、ドメイン、URLなどのIoCを検索し、それらに関する脅威情報や分析結果を確認できる機能です。

IoC InvestigationでIoCを検索すると、検索結果の詳細画面にGTIスコアが表示されます。GTIスコアは、そのIoCが組織内で検出された場合に想定される影響度を0～100で示す指標であり、スコアが高いIoCほど優先的に調査や対応を行うべき対象である可能性を示します。

IoC Investigationの検索結果画面（GTIスコア：95）

GTIスコアの算出方法

GTIスコアは、Verdict（IoCが悪意のあるものである可能性）と Severity（IoCが悪用された場合の影響度）をはじめとする複数の評価要素をもとに、0～100のスコアとして算出されます。

GTIスコアの算出に用いられる主な評価要素は、以下の２つです。

Verdict

Verdictは、IoCが悪意のあるものであるとGTIがどの程度判断しているかを示す評価です。
Verdictには、以下の５種類があります。

Verdict	説明
Malicious	アクティブな脅威インフラ、マルウェアを用いた攻撃キャンペーン、不正な攻撃者による活動の一部であることを示す明確な証拠があり、高い確信をもって脅威と判断されるもの。
Suspicious	サンドボックスでの不審な振る舞いなど、不審な兆候は確認されているものの、悪意のある活動を示す決定的な証拠はないもの。現在は活動していない過去の脅威も含まれる。
Undetected	GTIで収集している情報から、不審または悪意のある兆候が確認されていないもの。
Benign	安全であることが確認されたもの。例えば、信頼できるインフラやソフトウェア、署名付きバイナリ、安全性が確認されたドメインやIPアドレスなどが含まれる。
Unknown	有効な評価を行うために必要な情報が不足しているもの。

Severity

Severityは、IoCが悪用された場合に、組織へ与える影響の大きさを示す評価です。
Severityには、以下の４種類があります。

Severity	説明
High	ランサムウェアやアクティブなC2サーバー、バックドア、認証情報窃取マルウェアなど、攻撃が進行した段階で使用される、組織へ深刻な影響を及ぼす可能性が高い脅威。
Medium	ダウンローダーやドロッパー、エクスプロイト、キーロガーなど、主に攻撃の初期段階で使用されるインフラやツール。この段階では、攻撃が成功するかどうかや、その後どのような被害につながるかがまだわからない脅威。
Low	アドウェアや暗号資産マイナー、スパムなど、組織への影響はあるものの、比較的小さい脅威。
None	リスクが確認されていないもの。

※VerdictやSeverityの判定基準は、ファイル・ドメイン・IPアドレス・URLなど、IoCの種類によって異なります。詳細は、公式ドキュメントをご参照ください。

GTIスコアの区分

GTIスコアは、VerdictとSeverityの組み合わせによって区分されます。各GTIスコアの区分は、以下のとおりです。

Verdict＼Severity	None	Low	Medium	High
Benign	0	—	—	—
Undetected	1	—	—	—
Suspicious	—	21	25	29
Malicious	—	30–59	60–79	80–100

—は該当するスコアが存在しない組み合わせ

GTIスコア	Verdict	Severity	説明
0	Benign	None	安全であることが確認されたIoC。プライベートIPアドレスや安全性が確認されたドメインなど。
1	Undetected	None	悪意のある兆候が確認されていないIoC。
21	Suspicious	Low	軽微な不審な兆候を持つIoC。グレイウェアや影響の小さいPUAなど。
25	Suspicious	Medium	中程度の不審な兆候を持つIoC。マルウェアの配布段階で利用されるインフラや、正当・不正の両方で利用されるツールなど。
29	Suspicious	High	深刻な脅威の特徴を持つものの、無効化や長期間活動が確認されていないなど、リスクを低減する要因があるIoC。
30-59	Malicious	Low	組織への影響は比較的小さいものの、悪意のあることが確認されているIoC。アドウェアや一般的なスパム、暗号資産マイナー、バンキング型トロイの木馬など。
60-79	Malicious	Medium	初期侵入や組織内での被害拡大につながる可能性がある、悪意のあるIoC。ダウンローダーやドロッパー、一般的なハッキングツールなど。
80-100	Malicious	High	重大な脅威であり、迅速なインシデント対応が必要な、悪意のあるIoC。アクティブなC2サーバーやランサムウェア、現在も活動している既知の脅威アクターや攻撃キャンペーンとの関連が確認されたものなど。

GTIスコアで変わるリスク判断（VirusTotalとの比較）

GTIスコアでは、IoCの危険性を0～100のスコアで表します。

VirusTotalでは、セキュリティベンダーの検知結果や関連する脅威情報など、複数の情報を確認し、それらを総合的に見てIoCの危険性を判断する必要がありました。
一方、Google Threat Intelligenceでは、GTIスコアを確認することで、IoCの危険性や対応の優先順位を一目で把握できます。これにより、優先的に対応すべきIoCをすばやく特定し、効率的なインシデント対応につなげることができます。
また、SIEMやSOAR製品と連携することで、GTIスコアを活用した自動的な優先順位付けや対応の自動化も可能です。

以下は、同じIoCをGoogle Threat IntelligenceとVirusTotalで比較した例です。

左：Google Threat Intelligence（Enterpriseプラン）右：VirusTotal（Professional+プラン）

例えば、このIoCは、VirusTotalではセキュリティベンダーによる検知数が０件となっています。
一方、Google Threat Intelligenceでは、GTIスコア80と評価されています。
ファイル名は「AdobeCEF.dat」となっており、一見するとAdobe製品のデータファイルのように見えます。しかし、Google Threat Intelligenceでは、バックドアマルウェア「SOGU.JSPS」と関連づけられています。バックドアマルウェアは、攻撃者が感染した端末を遠隔から操作できるようにするマルウェアです。情報窃取や追加のマルウェアの実行など、さまざまな攻撃に悪用されます。

このように、Google Threat Intelligenceでは、セキュリティベンダーによる検知結果だけでなく、Mandiantによる分析結果やマルウェアファミリーとの関連など、さまざまな脅威情報をもとにVerdictやSeverityが評価され、その結果としてGTIスコアが算出されます。
そのため、ベンダーの検知結果や関連する脅威情報を個別に確認しなくても、IoCの危険性や対応の優先順位を一目で把握できます。
こうしたGTIスコアは、SIEMやSOARと連携した自動化にも活用できます。次章では、SIEMの一例として、Splunkを使用した活用例をご紹介します。