Google Threat Intelligence　GTIスコアの根拠が確認可能に

Google Threat Intelligence製品機能
  • 掲載日
  • 更新日
  • 共有
           目次
  1. 概要
  2. GTIスコアの根拠の確認
    1. GTIスコアの根拠の確認方法
    2. 根拠の画面の見方
  3. 根拠のカテゴリ
    1. 期限切れのシグナル（Historical Context）
    2. 関連する項目の表示数
  4. APIでのGTIスコアの根拠の取得
  5. 参考

概要

Google Threat Intelligence では、IoCの評価をGTIスコアとして確認できますが、2026年6月のアップデートにより、スコアの算出に関わった要因（GTIスコアの根拠）も確認できるようになりました。

GTIスコアの根拠は、すべてのプラン（Standard、Enterprise、Enterprise+）で確認できます。また、APIでも取得できます。

本記事では、GTIスコアの根拠を確認する方法と画面の見方、APIでの取得方法をご紹介します。

なお、GTIスコアについては、以下の記事で紹介しています。あわせてご参照ください。

関連記事Google Threat Intelligence　GTIスコアとはGTIスコアの概要や構成要素、VirusTotalの検知結果との違い、GTIスコアを活用した運用方法を紹介しています。

GTIスコアの根拠の確認

GTIスコアの根拠の確認方法

Google Threat Intelligence の「IoC Investigation」でファイルやIPアドレス、ドメイン、URLなどのIoCを検索すると、対象の詳細画面でGTIスコアや評価の概要を確認できます。

GTIスコアの根拠を確認するには、「SUMMARY」タブの「Google Threat Intelligence Assessment」に表示される「View Scoring Factors」をクリックします。

詳細画面の「View Scoring Factors」から、GTIスコアの根拠を表示する

「View Scoring Factors」をクリックすると、GTIスコアの根拠の画面（GTI Indicator Assessment Signals）が表示されます。

また、検索結果の一覧では、GTIスコアにカーソルを置くと、同じ内容を確認できます。

検索結果の一覧で、GTIスコアにカーソルを置いて根拠を表示する

根拠の画面の見方

根拠の画面には、次の内容が表示されます。

GTIスコアの根拠の画面（右側は日本語訳）

  • ①スコア・深刻度・判定：GTIスコア、深刻度（Severity）、判定（Verdict）が表示されます
  • ②評価の概要：判定の理由が文章で表示されます
  • ③〜⑧スコアの算出に関わった要因：判定と深刻度の算出に関わった要因が、見出しごとにまとめて表示されます

この例では、③の「Highest Impacting Factor」に、MandiantのマルウェアファミリーであるVPNFILTERと、Mandiantの脅威アクターであるAPT44への帰属が、スコアに最も大きく影響した要因として表示されています。

根拠のカテゴリ

GTIスコアの根拠は、カテゴリに分けて示されます。カテゴリには、次の10種類があります。

期限切れのシグナル（Historical Context）

GTIスコアの根拠となるシグナル（サンドボックスでの実行、AVの検知、他社のフィードなど）には、それぞれ有効期限があります。期限までに、新たに悪性を裏付ける活動が見られなければ、そのシグナルは現在のスコアの算出から外れます。外れたシグナルはインジケーターの履歴に残り、Historical Contextのカテゴリに含まれます。

悪性の判定を決めた主なシグナルが期限切れになると、スコアが再計算され、判定はSuspiciousまたはUndetectedに下がります。

このように、GTIスコアは、新しい要因が見つかったときや、シグナルが期限切れになったときに更新されます。

根拠の画面に表示される関連項目（脅威アクター、マルウェアファミリー、ルール・YARAなど）は、種類ごとに最大3件です。3件を超えるときは、影響の大きい3件が表示されます。

Highest Impacting Factor に、脅威アクターが3件表示された例

APIでのGTIスコアの根拠の取得

GTIスコアの根拠は、APIでも取得できます※1。根拠は、応答のgti_assessmentの中のgti_description_cardsに、見出しの種類（HIGHEST_IMPACT_FACTORなど）ごとに入ります。関連するマルウェアファミリーや脅威アクターは、related_linksに名前とIDが入ります。

  1. ※1 gti_assessmentを取得するには、リクエストのヘッダーにx-toolを指定します。

Standardプランでも関連する脅威情報を確認できるStandardプランでは、ASSOCIATIONSタブで関連する脅威アクターなどの情報を見られませんが、GTIスコアの根拠から、スコアの算出に関わったマルウェアファミリーや脅威アクターを確認できます（画面では種類ごとに最大3件）。APIでgti_description_cardsを読み取れば、SIEMやSOARなどで扱うIoCに、関連するマルウェアファミリーや脅威アクターの情報を加えられます。

参考

公式ドキュメントGoogle Threat Intelligence Indicator ScoreGTIスコアの算出の考え方、根拠のカテゴリ、シグナルの有効期限を説明しているドキュメントです。
関連記事Google Threat Intelligence　GTIスコアとはGTIスコアの概要や構成要素、VirusTotalの検知結果との違い、GTIスコアを活用した運用方法を紹介しています。
関連製品Google Threat Intelligence製品ページでは、主な機能と、プランごとに使える機能の違いを紹介しています。

Google Threat Intelligence の導入やご相談は、お気軽にお問合せください。

お問合せはこちら

TOP