Google Threat Intelligence

製品概要

弊社アンカーテクノロジーズは、Google Cloud のセキュリティ製品の正式販売パートナー（Google Cloud SecOps パートナー）として、Google Threat Intelligence を提供しています。

Google Threat Intelligence は、Google、Mandiant、VirusTotalの脅威情報をまとめて使える、Googleの脅威インテリジェンス製品です。それまで別々に販売されていた VirusTotal Enterprise と Mandiant Advantage を1つにした製品として、2024年5月に発表されました。

不審なファイルやURLの調査、自社を狙う攻撃者や攻撃キャンペーンの把握、先に対応すべき脆弱性の見極め、ダークウェブなどでの情報漏えいの監視を、1つの画面で行えます。また、調べたいことをAIエージェントに頼むこともできます。

Google Threat Intelligence の特長

Google Threat Intelligence には、次のような特長があります。

主な活用場面

Google Threat Intelligence は、次のような場面で活用できます。

詳細が気になる方は、以下よりご相談いただけます。

ライセンス一覧

Google Threat Intelligence は、以下の3種類のプランが提供されます。

プラン別の機能比較

各ライセンスの機能概要は以下の通りです。最新情報にアップデートするよう心がけていますが、予告なく変更になる可能性がございます。最新の詳細情報はこちらでご確認ください。

料金は年間の定額で、プランごとにAPIの呼び出し回数の上限が決まっています（上限はアドオンで追加できます）。価格はお問い合わせください。

1. ※1 API上限などは、オプションにより増やすことが可能です。
2. ※2 Geminiを利用した検索（Enterprise以上で可能）は、1回につき検索4回分を消費します。
3. ※3 Standardでは、一部の関連分析・可視化機能（アトリビューション、タイムライン、グラフ表示など）は使えません。

なお、2025年12月に一部機能の上限引き上げがありました。

詳細記事Google Threat Intelligence 一部機能の上限を引き上げStandardでハンティング機能が使えるようになった2025年12月の変更と、2026年3月の脆弱性インテリジェンスの追加を、変更前と変更後の比較表でまとめています。

VirusTotalとの機能比較

VirusTotal（Basic／Professional）と Google Threat Intelligence のStandardの機能を比べると、次のとおりです。

商用利用について

上の3つのプランは、自社のセキュリティ運用のためのものです。お客様向けのサービス提供など商用で使う場合は、商用利用専用のプラン（GTI Integration SKUs）の契約が必要です。商用利用のプランの種類と、プランごとの機能・上限、守る必要のある条件は、以下の記事で紹介しています。

詳細記事Google Threat Intelligence（商用利用プランの機能と条件）商用利用のプラン（GTI-INT-Core・Advanced・Custom）の違いと、プラン別の機能・上限、顧客の画面に表示できる情報、規約で守ることをまとめています。

ライセンス内容についてさらに知りたい方は、お気軽にご相談ください。

主な機能

Google Threat Intelligence の主な機能を紹介します。

IoCの検索と危険度の評価

社内のログやアラートに見慣れない通信先やファイルが出てきた際、そのIoCを検索することで、本当に危険なのか、どんな攻撃に関係しているのかを確かめることができます。また、ハッシュ値やドメインをそのまま入力して検索できるほか、検索条件を組み合わせて、目的のIoCを絞り込むこともできます。

画面上部の検索ボックスには、ハッシュ値（MD5、SHA-1、SHA-256）、URL、ドメイン、IPアドレスのほか、マルウェアや脅威アクターの名前、CVE番号などのキーワードも入れられます。ハッシュ値は、種類が混ざっていても、まとめて貼り付けて検索できます。キーワードで検索すると、関係する脅威アクターやマルウェア、IoC、レポート、脆弱性などがタブに分かれて表示されます（Enterprise以上では、Geminiによる要約も表示されます）。

「lockbit」で検索した例。Geminiによる要約と、関係する脅威、IoC、レポート、脆弱性などのタブが表示されます

検索条件を組み合わせて、最近見つかったランサムウェアを検索した例

ファイルの中身に含まれる文字列やバイト列で探すこともできます（Content search）。圧縮を展開したあとのファイルや、パッカーを外したあとの実行ファイル、Officeファイルのマクロ（VBA）のコードも対象になります。

さかのぼって検索できる期間は、探し方とプランによって異なります。ファイルの種類や初めて見つかった日などの条件で探す場合は、Enterprise以上では全期間、ファイルの中身で探す場合は、Enterprise以上では過去12か月です。Standardは、どちらも過去3か月です。

URLを調べると、実際のブラウザでページを開いたときの画面、ページの構造（DOM）、読み込んだ通信、使われている技術などが記録され、過去にスキャンした時点の状態と見比べられます。AIが、そのページがどのブランドになりすましているかも判定します（URL Scanning 2.0）。レスポンスヘッダーや外部からの読み込み先などを手がかりに、同じ特徴を持つURLを探すこともできます。

IPアドレスについては、インターネット上のIPv4アドレス全体を毎日スキャンした結果から、開いているポートや動いているサービスを確かめられます（Internet Scanning）。ポートやサービスを条件に、IPアドレスを検索することもできます（例：entity:ip open_port:3389）。

検索結果では、たとえば次のような情報を確認できます。

• GTIスコア
  危険度を0〜100で示した点数（GTI Threat Score）と、その点数になった理由
• アトリビューション（Enterprise以上）
  そのIoCに関係する脅威アクターやマルウェア、攻撃キャンペーン
• Google Insights（Enterprise以上）
  Googleの観測データから見た、そのIoCが過去1年に世界のどれだけの組織で、どの業種で観測されたか
• セキュリティベンダー各社の検知結果
• サンドボックス（外部から切り離した安全な環境）でファイルを動かしたときの挙動。MITRE ATT&CK（攻撃の手口を整理した世界共通の枠組み）に沿って整理されます。
• 関係するIoC（それぞれの検知数付き）や、検知に使えるYARAルール、Sigmaルール、IDSルール

また、ファイルによっては、AIがプログラムやスクリプトの動作を自然な文章で説明する Code Insight の結果も表示されます。専門知識がなくても、そのファイルが何をしようとしているのかを把握しやすくなります。

Google Threat Intelligence では、コード解析結果や関連する脅威情報など、さまざまな情報をもとにIoCの危険性を総合的に評価し、GTIスコアとして表示します。

ファイルに関係するマルウェア（XENORAT）や脅威アクター（APT43）が表示された例

検索やダウンロードの回数、さかのぼって検索できる期間はプランによって異なります。詳しくは「プラン別の機能比較」をご覧ください。

詳細記事Google Threat Intelligence GTIスコアとはスコアを決めるVerdictとSeverityの種類、VirusTotalの検知数だけで判断する場合との違い、Splunkと連携してアラートの優先度付けに使う方法を紹介しています。関連記事VirusTotalの「Code Insight」と「Crowdsourced AI」AIがスクリプトやマクロの動作を自然言語で説明する Code Insight と、ほかのAIモデルによる解析を含む Crowdsourced AI の違い、検索での使い方を紹介しています（2024年4月時点の記事）。

脅威ハンティング

脅威ハンティングとは、セキュリティ製品では検知できていない攻撃の痕跡を、自分たちで探し出す活動のことです。

Google Threat Intelligence では、YARAルールを使ってハンティングを行います。YARAルールとは、マルウェアに含まれる特徴的な文字列やパターンを条件として書いたもので、条件に合うファイルを自動で見つけ出すために、セキュリティの現場で広く使われています。ハンティングの機能には、これから届くファイルを見張るLivehuntと、過去に届いたファイルをさかのぼって調べるRetrohuntの2つがあります。

Livehunt
Google Threat Intelligence に届くファイルにYARAルールを常に当てはめ、一致したものを通知します。ファイルが投稿されたときだけでなく、再解析されたときも照合します。ファイルのほか、URL、ドメイン、IPアドレスを対象にしたルールも作れます。文字列やバイト列だけでなく、検知結果、ファイルの種類、サンドボックスでの挙動などの情報も条件に使えます。

Livehuntのルールセットの編集画面。左側のひな形からルールを書き始められます。右側の設定で、1日の通知の上限と通知先のメールアドレスを指定できるほか、「Run as Retrohunt」から同じルールで過去のファイルも調べられます

Retrohunt
過去に Google Threat Intelligence に送られたファイルを、YARAルールでさかのぼって調べます。調べる期間は、直近の30日、90日などから選べます。誤検知がないかを確かめるために、無害なファイルの集まりに対してルールを試すこともでき、こちらは短い時間で終わります。ジョブが終わったら、メールで知らせることもできます。

Retrohuntの結果の例。ルールに一致したファイルが、GTIスコア、検知数、初めて・最後に見つかった日時とともに一覧で表示されます

IoC Stream
IoC Stream には、LivehuntとRetrohuntで見つかったIoCのほか、フォローした脅威アクター・攻撃キャンペーンや Threat Profiles に関係する新しいIoCがまとめて届きます。GTIスコアや検知数を見ながら絞り込み、選んだIoCをDiffや Threat Graph に送ることができます。

Livehuntのルールに一致したファイルが IoC Stream に届いた例。GTIスコア、検知数、一致したルールセットが一覧で表示されます

Diff
同じマルウェアファミリーや攻撃キャンペーンのファイルなど、複数のファイルに共通するバイト列を自動で取り出し、YARAルールづくりを助けます。Google Threat Intelligence の全データでの出現の頻度を見て、無害なファイルにもよく出てくるパターンは外します。検索結果や IoC Stream で選んだファイルからも、ハッシュ値の一覧を貼り付けても始められ、通常は1分以内に結果が出ます。取り出したパターンは、そのままLivehuntのルールやRetrohuntのジョブに使えます。

Diffの結果の例。取り出したバイト列のパターンが、一致したファイルの数とともに一覧で表示されます

見つかったIoCどうしの関係は、Threat Graph で図にして確認できます。

登録できるルールの数や、さかのぼれる期間はプランによって異なります。詳しくは「プラン別の機能比較」をご覧ください。

カテゴリ別の脅威リスト

Categorized Threat Lists は、Google Threat Intelligence が脅威の種類ごとに分類したIoCのリストを、APIでまとめて取得できる機能です。取得したリストをファイアウォールやSIEMに取り込むことで、危険なファイルや通信先の検知・遮断に役立てられます。

取得できる分類は次のとおりで、プランによって使える分類が異なります。詳しくは「プラン別の機能比較」をご覧ください。

リストは1時間ごとに作られます。1回のリクエストで最大4,000件を、JSON、CSV、STIX、STIX-Sentinel、MISPの形式で取得でき、GTIスコアや検知数で絞り込むこともできます。

「日次トレンド」のリストを、GTIスコア10以上かつ検知数10件以上に絞って取得した例

AIによる調査

Agenticは、Google Threat Intelligence のデータをもとに答えるAIエージェントです。チャットで質問すると、関係する攻撃者やマルウェア、脆弱性の情報を集めて、出典付きの回答やレポートにまとめます。また、調査結果に対して追加の質問を行いながら、関連する脅威情報を深掘りすることも可能です。

Agenticに、日本の製造業を狙う攻撃グループについて質問した例（画像をクリックすると全体を表示できます）

また、画面上部の検索ボックスに日本語などの自然な文章で質問すると、Geminiが関係するレポートや攻撃者の情報から要点をまとめて表示します。

「CVE-2025-31324とは？」と日本語で検索した例。脆弱性の概要や影響範囲、悪用状況、リスクの高さを日本語で確認できます

これらのAI機能はプランによって使えない場合があります。詳しくは「プラン別の機能比較」をご覧ください。

Agenticについて詳しくは、以下の記事をご覧ください。

詳細記事Google Threat IntelligenceのAIアシスタント機能「Agentic」の紹介Agenticの3つの特徴と、実際の脅威調査での出力例を紹介しています。使えるプランや、回数の上限を消費するかどうかもまとめました。

脅威アクター・攻撃キャンペーンの情報とレポート

攻撃を行う個人や集団を「脅威アクター」、特定の目的のもとで一定期間続けられる一連の攻撃を「攻撃キャンペーン」と呼びます。

Google Threat Intelligence では、Mandiantのアナリストが分析した脅威アクターや攻撃キャンペーン、マルウェアの情報を確認できます。

攻撃キャンペーンの情報には、Mandiantのマネージドサービスの調査で見つかった、1つの組織だけを狙った攻撃も含まれます。見つかってから24時間以内に、被害を受けた組織を伏せたうえで公開されます（Single Target Operations）。

業種に「Government」、地域に「Japan」を登録した Threat Profiles の例

複数の脅威アクターやマルウェアを選んで、使っている手口を MITRE ATT&CK の表に重ねて比べることもできます（TTP Analysis）。選んだ攻撃者のうち、いくつがその手口を使っているかが色の濃さで示されるため、自社の検知で手当てできていない手口を洗い出し、対策の優先順位を決めるのに使えます。結果はCSVやJSONで書き出せます。

レポートの例。冒頭にGeminiによる要約が表示されます（機械翻訳で日本語にしています）

これらの機能はプランによって使えない場合があります。詳しくは「プラン別の機能比較」をご覧ください。

脆弱性の評価と優先順位付け

脆弱性は次々に公開されるため、どれから対応するかを決める必要があります。ただ、深刻度の共通の指標であるCVSSの値だけでは、その脆弱性が実際に攻撃に使われているかまでは分かりません。

Google Threat Intelligence では、10万件を超える脆弱性について、独自の評価をもとに対応の優先度を示します（Vulnerability Intelligence）。優先度は、次の3つを組み合わせて、P0〜P4の5段階で表されます。

あわせて、影響を受ける製品やベンダーの修正情報も確認できるため、対応の優先順位を付けやすくなります。

「CVE-2024-3400」の脆弱性情報を確認した画面（Enterpriseの画面例。機械翻訳で日本語にしています）

2026年3月からStandardでも使えるようになりましたが、使える範囲はプランによって異なります。詳しくは「プラン別の機能比較」をご覧ください。

外部の脅威の監視（Digital Threat Monitoring）

Digital Threat Monitoring は、通常のWebサイトから、ダークウェブ（通常の検索エンジンでは見つからず、専用のソフトでしかアクセスできないWebサイト群）までを継続して監視し、次のようなものが見つかるとアラートとして確認できます。

漏えいした認証情報のアラートの例（一部の情報は伏せています）

監視できる範囲はプランによって異なります。詳しくは「プラン別の機能比較」をご覧ください。

ファイル・URLの非公開解析

Private Scanning は、社内で見つかった不審なファイルやURLを、外部に公開せずに解析できる機能です。

投稿は、左のメニューの Private Scanning から行います。ファイルかURLを選び、「Configure Scan」で、サンドボックスで実際に動かすか、インターネットにつなぐか、暗号化された通信（HTTPS）の中身を記録するか、解析中のサンドボックスを画面から操作するか（Live Interaction）などを選べます。

Private Scanning の投稿の画面。ファイルとURLのどちらも送れ、「Configure Scan」で解析の設定を選びます

Private Scanning では、次のような解析ができます。

• サンドボックスでファイルを実際に動かし、どんな動きをするかを確認
• ファイルがどこと通信しようとするかの確認
• マルウェアに埋め込まれた設定情報の取り出し
• Code Insight による、プログラムやスクリプトの動作の解説
• 公開されているYARA・Sigma・IDSのルールや、自社のLivehuntのルールとの照合

なお、Private Scanning の結果には、ウイルス対策製品各社の検知結果は含まれません。

7-Zipの実行ファイルを Private Scanning で解析した例。解析に使った設定（サンドボックス、インターネット接続、HTTPSの通信の記録、Live Interaction）と、一致したSigma・IDSのルールが表示されます

使える回数はプランによって異なります（Standardはアドオンで追加できます）。詳しくは「プラン別の機能比較」をご覧ください。

API連携

Google Threat Intelligence はAPIを提供しており、IoCの照会やハンティング、監視のアラートの取得などを、画面からだけでなくAPIからも行えます。

SIEM（各種ログを集めて分析する製品）などと連携すると、上がってきたアラートに、GTIスコアをはじめとする Google Threat Intelligence の脅威情報が自動で付け加えられます。どのアラートから確認すべきか、判断しやすくなります。

主なSIEMやSOAR（対応の手順を自動化する製品）向けには、連携用のアプリやコネクタが用意されているので、自社でプログラムを開発しなくても連携できます。

連携用のアプリやコネクタが用意されている主な製品は、次のとおりです。

ほかの連携先は、メーカーの連携先の一覧でご確認いただけます。

また、ブラウザ拡張機能を入れると、閲覧中のWebページに出てくるIoCを見つけて、その評価をその場で表示できます。

APIのリクエスト数の上限はプランによって異なります。詳しくは「プラン別の機能比較」をご覧ください。

導入のご相談は、下記よりお気軽にお問い合わせください。

FAQ