TAEC を使ったアトリビューションの進め方

仕様 2.1 分析の範囲

TAEF の問いは、どの分析でも同じであり、分析者は選ばない。帰属する攻撃を誰がやったかを、関連と特定の二軸で問う（1 章、3 章）。関連は、比べる相手ごとに、同じ運用主体か（L3）までの細かさで、何が同じかを問う（3.1、3.2）。特定は、素性（location、language、interest）、身元、指示主体のすべてを問う（3.4〜3.6）。答えの出なかったものも、答えられなかったこととして理由とともに書く（7 章）。問いを分析ごとに選ばないのは、問いから外したものは答えられなかったことにも残らず、答えにくいものを初めから外しても、後から気づけないためである。答えの形が分析ごとに変わると、同じ物差しで測った結果として比べることもできなくなる（1.1）。答えをどこに使うか（検知、通知、公表）は、TAEF では決めない（1 章）。

分析者は、分析を始める前に、分析の範囲を決める。どの資料を使うかは結論を左右するので、使わなかった資料も含めて残し、後から検証できるようにする。

1. 問いの一部を、分析ごとに外さない。調べられないことや、調べないと決めたことは、前提と制約に書く。答えられなかったこと（7 章）には、調べられないことは材料なし、調べないと決めたことは調べていない、として書く。
2. 比べる相手は、探した範囲で見つかった活動とモデルのすべてとする。指示主体の公式見解（3.6）を記録したときは、公式見解が対象にした活動も比べる相手に入れる。見つからなければ「なし」とする。転載などで比べないものは、使わなかった資料として理由を書く。
3. 既知の攻撃グループの名前を、答えの正解として扱わない。名前から探すときは、その名前で各社が指している個々の活動を比べる相手にし、名前は外部の呼び名（6.9）として扱う。
4. 範囲を変えるときは、理由を書き、版を改める（8 章）。結論を見てから、都合のよい資料だけに範囲を狭めない。
5. 使わなかった資料に、使った資料と食い違う観測があるときは、使わなかった理由にかかわらず書き留める。

仕様 4.2 規則

1. reported の記録を observed に書き換えない。自分で確かめたら、新しい記録を作る。
2. 一つの観測を複数のエビデンス型に登録するときは、すべてを同じ依存グループに入れる。
3. 独立性は、収集元、被害環境、センサー、因果の系列で判断する。URL、発行元、記録の件数では判断しない。独立性を数える単位は、value の記録では調査、classification の記録では調査元とする。分類の誤りは、同じ調査元の調査をまたいで同じように起きるためである。ただし、同じ依存グループの記録は、調査や調査元が違っても一つと数える。同じ検体を別々に解析しても、検体の取り違えや植え付けられた痕跡は、どの解析にも同じように及ぶためである。
4. 重みと特定の段階は、記録を作るときに、その記録の中身から付ける（5 章）。比べる相手を見てから変えない。
5. observed_absent とするのは、観測の機会と検出の能力がどちらも十分だった場合に限る。
6. 帰属や類似についての第三者の評価は、エビデンス記録にしない。4.4 の第三者の判断として記録する。
7. 当てはまる TAEC のエビデンス型がないときは、最も近い型で記録し、型の候補として書き留める。記録が、型に付いていない帰属対象に届くと考えたときも、帰属対象の候補として書き留める。候補はカタログに戻し、型や帰属対象を追加するかを決める。
8. classification を reported の記録にするのは、分類した検体の識別子（ハッシュなど）が示され、他者が分類を確かめられる場合に限る。識別子が示されていなければ、4.4 の第三者の判断として記録する。
9. 名義（氏名、組織名、支払い元、証明書の発行先など）を示した身元として記録するときは、実在の個人や組織のものと確かめたかと、確かめた方法（事業者の本人確認、司法文書、通信事業者の記録など）を書き留める。確かめていない名義は、身元の答えには使わない（3.5）。身元の情報は、分析に要る範囲だけを記録する。
10. 推した素性の読んだ値は、観測ではなく、分析者の読みである。観測には読む前の値（時刻、文字列、接続元の事業者など）を書き、読んだ値と仮定は推した素性に書く。誰の素性かを観測から決められないときは「不明」とし、推測で役割を当てない。
11. 読んだ値は、観測が支える細かさにとどめる。たとえば、時刻の分布から読めるのは時間帯までで、国までは読めない。同じ時間帯に複数の国や地域があるためである。
12. assumed の記録は観測ではないので、比較の結果と、特定の段階と独立した収集元の数には使わない。分析の前提として、分析の範囲の前提と制約（2.1）に書く。

仕様 4.3 カタログの記述と観測の区別

TAEC の記述は、エビデンス型の一般的な説明であり、ケースの観測ではない。そのため、次の値はケースの記録へ移さない。

仕様 4.4 第三者の判断

公開レポートや政府機関の発表には、観測と並んで、帰属や類似についての評価が書かれている。「この活動は APT10 によるものとみられる」「二つのマルウェアの作法は似ている」のような記述である。第三者の判断は、こうした評価を、観測とは分けて記録するものである。

第三者の判断には、誰が、いつ、関連と特定のどれについて何を判断したか、確信度をどう表現したか、示した根拠と参照先、その根拠を確かめたかを書き留める。何を判断したかは、関連と特定のどれについてかと、その中身（関連なら帰属対象や同じとした活動、特定なら値）で書く。「同じグループによる」は関連、「中国系」は素性、起訴状が名指す個人や企業は身元、政府の公式な帰属は指示主体についての判断である。

1. 第三者の判断は、エビデンス記録にせず、比較の結果にも、特定の段階と独立した収集元の数にも使わない。
2. 第三者の判断は、根拠になった観測を探す手がかりに使う。根拠の観測が他者の確かめられる形で書かれていれば、それを reported のエビデンス記録にする。
3. 複数の第三者の判断が一致しても、独立した収集元の数には入れない。数えるのは、根拠の観測をエビデンス記録にしたものだけで、その収集元が互いに独立している場合に限る。
4. 政府機関などの公式見解は、第三者の判断として記録する。指示主体は、この記録だけで答える（3.6）。

仕様 5 重みと特定の段階

重みは、比較で使う、エビデンス記録のつなぐ効き方の強さである。重みは記録ごとに、その記録が届く帰属対象ごとに、一致したときと食い違ったときの二つを付ける。記録を作るときに付けるので、重みは比べる前に決まり、記録とともに活動モデルに残る。示した身元には重みを付けず、推した素性には、関連を調べるために比べるときの帰属対象（3.4）についてだけ重みを付ける。特定する効き方の強さは、重みとは別に、特定の段階として推した素性と示した身元に付ける（5.6）。

重みは記録ごとに、記録された中身を見て決める。同じエビデンス型、同じ観測項目でも、中身によって偽装のしやすさや共有されやすさが変わるためである。たとえば PDB パスでも、固有のユーザー名やプロジェクト名が残るものと、汎用的なフォルダー名だけのものとでは、一致したときの意味が違う。TAEF は重みの値を定めず、決め方と記録の仕方を定める。TAEC も重みを持たない。

記録の中身から読み取れること（固有の名前が残るか、公開されているツールの既定のままか、など）は重みに使う。一方、その値がほかでどれだけ見つかるかを調べた珍しさは、重みに使わない。値が珍しいと言うには、調べた範囲を示さなければならず、記録のたびにその調査を求めるのは負担が大きいためである。ありふれた値の一致を重く数えると、測った結果は実際より強く出る。そのため、記録の中身からありふれていると分かる値（公開されている攻撃フレームワークの既定のままの書式、多くのマルウェアに共通の接続確認の宛先など）は、一致したときの重みを下げる（5.4）。

仕様 5.1 判断の材料

記録の重みは、記録された中身について、次の三つを見て決める。

• 偽装の手間：他者がその特徴を真似したり、植え付けたりする手間。低いほど偽装しやすい。
• 共有されやすさ：その特徴が他の主体と共有されやすいか。市販のツール、流出したビルダー、共有ホスティング、公開されている手順書などで高くなる。
• 変えやすさ：本人がその特徴を変える手間。TAEC の cost_to_change が、型としての目安になる。

偽装の手間と共有されやすさは、一致したときの重みに効き、変えやすさは、食い違ったときの重みに効く²。TAEC の spoofability は真偽値で、今はすべての型が true である。これでは型や記録の違いを表せないので、TAEF は記録の中身から偽装の手間を見る。

仕様 5.2 記録の重み

エビデンス記録には、その記録が届く帰属対象ごとに、次を書き留める。

• 一致したときの重み：strong、medium、weak のいずれか
• 食い違ったときの重み：strong、medium、weak、not_used のいずれか
• 理由：記録の中身について、偽装の手間、共有されやすさ、変えやすさをどう見たか

届く帰属対象は、TAEC がその型に付けた帰属対象（5.3 の読み替えの後）のうち、その観測が届くものである。TAEC の観測事例に付いた帰属対象と特定（3.2、3.4）は、届くかを判断するときの参考にする。観測の中身から届かないと分かる帰属対象は、外す。たとえば、公開されている攻撃フレームワークの既定のままの C2 通信の書式は、same-developer には届かない。推した素性（4.1）を持つ記録は、誰の素性かに応じて、比べたときに入る帰属対象（3.4）にも重みを付ける。誰の素性かが「不明」の素性には付けない。それ以外に、TAEC がその型に付けていない帰属対象は足さない。足すべきだと考えたときは、4.2 の規則 7 のとおり、帰属対象の候補として書き留める。same-artifact だけに届く記録には、重みを付けない（6.4）。たとえば、公開されている正規のツールと同じハッシュのファイルは、同じファイルであることしか示さず、same-tool-lineage には届かない。same-artifact の一致は、比較の結果に記録するが、関連の型の読み取りには使わない。示した身元には、重みを付けない（3.5）。

同じ記録でも、帰属対象によって重みは変わる。たとえば PDB パスは、ツールの系譜には強く効く一方で、開発者が同じかどうかには、それより弱く効くことがある。

仕様 5.3 帰属対象の読み替え

TAEC の型単位の帰属対象は、2026-11-01 までに、すべての型で、観測事例が届いた帰属対象をもとに 3.2 の語彙へ付け直した。観測事例の帰属対象も 3.2 の語彙で付けているので、今の TAEC を読むときは、読み替えは要らない。付け直しの前の TAEC を読むときは、型の旧い値を次のように読み替えて、記録が届く帰属対象を決める。

same-artifact しか残らない型には、重みを付けない。その一致は、比較の結果に記録するが、関連の型の読み取りには使わない（6.4）。型単位の帰属対象が空の型（素性だけを推す型など）は、型ごとの特徴では比べず、推した素性があればそれだけで比べる（6.4）。

仕様 5.4 重みの決め方

重みは人が決め、理由を記録する。計算式では決めない。同じ型でも、記録の中身によって偽装の手間や共有されやすさが変わり、型ごとの値からは決められないためである。

出発点には、TAEC の型の性質を使う。一致したときの重みは、型の説明とアンチアトリビューションから、その型の典型的な観測が偽装や共有でどれだけ起こりうるかを見て置く。食い違ったときの重みには、TAEC の cost_to_change から初期値を入れる。

そのうえで、記録の中身がその型の典型と違えば、上げ下げする。たとえば、PDB パスに固有のユーザー名やプロジェクト名が残っていれば、一致したときの重みを上げる。C2 通信の書式が、公開されている攻撃フレームワークの既定のままなら、一致したときの重みを下げる。IP アドレスが匿名化 VPN の出口だと分かっていれば、same-infrastructure の一致したときの重みを下げる。

段階に迷ったときは、5.2 の効き方から決める。一致したときの重みは、「この一致だけで、その帰属対象を同じと読んでよいか」で、medium 以上か weak かを決める。そのうえで、偽装も共有もしにくいものを strong にする。食い違ったときの重みは、「この食い違いを、その帰属対象が別である材料として数えるか」で、weak 以上か not_used かを決める。

² cost_to_change は、攻撃者が自分の特徴を変える手間を表し、Pyramid of Pain↗ と同じ考え方に立つ。偽装の手間は、他者がその特徴を真似る手間を表す。二つは連動することが多いが、ずれる場合がある。自分のファイルのハッシュは 1 バイト変えるだけで変わる一方、他者のファイルと同じハッシュは作れない。そのため TAEF は二つを別々に扱い、変えやすさを食い違いの重みに、偽装の手間を一致の重みに使う。 ↩

仕様 5.5 記録への付け方

1. 重みは記録を作るときに付け、理由を書き留める。理由には、その記録の中身をどう見たかを書く。ほかのモデルの記録と同じかどうかは、理由にしない。
2. 記録の重みは、比べる相手や比較の結果を見てから変えない。見直すときは記録の版を改め（8 章）、その記録を使った比較をやり直す。
3. classification の記録は、分類の基準（コードの比較、YARA ルールなど）が示されていなければ、一致したときの重みを一段下げる。名前が同じでも、同じ基準で分類したとは限らず、後から報告する調査元は先に報告した調査元の名前を採ることが多いためである。
4. 同じ分析の中で、同じ型の似た中身の記録には、同じ段階を付けることを推奨する。段階を変えるときは、中身の違いを理由に書く。
5. 推した素性のうち location と language は、一致したときの重みを weak までにする。同じ時間帯や言語の主体は多く、素性が合っても、同じ主体だとは言えないためである。食い違ったときの重みは、ほかの記録と同じく記録の中身から決める。interest の一致には上限を置かない。標的や求める情報は、主体ごとに違いが出やすいためである。これは関連を調べるときの重みであり、素性を推す強さ（特定の段階、5.6）を下げるものではない。

重みを一段下げるとは、strong を medium、medium を weak にし、weak は数えないことをいう。

仕様 5.6 特定の段階

特定の段階は、推した素性と示した身元（4.1）が、その値をどれだけ強く推すかの段階である。重みが一致したときと食い違ったときの二つを持つのに対して、特定の段階は一つである。特定には、比べる相手がないためである。重みと同じく、記録を作るときに、記録の中身から付ける。

段階は、5.1 の三つの材料を、特定に当てはめて決める。

• 偽装の手間：他者がその値を植え付けたり、なりすましたりする手間。低いほど、意図して偽った値でありうる。
• 共有されやすさ：その値が、別の者のものでありうるか。ツールを作った請負業者、インフラの貸し手、VPN の出口、名義の貸し手などのものでありうるほど高い。
• 変えやすさ：本人がその値を簡単に変えられるか。変えやすい値は、本人の性質ではなく、そのときの選択や設定にすぎないことがある。TAEC の cost_to_change が、型としての目安になる。

1. 特定の段階は、推した素性と示した身元ごとに付け、理由を書き留める。理由には、三つの材料について記録の中身をどう見たかを書く。
2. 出発点には、5.4 と同じく、TAEC の型の説明とアンチアトリビューションを使う。そのうえで、記録の中身がその型の典型と違えば上げ下げする。たとえば、数か月分の作業時刻の分布は、一日分の時刻より偽装の手間が高い。
3. 段階は、ほかのモデルの答えや第三者の判断を見てから変えない。見直すときは記録の版を改める（8 章）。
4. 示した身元に段階を付けるのは、名義を実在と確かめた記録だけである（3.5、4.2 の規則 9）。事業者の契約や支払いの記録のように、名義と活動を直接結び付ける方法で確かめたものほど、偽装の手間は高く、共有されやすさは低い。
5. 特定の段階は、関連の重みとは別に付ける。同じ記録でも、所在を推すときには strong になりうる一方、関連を調べるときの location の一致の重みは weak までである（5.5 の規則 5）。
6. 指示主体には段階を付けない。権限のある機関の公式見解を、その表現のまま記録する（3.6）。

仕様 6.1 活動モデル

活動モデルは、L2 の活動のまとまりを、期間を区切って表したものである。モデルは、そこに含まれるエビデンス記録の集まりとして表す。名前には中立な ID（例：UTA-2026-0042）を使う。既知の攻撃者名や作戦名は、ID にはせず、外部の呼び名（6.9）として書き留める。

活動モデルを人に示すときは、含まれるエビデンス記録を、役割（3.3）ごとにまとめて示すことを推奨する。どの役割の痕跡がどれだけあり、どの役割の痕跡がないかが、一目で分かるためである。複数の役割にかかる記録は、それぞれの役割に載せる。役割を持たない記録（same-artifact だけに届く記録）は、別にまとめる。

統合を重ねて育った活動モデルを、TAEF ではキャンペーンと呼ぶ。キャンペーンは個々のエビデンスの帰属対象ではなく、活動モデルの呼び名である。

L3 の運用主体は、活動モデルを束ねた主体モデル（6.8）として表す。どのモデルを束ねるかは、比較を読んだ関連の型で決める（6.6、6.8）。

仕様 6.2 種の作り方

活動モデルは、L2 の範囲を最初に決めて作るのではない。確実に一つの活動と言える最小のまとまり（種）から始め、統合と分割で育てる。L2 の範囲は分析の前提ではなく、この繰り返しの結果として決まる。こうすると、L2 のモデルを比べる前に L2 を決めておかなければならない、という順序の問題が生じない。

種にするのは次のまとまりである。

• 一つの被害環境での一回の侵入で、侵入から横展開までが因果でつながっている観測
• 同じファイルやデータ（same-artifact）でつながる観測

公開レポートは、扱う範囲の大きさによって扱いを分ける。

キャンペーン規模のレポートを分けずに一つの種にするのは、被害組織ごとの詳細が書かれていないことが多く、分けたくても分けられないためである。まとめ方を第三者の判断として記録しておけば、後で矛盾が見つかったときに分割できる。

同じ活動を報じた複数のレポートは、元の観測が同じことが多い（転載、共有された検体など）。収集元と依存グループをたどり、レポートの数だけ独立した種として数えない。

仕様 6.4 比較の結果

比較は、二つの活動モデルについて、同じエビデンス型の記録どうしで行う。型が違えば、観測の中身も重みの付け方も違い、一致したかどうかを決められないためである。主体モデルと比べるときは、束ねた活動モデルの一つひとつと比べ、結果を活動モデルごとに並べる。束ねた活動モデルの記録を寄せ集めて、一つのモデルとして比べない。寄せ集めると、期間の違う特徴を同じ重さで比べることになり（6.3 の規則 3）、6.5 の規則 3 と規則 6 も当てられないためである。

推した素性（4.1）は、これに加えて、エビデンス型をまたいで、素性の項目と誰の素性かが同じものどうしでも比べる。記録が、観測を同じ尺度の値（時間帯、言語、関心）に読み替えているので、型が違っても比べられるためである。読んだ値が両立すれば match、両立しなければ mismatch とし、誰の素性かに応じた帰属対象（3.4）の結果に入れる。たとえば、一方のモデルの作業時刻から読んだ UTC+8 と、もう一方のモデルの接続元の事業者から読んだ中国は、両立するので match とする。誰の素性かが「不明」の値は比べない。推した素性を持つ記録も、型ごとの特徴では、ほかの記録と同じく比べる。一つの記録から、型ごとの特徴と素性の両方で同じ帰属対象の結果が出たときは、同じ依存グループの結果なので、6.5 の規則 1 のとおり、重いほうを一つだけ数える。6.5 の規則 3 は、素性の比較には当てない。比べるのは観測から読んだ主体の性質で、再割り当てされる IP やドメインのような値そのものではないためである。location と language の一致の重みは、weak までに抑えてある（5.5 の規則 5）。比較は、帰属対象ごとに次のいずれかの結果を出す。

• match：両方のモデルに観測があり、特徴が同じである。一致したときの重みを添える。二つの記録で重みが違えば、低いほうを使う（6.5 の規則 4）。
• mismatch：両方のモデルに観測があり、特徴が違う。食い違ったときの重みを添える。二つの記録で重みが違えば、低いほうを使う（6.5 の規則 4）。重みが not_used のものは数えない。
• no_data：片方または両方のモデルに観測がない。

match と mismatch には、重みの段階ごとに、独立した収集元の数を添える。数は、その段階の結果を支える記録の収集元を、二つのモデルの側ごとに 4.2 の規則 3 の単位で数え、少ないほうとする。たとえば、strong の一致を一つの収集元の記録が、weak の一致を三つの収集元の記録が支えていれば、「一致 strong・1、weak・3」と書く。段階の違う結果を、一つの段階と数にまとめない。最も強い段階と、弱い段階を支える収集元の数を組にすると、強い一致を多くの収集元が支えているように読めてしまうためである。片側が一つの収集元の記録だけなら、数は 1 である。二つのモデルの側をそれぞれ別の調査元が報告していても、それだけでは 2 にしない。比較では両側に記録があるので、両側を足すと、どの比較の数も 2 以上になってしまうためである。

no_data を mismatch として扱わない。観測できなかったことは、違うことを意味しないためである。

no_data には理由を添える。片方のモデルでその型を調べていない場合は not_examined、両方で調べたが、片方か両方で観測がなかった場合は not_observed とし、活動モデルの調べた範囲（6.1）から判断する。どちらの理由でも、mismatch としては扱わない。not_examined は、どの観測を足せば比べられるかの手がかりになる。

身元と指示主体は比べない。身元は記録が示した実在の主体で答え（3.5）、指示主体は権限のある機関の公式見解で答える（3.6）。

same-artifact の一致があった場合は、結果に記録する。二つのモデルが本来一つの種だった可能性を検討する根拠になる。ただし、公開されているツールは異なる主体のあいだでも同じファイルが使われるので、それだけで統合はしない。

仕様 6.5 比較の規則

1. 同じ出所は一度だけ数える。 一つのモデルの中では、同じ依存グループの観測は、帰属対象ごとに、最も重い一致を一つと、最も重い食い違いを一つだけ数える。一つの検体から取ったハッシュ、PDB パス、ミューテックスを何件分にも数えないためである。一致と食い違いを別々に数えるのは、同じ検体でも、ある特徴は一致し、別の特徴は食い違うことがあり、それぞれ別の情報だからである。
2. 共有している収集元は比較に使わない。 二つのモデルが同じ収集元を共有している場合、その収集元から来た観測は比較に使わない。両方の活動を一本のレポートが扱っているとき、同じ材料どうしの一致を似ていると読んでしまうためである。
3. 入れ替えの早い特徴は、時期が近いときだけ数える。 cost_to_change が low の特徴の一致は、二つのモデルの期間が重なっているか近い場合だけ数える。何年も後に再割り当てされた IP やドメインを、同じ攻撃者のものと誤るのを防ぐためである。既定では、期間が重なるか、あいだが 90 日以内を「近い」とする。特徴の入れ替わりの速さに合わせて変えるときは、理由を書き留める。
4. 重みは両側の低いほうを使う。 二つの記録で重みが違うとき（中身の違いで段階が違う記録、classification の記録など）は、一致も食い違いも、低いほうの重みで数える。片方の観測が弱ければ、比べた結果もそれより強くはならないためである。
5. 偽装しやすい一致に頼る候補には印を付ける。 関連の候補が主に偽装の手間の低い特徴の一致に支えられている場合は、偽装の印を付け、関連の答え（7 章）に書く。偽装しやすい一致だけに支えられた関連だと、答えを読む人に分かるようにするためである。
6. 時期が大きく離れていれば、手口の食い違いを一段下げる。 二つのモデルの期間が大きく離れているときは、same-tradecraft の食い違いの重みを一段下げる。手口や配布の方法は、時期とともに変わるためである。既定では、あいだが 2 年以上を「大きく離れている」とする。変えるときは、理由を書き留める。
7. 名義の一致は、ほかの値と同じく数える。 名義（氏名、組織名、支払い元、証明書の発行先など）の値の一致は、実在と確かめたかどうかにかかわらず、その記録の帰属対象と重みで数える。偽名や盗まれた名義が別の主体でも使い回されることは、重みの理由（共有されやすさ、偽装の手間）で扱う。比較で数えないのは、二つのモデルの身元の答えが同じ実在の主体を示したこと（3.5）だけである。

出所の信頼性は、比較の規則に含めない。公開レポートから作るモデルでは観測の大半が reported になり、外すとほとんど比べられなくなるためである。記述の種類は記録に残し、答えを読む人が、自分で確かめた観測か第三者の報告かをたどれるようにする。

仕様 6.7 分析者の判断と CMP

帰属対象ごとの結果は、6.6 の四つの状態で読み、関連の型と理由を書き留める。6.5 の規則 3 と規則 6 の既定の幅や、6.6 の読み方で決まらないところは、分析者が判断し、理由を書き留める。手順が固まった後に、これらを機械で処理できるよう CMP を設計する。

仕様 6.6 関連の型

帰属対象ごとの結果の組み合わせを、次の関連の型として読む。当てはまる型がないときは other とし、理由を記録する。当てはまる型が複数あるときは、すべて書き留める。

一致と食い違いの両方があるときは、重いほうで読む。同じ重さのときは、どちらとも読まずに理由を書き留める。一致の下限を medium にするのは、weak の一致は多くの主体に共通しやすく、関連の型を決めるには弱すぎるためである。食い違いの下限を weak にするのは、食い違いの重みは cost_to_change によってすでに低めに抑えられており、下限を上げると食い違いがほとんど読めなくなるためである。

shared-infrastructure と overlapping-interest は、一致と書いた帰属対象だけが一致する場合である。tool-continuity は、tool-lineage と developer のどちらかが一致すれば当たる。shared-tooling、shared-developer、shared-tradecraft の operator を no_data でもよいとするのは、公開情報からは運用者の食い違いがほとんど得られず、食い違いを求めるとこれらの型を選べなくなるためである。

same-operator が一致（medium 以上）でないときは、same-actor を選ばない。公開情報では運用者を直接示す観測が得られないことが多く、ツールや手口の一致だけでは、ツールの共有と同じ運用主体を区別できないためである。

関連の型は、帰属対象ごとの結果の読み方であり、測った結果を強めも弱めもしない。関連の答え（7 章）には、関連の型とともに、帰属対象ごとの段階と数を書く。same-campaign は統合（6.3）の、same-actor は主体モデルへの束ね（6.8）の条件になる。

仕様 6.3 統合、分割、期間

1. 二つの活動モデルを統合（merge）するのは、比較を読んだ関連の型が same-campaign の場合に限る（6.6）。統合したら、統合したモデルで、ほかのモデルとの比較と特定を測り直す。
2. 記録が加わったり、版を改めたり、撤回されたりして（8 章）、統合の根拠にした比較を比べ直すと same-campaign と読めなくなったら、分割（split）する。
3. 長く続く活動は、期間で区切って別のモデルにする。期間を区切らずにまとめると、何年も前の特徴と今の特徴を同じ重さで比べてしまうためである。
4. 統合と分割は、操作、対象のモデル、根拠にした比較の結果と関連の型、理由を、活動モデルの履歴に書き留める。

仕様 7 関連と特定の書き方

1. 関連と特定は、段階と独立した収集元の数のまま書く。関連の型は、帰属対象ごとの結果の読み方（6.6）なので、関連の型だけを答えにせず、帰属対象ごとの段階と数とともに書く。
2. 関連の相手の素性と身元は、引き継がない。特定は、そのモデルの記録から測る。相手の素性と身元は相手のモデルの答えであり、このモデルの答えに混ぜると、どの記録に支えられた値かが分からなくなるためである。主体モデルに束ねた活動モデルでは、主体モデルの運用の素性と身元を、主体モデルの答えとして添える（6.8）。
3. 指示主体は、公式見解をそのまま書き、段階を付けない。モデルが、公式見解の対象にした活動を含むならそのことを、含まないなら対象にした活動との関連を測った結果を添える（3.6）。
4. 問い（2.1）のうち答えられなかったものは、すべて答えられなかったことに書く。答えられないことは、正常な結果である。
5. 比べる相手が見つからなかったことを、既知のどの主体とも別だという答えにしない。相手が、探した範囲の外にいることや、まだ報告されていないことがあるためである。
6. 記録が変わったときは、比べ直して答えを書き直し、版を改める（8 章）。
7. 測った結果は、帰属対象どうし、特定の値どうし、関連と特定のあいだで足し合わせず、一つの点数にしない。足し合わせると、共有されやすい弱い一致が多いだけで大きな値になり、食い違いや答えられなかったことが見えなくなるためである。
8. 特定の独立した収集元の数は、その値を支える記録と食い違う記録の収集元を、段階ごとに、4.2 の規則 3 の単位で数える。主体モデルでは、同じ収集元を一度だけ数える。

仕様 6.8 主体モデル

主体モデルは、L3 の運用主体を、束ねた活動モデルの集まりとして表したものである。主体モデルは、promote で作って活動モデルを加え、demote で活動モデルを外す。一つの主体モデルの下に、オペレーションやキャンペーンにあたる活動モデルが複数並ぶ。

主体モデルには、次を書き留める。

• 中立な ID（例：ACT-2026-0003）。活動モデルの ID とは別の形にする
• 束ねた活動モデルと、それぞれを束ねたときの根拠にした比較の結果（関連の型 same-actor）
• 期間（束ねた活動モデルの期間を合わせたもの）
• 外部の呼び名（6.9）
• 関連（7 章）。ほかのモデルと何が同じかを、束ねた活動モデルごとの比較を並べて書く（6.4）
• 特定（7 章）。束ねた活動モデルの特定を、どの活動モデルの答えかを添えて並べる。このうち運用の素性と身元は、束ねた活動モデルの運用者が同じと読めたので、主体モデルの答えとしてまとめ、段階と独立した収集元の数を数え直す（7 章の規則 8）。活動モデルのあいだで食い違うときは、そのまま残す。ほかの役割の素性と身元、interest、指示主体は、束ねただけでは主体モデルの答えにしない。same-actor が示すのは運用者が同じことだけで、ツールの開発者、インフラの提供者、指示を出す者は、活動ごとに違いうるためである
• 答えられなかったこと（7 章）
• 束ねた履歴と、外した履歴（promote、demote）

1. 主体モデルに束ねるのは、比較を読んだ関連の型が same-actor（same-operator が一致）の活動モデルだけである。すでにある主体モデルに加えるときは、束ねた活動モデルのどれかとの比較で same-actor と読め、どれとの比較でも different-actor と読めないことを求める。same-developer など、ほかの L3 の帰属対象の一致では束ねない。開発元が同じでも、運用主体は別でありうるためである（6.10）。コーパスの主体モデルに加えるときは、登録として行う（6.11 の規則 3）。
2. 一つの活動モデルを、同時に複数の主体モデルに束ねない。どちらに属するかを決められないときは、どちらにも束ねず、それぞれとの関連（6.1）を書き留める。
3. 主体モデルの特定も、活動モデルと同じく、段階と独立した収集元の数で書く（7 章）。外部の呼び名（6.9）や第三者の判断（4.4）から、身元や指示主体を書き込まない。指示主体は、束ねた活動モデルの答えを、どの活動モデルの答えかを添えて並べる（3.6）。
4. 束ねたときと外したときは、操作、対象のモデル、根拠にした比較の結果と関連の型、理由を、主体モデルの履歴に書き留める。束ねる根拠にした比較を比べ直して same-actor と読めなくなったら、外す（demote）。

別々の主体モデルを、共通の開発元、組織、指示主体でまとめるときは、主体のまとまり（6.10）を使う。

仕様 6.9 外部の呼び名

ベンダーや政府機関は、攻撃グループや作戦に独自の名前を付ける。TAEF では、こうした名前を外部の呼び名として、主体モデルや活動モデルに対応づけて書き留めることを推奨する。外部のレポートや、ほかの組織が持つ情報と照らし合わせやすくなるためである。

外部の呼び名には、次を書き留める。

• 呼び名
• その名前で呼んでいる発行元と、時期
• 発行元がその名前で指している範囲（どの活動を含めているか）。分かる場合
• 対応づけの根拠。第三者の判断（4.4）か、自分たちの比較の結果か

1. 外部の呼び名を、モデルの ID の代わりにしない。
2. 一つのモデルに、複数の呼び名を付けてよい。発行元ごとに指している範囲が違うときは、その違いを書き留める。
3. 呼び名を付けたことは、そのモデルが、その発行元の言う攻撃グループや作戦と同じだという答えにはならない。同じかは、発行元がその呼び名で指す活動を比べる相手にして（2.1 の規則 3）、関連を測る。
4. 表示や管理には呼び名を使ってよい。そのときも、どの発行元の呼び名かが分かるようにする。

仕様 6.10 主体のまとまり

ベンダーは、別々に活動するいくつかの攻撃グループを、一つの名前の下にまとめることがある。下位グループ、傘下のグループ、上位組織などと呼ばれる関係である。TAEF では、こうした関係を、主体モデルどうしの主体のまとまりとして表す。まとまりの中の主体モデルは、互いに別の運用主体である。同じ運用主体なら、まとまりにはせず、一つの主体モデルに束ねる。

主体のまとまりには、次を書き留める。

• 中立な ID（例：GRP-2026-0001）。活動モデルや主体モデルの ID とは別の形にする
• まとめた主体モデル
• まとめる関係（下の表のいずれか）と、その根拠
• 外部の呼び名（6.9）
• 加えた履歴と、外した履歴（group、ungroup）

1. 主体のまとまりに加えるのは、表の加える条件を満たした主体モデルだけである。加えたときと外したときは、操作、対象のモデル、根拠、理由を、まとまりの履歴に書き留める。条件を満たさなくなったら、外す（ungroup）。
2. 一つの主体モデルを、関係の違う複数のまとまりに加えてよい（例：開発元を共有するまとまりと、同じ組織のまとまり）。
3. まとまりの中の主体モデルどうしの比較が same-actor と読めたら、まとまりではなく一つの主体モデルに束ね直す。
4. 外部の呼び名が、まとまりを指すのか、その中の一つの主体を指すのかは、発行元ごとに違う。6.9 の規則 2 のとおり、発行元が指している範囲を書き留める。

仕様 6.11 ワーキングとコーパス

活動モデルと主体モデルは、置き場によって、ワーキングとコーパスに分けて管理する。ワーキングは、分析の中で作り、育てているモデルの置き場である。コーパスは、作った人以外の確認を経て登録したモデルの置き場であり、ほかの分析が比べる相手として繰り返し使う。ワーキングとコーパスは、モデルの種類ではない。どちらの置き場にも、活動モデルと主体モデルを置く。主体モデルとは束ねた活動モデルごとに比べる（6.4）ので、主体モデルをコーパスに登録するときは、束ねた活動モデルも登録する。主体のまとまり（6.10）をコーパスに登録する条件は、この版では決めていない（9 章）。

モデルをコーパスに登録するのは、次をすべて満たしたときである。

• 来歴。含まれるエビデンス記録のすべてに、記述の種類、収集元、依存グループがあり（4.1）、活動モデルに期間と調べた範囲がある（6.1）
• まとめ方。統合と束ねが、6.3 と 6.8 の条件を満たしている
• 確認。モデルを作った人以外が、来歴とまとめ方を確かめた

来歴を求めるのは、来歴が欠けていると、コーパスのモデルと比べるたびに、6.5 の規則 2、規則 3、規則 6 と、no_data の理由（6.4）を当てられないためである。コーパスに登録したことは、モデルの関連と特定を強めない。登録が示すのは、作った人以外が来歴とまとめ方を確かめたことだけである。コーパスのモデルと比べるときも、ワーキングのモデルと比べるときと同じく、帰属対象ごとの段階と独立した収集元の数で測る。

1. 登録するときは、コーパスの版を改め、登録したモデル、確かめた人、日付を書き留める。登録しても、モデルの ID は変えない。比較の結果や関連が、ID で相手のモデルを指しているためである。
2. コーパスのモデルを変えるのは、登録だけとする。コーパスのモデルの統合、分割、束ね、外すこと（merge、split、promote、demote）も、登録として行い、規則 1 のとおり版を改める。
3. 分析の中で、活動モデルがコーパスの主体モデルと same-actor と読めたときは、関連（7 章）を書くところまでにし、主体モデルへの束ねは登録として行う。登録が済むまでは、主体モデルの運用の素性と身元を、答えに添えない（7 章の規則 2）。確かめていない束ねがコーパスに入ると、コーパスにあることが、作った人以外が確かめたことを示さなくなるためである。
4. 分析の中で、コーパスのモデルの統合や束ねの根拠にした比較が、same-campaign や same-actor と読めなくなったときは（6.3 の規則 2、6.8 の規則 4）、そのことを書き留め、分割や外すことを、登録として申し出る。
5. コーパスのモデルと比べたときは、比べたコーパスの版を、比較の結果（6.4）に書き留める。コーパスの版が変わったら、変わったモデルと比べた比較をやり直し、答えを見直す（8 章の規則 3）。
6. コーパスに、既知の主体がすべてそろっているとは扱わない。コーパスのどのモデルとも関連が見つからないことを、既知のどの主体とも別だという答えにしない（7 章の規則 5）。

仕様 8 記録の版と撤回

1. エビデンス記録、活動モデル、主体モデル、比較の結果、答え、コーパス（6.11）は、上書きせずに版を重ねる。
2. 撤回するときは、理由を記録する。
3. 撤回された収集元やエビデンス記録に依存する記録は、影響を見直して新しい版を作る。その記録を使った比較はやり直す。見直さずに使い続けない。