| MITRE ATT&CKとは？フレームワークの読み方と活用方法 | |
|---|---|
| 作成日時 26/08/06 (09:01) | View 22 |
MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）とはv19現在、15の戦術と195の攻撃技術、178の脅威グループの行動パターンを体系化した攻撃者行動のナレッジベースです。
CISAや各国のCERTが公開するインシデントアドバイザリーでATT&CKの技術IDが標準的に引用されるようになり、情シスとSOCチームの共通言語として定着しています。
名前は知っていても、マトリクスの読み方や実際の防御設計への活用方法が曖昧なまま放置されているケースは、大企業の情シスでも珍しくありません。
本記事では、ATT&CKマトリクスの構造から、インシデント調査やSIEMとのDetection Engineering連携まで、実務に直結する活用手順を整理します。
MITRE ATT&CKとは、実際に観測されたサイバー攻撃をもとに攻撃者の行動を体系化した、非営利で公開されているナレッジベースです。
ATT&CKはAdversarial Tactics, Techniques, and Common Knowledgeの頭文字をとった名称で、攻撃者の戦術、技術、共通知識を意味します。MITREはアメリカの非営利研究機関で、米国国防総省や国家安全保障機関と連携してサイバーセキュリティ研究を担う機関です。
ATT&CKフレームワーク自体は2013年に内部プロジェクトとして発足し、2015年に一般公開されました。現在はEnterprise（Windows、Linux、macOS、クラウド）、Mobile、ICSの3種類のマトリクスが無償で提供されています。
ATT&CKマトリクスは横軸に戦術（Tactics）、縦軸にその戦術を達成するための技術（Techniques）を配置した表形式のナレッジベースです。最新のEnterprise v19では15の戦術が攻撃の時系列に沿って左から右へ並んでおり、左（偵察）から右（影響）へ進むほど侵害が深化する構造になっています。
|
# |
戦術（英語） |
意味 |
|
1 |
Reconnaissance |
標的の情報を収集する |
|
2 |
Resource Development |
攻撃インフラを準備する |
|
3 |
Initial Access |
標的ネットワークへの侵入口を確保する |
|
4 |
Execution |
悪意のあるコードを実行する |
|
5 |
Persistence |
侵害後もアクセスを維持する |
|
6 |
Privilege Escalation |
より高い権限を獲得する |
|
7 |
Stealth |
検出を回避する |
|
8 |
Defense Impairment |
防御機能を無効化する |
|
9 |
Credential Access |
認証情報を窃取する |
|
10 |
Discovery |
内部ネットワークの構成を把握する |
|
11 |
Lateral Movement |
他システムへ侵害を広げる |
|
12 |
Collection |
流出対象のデータを集める |
|
13 |
Command and Control |
外部から感染端末を操作する |
|
14 |
Exfiltration |
データを外部へ持ち出す |
|
15 |
Impact |
システムやデータを破壊・改ざんする |
各戦術の下には具体的な技術が紐づきます。
たとえばT1566（フィッシング）は初期アクセスの戦術に属し、添付ファイル経由（T1566.001）やリンク経由（T1566.002）といったサブ技術に分かれています。標的型攻撃メールの見分け方もあわせて参照すると、フィッシング起点の侵害を防ぐ具体的な対策イメージが掴みやすくなるでしょう。
ATT&CKを理解するうえで核心となるのが、TTPs（戦術、技術、手順）という3層の概念です。戦術は攻撃者の目的、技術はその目的を達成する手段、手順は特定のグループが実際に使ったツールや設定の具体的な詳細にあたります。
ランサムウェアグループが認証情報を盗む場面を例にとると、認証情報の窃取が戦術、LSASS.exeからのメモリダンプが技術、Mimikatzというツールを特定のオプションで実行したことが手順です。
この3層を区別して考えることで、防御設計とインシデント調査の両方で対応の精度を高められます。
ATT&CKはCVEやCWEと混同されることがありますが、管理対象が根本的に異なります。
|
項目 |
MITRE ATT&CK |
CVE |
CWE |
|
管理対象 |
攻撃者の行動パターン（TTPs） |
具体的な脆弱性の識別情報 |
脆弱性の種類・類型 |
|
主な用途 |
脅威分析・防御設計・Detection Engineering |
パッチ管理・CVSSスコアリング |
セキュアコーディング・製品開発 |
|
例 |
T1566：フィッシング |
CVE-2023-34362（MOVEit脆弱性） |
CWE-89（SQLインジェクション） |
|
更新方法 |
観測された攻撃をもとに継続更新 |
脆弱性が発見されるたびに採番 |
脆弱性パターンの整理により更新 |
CVEはソフトウェアの脆弱性を一意に識別するための番号体系で、ATT&CKは攻撃者がその脆弱性を使って何をするかという行動の文脈を補うものです。
この2つを組み合わせると、パッチ適用の優先順位を技術的な重大度（CVSSスコア）だけでなく、実際の攻撃手口との関連性からも判断できます。
たとえばCVSSスコアが高くても、その脆弱性を悪用する攻撃グループが自社業界を標的にしていなければ、横移動に使われる別の脆弱性を優先してパッチ適用するという判断も可能です。ATT&CKとCVEを組み合わせる実務的な価値は、この優先順位付けにあります。
ATT&CKが急速に普及した根本的な理由は、従来の防御手法の限界を解決するフレームワークだったためです。2013年のプロジェクト発足から公開に至る時期は、セキュリティ業界がIOCベース防御の構造的な問題に気づき始めた時期と重なります。
従来のサイバー防御は、IOC（Indicators of Compromise）と呼ばれるIPアドレス、ドメイン、マルウェアのハッシュ値のブラックリストに依存していました。シンプルで実装しやすい手法ですが、攻撃者がサーバーを変えたり、マルウェアを少し改変したりするだけで検知が即座に無効になります。
この問題を整理したモデルが、セキュリティ研究者のDavid Biancoが提唱したThe Pyramid of Pain（痛みのピラミッド）です。
ピラミッドは下に行くほど攻撃者が変更しやすい指標、頂点ほど変更が難しい指標という構造になっており、IPアドレスやハッシュ値は攻撃者が数分で変えられる底辺に位置します。
一方、ピラミッドの頂点に位置するTTPsを防御側に把握されると、攻撃者は行動パターンそのものを作り直すか攻撃をあきらめるかの二択に追い込まれます。Biancoはこれを攻撃者に本当の痛みを与える防御と表現しました。
ATT&CKはまさにこのTTPsを体系化したフレームワークです。
ハッシュが変わっても、ドメインが変わっても、攻撃者の行動パターンを起点とした振る舞いベースの検知を設計できます。Pain Pyramidの考え方を具体的な技術IDとして実装した点が、他のフレームワークとの根本的な違いです。
MITRE ATT&CKのGroups一覧には178の追跡済み脅威グループと、各グループが使用した技術が紐づけられています。
たとえば、APT29（Cozy Bear：ロシアのSVRに帰属）は初期アクセスにT1566（フィッシング）やT1195（サプライチェーン妥協）を多用することが記録されており、Lazarus Group（北朝鮮に帰属）はT1486（データ暗号化による影響）やT1195を使ったサプライチェーン攻撃の実績が登録されています。
脅威インテリジェンスとATT&CKを組み合わせると、特定グループが次に使う技術の先読みが可能です。
ある業界で初期アクセスにフィッシング（T1566）が確認された場合、同グループの過去の行動パターンを参照することで、次に認証情報アクセス（T1003：OSクレデンシャルダンプ）や横移動（T1021：リモートサービス）が来る可能性を見越して検出ルールを事前に強化できます。
Lazarus Groupが多用するT1195（サプライチェーン妥協）については、サプライチェーン攻撃の仕組みと対策で詳しく解説しています。こうしてグループを追う作業が、単なるIOCの収集から攻撃者の戦略全体の読み解きへと変わります。
この名寄せ作業を効率化したい場合、ATT&CKのGroups一覧にはSTIX形式でデータをエクスポートする機能があります。エクスポートしたデータをOpenCTIやMISPといったオープンソースの脅威インテリジェンスプラットフォームに取り込めば、自社のSIEMアラートとATT&CKグループ情報の突き合わせを自動化できます。
ツールの導入コストがネックになる場合は、まずATT&CKのWebインターフェース上でグループを手動検索するだけでも、対象グループの使用技術一覧と参考レポートを十分に確認できるでしょう。
ATT&CKの活用方法は大きく3つあります。インシデント発生後の調査、攻撃シナリオを再現するレッドチーム演習、そしてSIEMとの検知ルール連携です。それぞれの具体的な手順を見ていきます。
インシデント発生時にATT&CKを活用する最も直接的な方法は、ログやアラートをATT&CK技術IDにマッピングして攻撃チェーン全体を可視化することです。
たとえば、EDRがPowerShellによるLSASS.exeのメモリアクセスをアラートとして検知したとします。
このアラートはT1003.001（LSASS Memory）にマッピングされます。次にそのIDをATT&CKマトリクス上に配置すると、攻撃者がCredential Access（認証情報アクセス）の戦術フェーズに進んでいることが見えてくるでしょう。
さらに同グループの過去の行動パターンを参照すれば、次のフェーズ（Lateral Movement：横移動）で使われる可能性が高い技術を先読みして検出ルールを事前に強化できます。
現在どこまで侵害されているかの把握にとどまらず、次に何をされるかを見越した対応を可能にする点が、ATT&CKによるマッピングの本質的な価値です。
MITRE ATT&CKを使ったレッドチーム演習は、実際の攻撃者が使うTTPsを再現することで防御側の検知能力を現実に即した形で評価します。
従来のペネトレーションテストが侵入の可否を検証することを主目的とするのに対し、ATT&CKベースのレッドチームは、どの技術が検知されて、どの技術が見逃されるかという検知カバレッジの実態を明らかにすることを目指します。
演習シナリオの設計では、自社業界を狙うAPTグループのTTPsをATT&CKのGroups一覧から抽出し、そのグループが実際に使った技術を優先的に再現します。
製造業の情シスがAPT41の行動パターンをATT&CKで参照し、使用頻度の高い技術を演習対象とする方法が典型例です。MITRE ATT&CK Evaluationsでは、主要なEDR製品がどの技術をどの精度で検知できるかが公開されており、自社ツールの選定や評価にも参考になるでしょう。
Detection as Codeとは、SIEMの検知ルールをソースコードのようにバージョン管理・レビューするアプローチです。この手法とATT&CKを組み合わせることで、どの攻撃技術をカバーしているかを体系的に管理できます。
脅威インテリジェンスとログ管理の連携手法もあわせて参照すると、SIEMの検知精度をさらに高められます。
具体的な実装ツールとして広く使われているのがSigma Rulesです。SIEM製品ごとに記法がバラバラになる問題を解消するための共通のYAML形式で、SplunkでもElastic SIEMでも同じSigmaルールを変換して利用できます。
各ルールにATT&CK技術IDをタグとして付与できるため、自社のルール群がどの技術をカバーしているかを一元管理できる点がメリットです。
ATT&CK Navigatorでその全体像を可視化すれば、カバーできている技術とカバーできていない技術がカラーマップとして一目で浮かび上がります。
防御回避（Stealth）の技術カバレッジが薄い、Discovery（探索）フェーズのアラートがほぼないといった検知の空白を特定し、優先的にSigmaルールを追加する対応リストを作成できます。
SIEMのベンダーが変わっても共通のATT&CK IDで評価軸を引き継げる点も、この管理手法の大きなメリットです。
ATT&CKを社内に導入する際、最初から全技術をカバーしようとすると膨大なリソースが必要です。以下の3ステップで優先度をつけながら段階的に進める方法を整理します。
ATT&CK Navigatorはブラウザ上で動作する無料ツールで、インストール不要で使い始められます。
まずNavigatorでEnterpriseマトリクスを開き、自社のSIEMやEDR製品が検知できる技術を緑色などで色付けします。各セキュリティツールのベンダーはATT&CKカバレッジのマッピングドキュメントを公開しているため、それを参照しながら入力してください。
色付けが終わると、対応できていない技術が空白として一目で浮かび上がります。後述のSTEP2で抽出するAPTグループが多用する技術に空白が集中していれば、そこが最優先の対応候補です。
Navigatorのレイヤーは、随時JSONファイルとしてエクスポートできるため、半期ごとに更新して検知カバレッジの変化を追跡する使い方にも向いています。SIEM運用チームとセキュリティ責任者の間でカバレッジマップを共有すれば、予算配分の根拠資料としても機能します。
ATT&CKのGroups一覧では、各グループの標的業種、地域、使用技術を確認できます。製造業であればAPT41やBlackTech、金融業ではLazarus Group、医療ではSandworm Teamといった攻撃実績が参照できます。
自社に関連するグループを3〜5個絞り込んだら、それらに共通する使用技術のトップ10を抽出しましょう。
この共通TTP上位10がSTEP1のカバレッジと照合する優先候補です。対応できていない技術がこのリストに含まれていれば、緊急度の高い検知ルール追加対象として扱います。
警察庁が公開するサイバー空間をめぐる脅威の情勢報告を組み合わせることで、日本国内の攻撃傾向も加味した絞り込みが可能です。
外部の脅威インテリジェンスフィードをATT&CK技術IDでタグ付けすることで、今起きている攻撃キャンペーンと自社の防御の弱点を照合する仕組みが作れます。
まずCISAや警察庁が公開するアドバイザリーに含まれるATT&CK IDを自社のNavigatorレイヤーに重ねて表示することから始めてください。ただし公開アドバイザリーはインシデント後に出るため、対応がどうしても後手になります。
ダークウェブ上の攻撃者コミュニティの動向をリアルタイムで監視するStealthMoleのようなサービスを活用することで、公開情報よりも早期に攻撃キャンペーンのTTPsを把握し、防御の先手を打てます。
この仕組みが整うと、「新しい脅威レポートの入手→対応が必要な技術の特定→該当するSigmaルールの有無確認→なければ追加」という一連のフローを標準化できます。ATT&CK IDを共通のキーとして脅威情報と検知ルールを結びつけることが、STEP3の核心です。
ATT&CKは195の攻撃技術と178の脅威グループを体系化したナレッジベースですが、その本質は攻撃者の行動パターンを共通言語で可視化し、防御側が先手を打てる仕組みを作ることにあります。
着手の順序はシンプルです。
1. ATT&CK Navigatorで自社の検知カバレッジを色付けし、自社業界を狙うAPTグループのTTP上位10と照合して空白を特定
2. SigmaルールでSIEMの検知ルールをATT&CK IDに紐付けてDetection as Codeとして体系化
3. 脅威インテリジェンスフィードをATT&CK IDで受け取る仕組みを整え、今起きている攻撃キャンペーンと自社の防御の弱点をリアルタイムで照合できる運用が完成
ATT&CKは完成形のフレームワークではなく、攻撃が観測されるたびに技術が追加・更新され続けます。v19で防御回避（Defense Evasion）がStealth（TA0005）とDefense Impairment（TA0112）に分割されたように、フレームワーク自体も進化を続けています。
半期ごとにNavigatorのカバレッジを見直し、新しいAPTグループの動向を取り込む習慣をつけるようにしましょう。IOCの収集から始まった防御は、TTPsを起点とした能動的な防御設計へと変わります。
