セキュリティフレームワーク・モデル

MITRE ATT&CK まいたーあたっく

サイバー攻撃脅威インテリジェンスTTPsレッドチームインシデント対応セキュリティ評価

MITRE ATT&CKについて教えて

簡単に言うとこんな感じ！

ハッカーが「どんな手口で攻撃するか」を図鑑みたいにまとめたデータベースだよ！「敵の戦術を知れば対策できる」という発想で、実際の攻撃事例から作られた”攻撃者の行動カタログ”なんだ。セキュリティのプロが世界中で使ってる共通語みたいなものだよ！

MITRE ATT&CKとは

MITRE ATT&CK（マイター・アタック）は、米国の非営利研究機関 MITRE Corporation が開発・公開している、サイバー攻撃者の戦術・技術・手順（TTPs: Tactics, Techniques, and Procedures）を体系化した知識ベースです。実際に観測された攻撃キャンペーンや脅威グループの行動をもとに作られており、「攻撃者はどのフェーズで、どんな手口を使うか」を網羅的に整理しています。

ATT&CK は Adversarial Tactics, Techniques & Common Knowledge の略で、2013年に内部プロジェクトとして始まり、現在は無償で公開されています。企業のセキュリティチームがこれを使うことで、「自社はどの攻撃手法に対して対策できているか」「どこに穴があるか」を客観的に評価できるようになります。たとえば製品を発注する際も「このセキュリティ製品はATT&CKのどの技術をカバーしているか」という基準で比較できるため、調達・評価の共通言語としても活用されています。

MITRE ATT&CKの構造

ATT&CKは「マトリクス（Matrix）」と呼ばれる表形式で公開されています。横軸に戦術（Tactic）、縦軸に技術（Technique）が並び、攻撃の流れを一覧できます。

要素	説明	例
Tactic（戦術）	攻撃者の目的・フェーズ	初期アクセス・権限昇格・情報収集など
Technique（技術）	目的を達成するための手法	フィッシング・パスワードスプレーなど
Sub-technique（サブ技術）	技術をさらに細分化したもの	スピアフィッシング添付ファイルなど
Procedure（手順）	実際の攻撃グループが使った具体的な実装例	APT28 が使ったマクロ付きWordファイルなど
Mitigation（対策）	その技術への推奨対策	多要素認証・マクロ無効化など
Detection（検知）	どうすれば検知できるか	ログ監視・EDRシグネチャなど

14の戦術フェーズ（Enterprise Matrix）

ATT&CKのEnterpriseマトリクスは攻撃の流れを14のフェーズに分けています。

[偵察] → [リソース開発] → [初期アクセス] → [実行] → [永続化]
  → [権限昇格] → [防御回避] → [認証情報アクセス] → [探索]
  → [横展開] → [収集] → [C2通信] → [持ち出し] → [インパクト]

3種類のマトリクス

マトリクス	対象環境
Enterprise	Windows/Linux/macOS・クラウド・コンテナ
Mobile	Android・iOS
ICS	産業制御システム（工場・インフラ）

歴史と背景

2013年 — MITRE社が内部の脅威シミュレーション（レッドチーム演習）のために「ATT&CK」を考案
2015年 — 一般公開。Windows企業環境向けのマトリクスとしてスタート
2017年 — PRE-ATT&CK（偵察フェーズ）とモバイル版を追加
2018年 — クラウド環境・Linux・macOSへと対象を拡大
2020年 — ICS（産業制御システム）向けマトリクスを正式追加
2022年以降 — バージョン12以降は年2回ペースで更新。技術数は700以上に成長
現在 — 世界中のSOC（セキュリティ運用センター）・CISA・FBI・各国政府機関が参照する事実上の標準となっている

ATT&CKを使うシーン

ATT&CKは「使い方」によって活躍する場面が変わります。

レッドチーム演習 ATT&CKの技術を参照して現実的な攻撃シナリオを設計 SOC・インシデント対応攻撃者の行動を技術IDで分類・共有・記録する MITRE ATT&CK 共通の攻撃カタログギャップ分析自社の対策状況をマトリクスにマッピングして弱点を可視化製品・ツール評価 EDRやSIEMが何の技術をカバーするか比較検討脅威インテリジェンス攻撃グループの手口を ATT&CK IDで共有・比較技術ID（例: T1566 フィッシング / T1078 有効なアカウント）を使うことで組織をまたいだ攻撃情報の共有・比較が正確にできるようになる

ATT&CK Navigator（ナビゲーター）

MITRE が提供する無料のウェブツール「ATT&CK Navigator」を使えば、マトリクスに色を塗って自社のカバー状況を視覚化できます。「どこが赤（未対策）でどこが緑（対策済み）か」を一目で確認できるため、経営層への報告資料にも活用されています。

よく比較される他のフレームワーク

フレームワーク	主な目的	ATT&CKとの関係
MITRE ATT&CK	攻撃者の戦術・技術カタログ	本体
Cyber Kill Chain	攻撃の7段階フェーズモデル	ATT&CKより大まかな粒度
NIST CSF	セキュリティ管理の全体フレームワーク	ATT&CKと組み合わせて使う
D3FEND	防御技術のカタログ（ATT&CKの防御版）	MITREが同様に公開
STIX/TAXII	脅威情報の共有フォーマット	ATT&CKのデータをSTIX形式で配布

ATT&CK vs Cyber Kill Chain（粒度の違い）

Cyber Kill Chain（7段階・大まか）
  [偵察] [武器化] [配送] [攻撃実行] [インストール] [C2] [目的実行]
      ↓ より細かく分解・詳細化したのが
MITRE ATT&CK（14戦術・700以上の技術・さらにサブ技術）

Cyber Kill Chain が「地図の県境」なら、ATT&CKは「番地まで書いた住宅地図」のイメージです。