MITRE ATT＆CKとは？フレームワークの概要や活用方法、メリットを解説
MITRE ATT&CKとは、サイバー攻撃者の行動や手法をまとめたフレームワークのことで、セキュリティ対策の実施事項を考える際に役立ちます。本記事では、MITRE ATT&CKの概要や活用方法とメリット、セキュリティで利用できる他のフレームワークについて解説します。
目次
セキュリティ分野で注目されている「MITRE ATT&CK」をご存じでしょうか？MITRE ATT&CKとは、サイバー攻撃者の行動や手法をまとめたフレームワークのことです。セキュリティ対策においてなにをすれば良いかを考える際に、役立ちます。
本記事では、MITRE ATT&CKの概要や活用方法とメリット、セキュリティで利用できる他のフレームワークについて詳しく解説します。MITRE ATT&CKやセキュリティで利用可能なフレームワークを知りたい方は、ぜひ参考にしてください。
MITRE ATT&CKとは
MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）は、サイバー攻撃を行う者の行動を理解するためのフレームワークです。マイターアタックやアタック、アタックフレームワークと呼ばれるケースもあります。無料で利用できるオープンソースで、2013年に公開されて以降、利用している企業や団体が少なくありません。
ここからは、MITREとATT&CKの概要や注目される背景について解説します。
MITREの概要
MITRE（The MITRE Corporation）は、アメリカ連邦政府が資金提供を行っている非営利組織です。R&Dセンターと連携して国の安全や安定、福祉に関する以下事項への取り組みを実施して、革新的なアイディアを生み出しています。
- AI
- 直感的なデータサイエンス
- 量子情報科学
- 医療情報学
- 宇宙安全保障
- 政策と経済
- 信頼できる自律性
- サイバー脅威の共有
- サイバーレジリエンス
ATT&CKの概要
ATT&CKとは、実際に観測されたサイバー攻撃の戦術や手法をまとめたフレームワークのことです。世界中で行われたサイバー攻撃を基に作成されており、攻撃者の理解やその対策を検討する際に役立ちます。不定期もしくは四半期に一度、セキュリティベンダーから提供される情報を参考に、追記や更新が行われます。
脅威ベースセキュリティにおける5つの原則
MITRE ATT&CKには、脅威ベースセキュリティに関する以下5つの原則が存在します。
- 侵害された後に検知するための策を検討する
防衛が前提ですが、万が一のことを想定し検証する策を考える - 行動にフォーカスする
攻撃者がどのような行動を取るかに着目する - 脅威ベースのモデルを使用する
攻撃者の行動をモデル化して活用する - 設計により反復する
攻撃者の行動分析を何度も行い対策を改善し続ける - リアルな環境で開発やテストを実施する
可能な限り現実に近いシステム環境でテストする
上記の原則は、企業や組織におけるセキュリティ対策の考え方として非常に参考になります。
MITRE ATT&CKが注目される背景
MITRE ATT&CKが注目されるのは、サイバー攻撃が増加しているからです。業務改善やテレワークの実施により、クラウドサービスを利用する企業が増え、サイバー攻撃が増加傾向にあります。また、機密情報をデータで保存するケースが多くなったため、サイバー攻撃を受けた場合の被害も拡大しています。
企業や組織はセキュリティ対策を強化しなければなりませんが、なにをすれば良いかがわからない企業も少なくありません。MITRE ATT&CKなどのフレームワークを利用すれば、具体的な実施事項を把握できます。
MITRE ATT&CKを構成する6つの要素
MITRE ATT&CKは6つの要素で構成されています。ここからは、各要素の内容について解説します。
マトリクス
攻撃者が利用するTTPは、対象の環境ごとに異なります。ちなみに、TTPとは以下の頭文字をとった言葉です。
- Tactics：戦術
- Techniques：技術
- Procedures：手順
MITRE ATT&CKでは、マトリクスを活用して環境と標的となるプラットフォームを以下の通り分類しています。
| 環境 | 標的となるプラットフォーム |
|---|---|
| Enterprise Matrix |
|
| Mobile Matrix |
|
| ICS Matrix |
|
戦術
戦術では、攻撃者が実施する以下の戦略や目的を解説しています。
- 偵察
- 初期アクセス
- 不正コードの実行
- 権限昇格
- 防御回避
後述する14フェーズに分類されており、攻撃の状況・手法の分析に役立ちます。
技術・手法
技術・手法は、戦術を実施するために駆使される手段で、2023年時点で193個のテクニックと401個のサブテクニックに分類されています。例えば、以下の手法が記載されています。
- ブルートフォース攻撃：Webサービスにログインする際の認証で使うパスワードを、考えられる全てのパターン試し、不正アクセスする手法
⇒ブルートフォース攻撃とは？被害例や対策をわかりやすく解説 - スピアフィッシング攻撃：特定の人物や組織を狙ったフィッシング詐欺
⇒フィッシング詐欺とは？5つの対策や被害にあった場合の対処法を解説 - DDoS攻撃：多数のデバイスから大量にアクセスし、サーバーに負担をかけ正常な運営を妨害する手法
⇒DDoS攻撃とは？受けた場合の被害や4つの対策をわかりやすく解説
緩和策
緩和策とは、被害や影響を最小限に抑える目的で実施する方法のことです。具体的には以下が挙げられます。
- 多要素認証の導入
- ユーザアカウント管理
- データのバックアップ
- 機密情報の暗号化
- ネットワークトラフィックのフィルタリング
- 侵入検知システムの利用
攻撃者グループ
攻撃者グループとは、実際に攻撃を行った団体・個人などのことで、どのような国や組織、企業を攻撃する傾向があるかなどが記載されています。例えば、以下の団体・組織が記載されています。
- DragonOK
- APT28
- FIN8
- menuPass
攻撃者やその活動を理解することにより、効果的な対策を実施できます。
ソフトウェア
ソフトウェアには、サイバー攻撃で使用されるマルウェアやツール、コマンドなどの情報が明記されています。具体的には以下が紹介されており、理解すれば適切な対策を講じられます。
- PsExec：ネットワーク内の複数システムに、不正なコードを展開し攻撃を拡大させる
- Metasploit：不正アクセスする際に、システムの脆弱性を発見する
- Mimikatz：Windowsのメモリ上にある認証情報にアクセスし、管理者権限を盗み取ったり、他のアカウントになりすましたりする
- Emotet：情報の窃盗や他のマルウェア感染を目的とした悪意あるプログラム
⇒Emotet（エモテット）とは？被害事例や感染した場合の対処法と予防方法を解説
MITRE ATT&CKにおける攻撃者の14フェーズ
続いて、攻撃者が行う14フェーズを解説します。
1.偵察
攻撃者が、SNS・Webサイトなどを通じて、標的に関する情報や侵入箇所を調査する段階です。
2.リソース開発
偵察結果を基に、攻撃で使用する以下のリソースを開発する段階です。
- マルウェア
- エクスプロイト
- メールアドレスやアカウント
エクスプロイトとは、コンピューターやスマホのOS、ソフトウェアなどの脆弱性を悪用して攻撃を行うプログラムのことです。
3.初期アクセス
開発したリソースを活用して、初回アクセスを試みる段階です。システムに直接アクセスするだけでなく、通信経路上に割り込みデータを窃盗する中間攻撃を実施するケースもあります。
4.実行
実際に攻撃を行う段階です。悪意あるコードやプログラムが実行されます。
5.永続化
コンピューターへの不正侵入を目的に設置される入口のバックドアを作り、不正アクセスできる環境を確保する段階です。管理者権限などを変更し、正規ユーザーがアクセスできない状況にするケースもあります。
なお、バックドアの詳細は以下をご覧ください。
⇒バックドアの概要や危険性、対策を解説するとともに、コンバージョンにつなげる
6.権限昇格
攻撃範囲の拡大を目的に、高レベルの権限取得が行われる段階です。脆弱性の利用や認証情報の不正取得により、権限昇格が行われます。
7.防衛回避
サイバー攻撃対策を防ぐために、検出や防御されないようにする段階です。具体的には以下が実施されます。
- セキュリティツールの無効化
- ログの削除
- 隠しファイルやフォルダの作成
8.認証情報アクセス
機密データにアクセスするための認証情報を盗み取る段階です。例えば、キーボードで入力された情報を記録するプログラムやハードウェアであるキーロガーなどが活用されます。
9.探索
重要な情報を見つけるために、不正アクセスした環境を理解しようとする段階です。ファイルの探索やネットワーク内での移動、秘匿データの取集などが行われます。
10.水平展開
侵入したシステムとつながる別システムに侵入する段階です。攻撃範囲を広げる目的で実施されます。
11.収集
目的達成に必要な情報を収集する段階です。
12.C&C
侵略したデバイスに指示を出すC&Cサーバーを活用して、通信を制御する段階です。情報の取得やマルウェアの送り込みが行われます。
13.持ち出し
データを盗み出す段階です。攻撃対象にバレないように、データの暗号化や圧縮が行われます。
14.影響
標的に被害を与える目的で、システム・データの操作や中断、破壊を行う段階です。
MITRE ATT&CKを活用する方法
次に、MITRE ATT&CKの活用方法を解説します。
攻撃を事前検証する
MITRE ATT&CKは、攻撃を事前検証する際に活用可能です。攻撃者の行動や活用される手法を確認し、自社のセキュリティ対策で対応可能かをチェックできます。
レッドチーム演習で利用する
レッドチーム演習で利用されるケースもあります。レッドチーム演習とは、セキュリティ体制の総合的な評価や強化を目的に、攻撃者の視点から実際の攻撃シナリオをシミュレートするセキュリティ手法のことです。
行動分析検知手法を開発する
MITRE ATT&CKに記載された情報は、実施済みのサイバー攻撃です。ただ、攻撃パターンを分析することにより、未知の攻撃手法を予測したり、対策ツールを開発したりすることもできます。
セキュリティギャップを分析する
MITRE ATT&CKには、サイバー攻撃への対策も記載されています。自社の防衛策に問題がないか、セキュリティギャップを分析する際に効果的です。
SOCを評価する
SOC（Security Operation Center）とは、脅威の監視・分析を行う役割や専門組織のことで、SOCの評価にもMITRE ATT&CKは有効です。SOCが攻撃者を理解していれば、より効果的な対策やスピーディーな脅威の分析が可能になります。
攻撃者の理解と対策を行う
MITRE ATT&CKには、攻撃者・グループから手法、利用されるツールまで、多様な情報が記載されています。内容を理解すれば、効果的な対策を検討できます。
MITRE ATT&CKの活用メリット
続いて、MITRE ATT&CKの活用メリットを紹介します。
リスク分析が低負担でできる
MITRE ATT&CKはリスクベース・アプローチの評価手法となっており、手間を抑えたリスク分析が可能です。リスクベース・アプローチとは、セキュリティ管理や意思決定におけるリスクの評価と管理を行う手法のことです。
リスクベース・アプローチには以下の方法もありますが、受け入れ準備や対処するスキル・体制構築が必要で手間がかかります。
- ペネトレーションテスト
- レッドチームオペレーション
MITRE ATT&CKの活用により机上評価を前提としたリスクベース・アプローチができるため、ヒアリングなどで評価が可能であり、負担を抑えられます。
サイバー攻撃への対策状況を分析できる
サイバー攻撃への対策情報を分析できる点も、MITRE ATT&CKの活用メリットです。サイバー攻撃を防止するには、自社の問題を見つけ解決することが重要です。MITRE ATT&CKの活用により、俯瞰的に自社の状況を分析可能で、セキュリティリスクを発見できます。
MITRE ATT&CK以外のフレームワーク
最後に、MITRE ATT&CK以外のフレームワークも紹介します。
サイバーキルチェーン
サイバーキルチェーンは、サイバー攻撃プロセスの理解と各フェーズの防御策設計を目的としたフレームワークです。攻撃者の計画から目的達成までを、以下7フェーズに分類しています。
- 偵察
- 武器化
- 配布
- エクスプロイト
- インストール
- C&C
- 目的の達成
NISTサイバーセキュリティフレームワーク
NISTサイバーセキュリティフレームワークは、アメリカのNIST（国立標準技術研究所）が作成した汎用的なセキュリティフレームワークです。サイバー攻撃を以下の5段階に分類して解説しています。
- 攻撃の特定
- 防御
- 検知
- 対応
- 復旧
ISO 27000シリーズ
ISO 27000シリーズは、ISO（国際標準化機構）とIEC（国際電気標準会議）が策定した情報セキュリティマネジメントシステムに関する規格群です。セキュリティ対策におけるPDCAサイクルの実施を目的に作成され、リスクマネジメントの実施や目標設定と内部監査の実施などが記載されています。
まとめ
MITRE ATT&CKは、サイバー攻撃者の行動を理解するためのフレームワークです。 攻撃者が行う行動を14フェーズに分類し、活用ツールや手法が解説されています。利用すれば、自社のセキュリティ状況における分析や攻撃対策ができるでしょう。
情報のデータ化やクラウドサービスの普及が進む現代において、セキュリティ対策は欠かせません。万が一、情報が漏洩すれば企業の信頼性やブランドイメージが低下します。サイバー攻撃対策と併せて、漏洩をいち早く察知し、適切な対応を取れる体制の整備が重要です。
情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか一瞬で分かるため、被害の拡大を抑制することができます。
自社のアカウント情報が漏洩していないか不安な方は、まず自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！
