ATT&CK

Adversarial Tactics, Techniques, and Common Knowledge（ATT&CK、アタック）は、サイバー攻撃や侵入を分類および記述するためのガイドラインである。Mitre Corporationによって作成され、2013年に公開された。MITRE ATT&CKともいう。

攻撃の結果（侵害指標（IoC）としても知られる）を調査するのではなく、攻撃が進行中であることを示す戦術を特定する。戦術とは、攻撃手法の「目的（なぜ行うか）」にあたる。

このフレームワークは14の戦術カテゴリで構成されており、これらは攻撃者の技術的目標を網羅している。例として、権限昇格やC&Cなどが挙げられる。これらのカテゴリは、さらに具体的な手法（テクニック）とサブテクニックに分類される。

このフレームワークは、ロッキード・マーティンによって開発されたサイバー・キルチェーンに代わるものである。

エンタープライズ向けATT&CKマトリックス

エンタープライズ向けATT&CKマトリックスは、カンバン方式の図として提示される包括的なフレームワークである。サイバー犯罪者が使用する戦術、手法、手順（TTP）を14のカテゴリに定義し、関連する手法とサブテクニックを紐付けている。

カテゴリ	説明	手法数
偵察	標的に関する情報を収集する。	10
リソース開発	攻撃のためのリソースを特定し、取得する。	8
初期アクセス	システムやネットワークへの初期の侵入を果たす。	10
実行	システム上で悪意のあるコードを実行する。	14
永続化	システムやネットワークへのアクセスを維持する。	20
権限昇格	システムやネットワーク内で上位の権限を取得する。	14
防御回避	セキュリティ対策を無効化、または回避する。	43
認証情報アクセス	システムやデータにアクセスするための認証情報を取得する。	17
探索	ネットワーク内の追加のシステムや情報を特定する。	32
横断的移動	侵害されたネットワーク内を横方向に移動する。	9
収集	侵害されたシステムからデータを収集する。	10
コマンド&コントロール	侵害されたシステムとの通信を確立する。	17
情報漏洩	侵害されたシステムから盗み出したデータを転送する。	9
インパクト	攻撃者の目的を達成するための行動をとる。	14

偵察

偵察は、最終的なサイバー攻撃に向けた情報収集の初期段階である。

これには、ネットワークスキャン、ソーシャル・エンジニアリング、オープンソース・インテリジェンス（OSINT）の使用を含む10の手法が存在する。

MITRE ID	手法	概要
T1595	アクティブスキャニング	Nmapなどのポートスキャンツール、脆弱性スキャナ、被害者が使用する一般的なファイル拡張子やソフトウェアのワードリストスキャンを用いて、標的ネットワークを能動的に調査する。
T1598	情報のフィッシング	ソーシャル・エンジニアリングの手法を用いて、標的から有用な情報を引き出す。一般的なフィッシングや、個別の被害者を標的として特別に作成されたスピアフィッシングなど、電子メールなどの通信チャネルを使用する。
T1592	被害者ホスト情報の収集	特定のエンドポイントのハードウェア、ソフトウェア、管理設定（Active Directoryドメインへの所属など）の構成を特定する。特に、アンチウイルスなどのセキュリティ保護やロック（バイオメトリクス、スマートカード、ケンジントンロックなど）を対象とする。
T1590	被害者ネットワーク情報の収集	ネットワーク構成、セキュリティ機器（ファイアウォール、VPN）、IPアドレス範囲（IPv4、IPv6またはその両方）、完全修飾ドメイン名（FQDN）、およびドメインネームシステム（DNS）の設定など、標的ネットワークの構成を特定する。

外部リンク

• 公式ウェブサイト
• ATT&CK - GitHub