コラム：MITRE ATT&CK（マイターアタック）でセキュリティカバレージを可視化しよう第1回　MITRE ATT&CKの概要｜ブログ(サイバー領域)

本連載は「MITRE ATT&CK（マイターアタック）」および、「MITRE ATT&CKフレームワーク（マイターアタックフレームワーク）」に興味をもつ方に向けて、自社のセキュリティ対策がATT&CK Matrix上のどの程度をカバーできているのか？を可視化する方法を説明しています。
全3回で構成する予定で、それぞれの回の内容は以下の通りです。

第1回　MITRE ATT&CK（マイターアタック）の概要
まずはMITRE ATT&CKの基礎知識をご紹介します。
第2回　Matrixでカバレージを確認しよう
MITRE ATT&CK Matrixでセキュリティソリューションのカバレージを確認する方法を説明します。
第3回　THXシリーズのカバレージ
弊社のTHXシリーズはNetwork Trafficデータソースを提供できます。これを実際にマップする手順を見ていきます。

では、第1回を早速始めていきましょう。

MITRE社が開発、メンテナンスしている「MITRE ATT&CK（マイターアタック）」は、実際に攻撃者が使用している戦術や利用技術に関する情報をまとめたナレッジベースです。MITRE ATT&CKを利用することで敵に関する情報を整理・理解し、攻撃された場合にそれが誰によって行われ、どんな戦術や技術を用いて実行されているかを確認し、対応策を考え、また更なる攻撃への準備を行うことが可能になります。また、MITRE ATT&CKでは分析のための情報を何から得るのかについても「データソース」という定義があります。本稿では、MITRE ATT&CKの概要を理解しつつ、ネットワークから収集できるデータソースのひとつである「Network Traffic」からどのような分析が可能なのかを見ていくことにします。

MITRE ATT&CK（マイターアタック）の概要

MITRE ATT&CKのメイン要素としてMatrixがあります。これは縦軸横軸を持った表のようなもので、横軸は「Tactics」、縦軸は「Techniques」を表します。

またMITRE ATT&CKには「Enterprise」「Mobile」「ICS」という3つのドメインがあり、このドメインごとに情報が分類されています。今回は最もよく使われる「Enterprise」のMITRE ATT&CKを例に取って説明を進めます。

用語

MITRE ATT&CKを理解するうえで知っておいた方が良い用語について説明しておきましょう。

用語	説明
Tactics	攻撃者が達成したいゴールを端的に表したものです。1つのTacticsには複数のTechniquesが関連付けられ、Tacticsの下に並べられます。つまり「Tactics」は、攻撃者がこれらの「Techniques」を使用する理由と言い換えても良いでしょう。これらには「TAxxxx」のような番号が付与されています。
Techniques	そのTechniqueが属している「Tactics」を達成するための個々の方法のことです。大分類と小分類があり、それぞれを「Technique」、「Sub-Technique」と呼んでいます。また、各Techniquesには「Txxxx」、Sub-Techniquesには「Txxxx.yyy」のような番号が付与されています。
Groups	既知の攻撃者の情報を表します。例としてAPT3、Black Tech、Lazarus Group、menuPassといった攻撃グループが挙げられます。これらには「Gxxxx」のような番号が付与されます。
Software	Techniqueを具体的に実現するための道具や手法のことです。マルウェアの名称や商用のリモートアクセスツール、ペネトレーションテストツールの名称があげられており、あわせてそれを使用するGroupの情報が整理されている場合もあります。これらには「Sxxxx」のような番号が付与されます。
Data Source	それぞれのTechniqueを検出するために利用可能な情報のことです。ATT&CKに定義された各Techniqueには「Detection」という項目があり、発見に役立つData Sourceが記載されています。各Data Sourceには「DSxxxx」のような番号が付与されています。
Mitigation	Techniqueによって実行される攻撃を緩和するための方法のことです。Techniqueが実行されるのを妨げるものや、事前に講じておくことでTechniqueを無効にするようなものが、各Techniqueに紐づけられて整理されています。これらには「Mxxxx」のような番号が付与されます。

表：用語

TacticsとTechniques

では、「Tactics」にはどのようなものがあるでしょうか。
現在ATT&CKでリストされているのは、以下の14個の「Tactics」です。

Tactics	説明
Reconnaissance	将来の作戦を計画するために必要となる情報を収集
Resource Development	攻撃を遂行するために使用可能なリソースを確立
Initial Access	攻撃対象のネットワークに侵入を試みる
Execution	マルウェア等の実行
Persistence	攻撃対象ネットワーク内に長期にとどまるための足場を作成
Privilege Escalation	より高いレベルの権限を取得
Defense Evasion	検出されないようにする
Credential Access	アカウント名やパスワードを盗み出す
Discovery	攻撃対象ネットワークに関する様々な情報を収集
Lateral Movement	ネットワーク内を動き回る、あるいは次々に感染する
Collection	目標達成に必要なデータを集める
Command and Control	感染したシステムを通じてすべてを制御しようとする
Exfiltration	集めたデータを外に持ち出す（盗む）
Impact	対象システム・ネットワークを操作したり、停止させたり、破壊したりする

表：Tactics

これらの「Tactics」はATT&CKのMatrixでは横軸に並んでいます。基本的には攻撃の準備段階から攻撃完了後の行動までが左から右に向かって時系列で並んでいます。

それぞれの「Tactics」を実現するための手法として、各「Tactics」の下に並べられるのが「Techniques」です。各Techniqueは以下のような情報で構成されます。

データ項目	説明
Name	Techniqueの名称
ID	ATT&CKのTechniques内でユニークな番号
Tactic	そのTechniqueが利用される可能性がある対象Tactic
Description	Techniqueについての説明
Platform	攻撃者が攻撃しようとするシステムの種類
System Requirements	攻撃するために必要なシステム条件（ソフトウェアやパッチレベル等）
Permissions Required	攻撃するために最低限必要なパーミッション（Privilege Escalation時）
Effective Permissions	攻撃した結果達することのできるパーミッションレベル（Privilege Escalation時）
Data Source	調査・確認・認知に必要となるデータの種類
Supports Remote	リモートシステムでの実行（Execution時）
Defense Bypassed	バイパスされる可能性のある既存防御システムなど（Defense Evasion時）
CAPEC ID*	関連するCAPECサイトへのリンク *Common Attack Pattern Enumerations and Classifications
Contributor	そのTechniqueについてのMITRE社以外の協力者
Examples	そのTechniqueの具体的な処理を示すSoftwareまたはGroupの項目
Detection	そのTechniqueを検出するための分析プロセス、センサーやデータ、検出戦略など
Mitigation	攻撃を妨げる（緩和策になる）ようなコンフィグ、ツール、プロセスなど

表：Technique構成要素

Techniquesに付与されている各要素としては、そのTechniqueが属するTacticsやTechniqueの概要、Techniqueを仕掛けようとする対象プラットフォームの種類、さらにはこのTechniqueで仕掛けられる攻撃が成功するために必要となる前提条件やユーザ権限レベルなど、Techniqueを理解するために必要なものが関連付けられています。ただし、これらの項目には必須となっていないものもあります。

では次回は、Techniqueの構成要素であるExamplesに含まれる「Groups」や「Software」、そして「Mitigation」について、もう少し見ていきながら、MITRE ATT&CK Matrixの具体的な使い方の例を紹介します。

【各回のコラムには、下記リンクよりアクセスいただけます。】

第1回　MITRE ATT&CK（マイターアタック）の概要
まずはMITRE ATT&CKの基礎知識をご紹介します。
第2回　Matrixでカバレージを確認しよう
MITRE ATT&CK Matrixでセキュリティソリューションのカバレージを確認する方法を説明します。
第3回　THXシリーズのカバレージ
弊社のTHXシリーズはNetwork Trafficデータソースを提供できます。これを実際にマップする手順を見ていきます。