インシデント対応・フォレンジック 重要度:★★★出題: AM2・PM1
サイバーキルチェーン と MITRE ATT&CK
さいばーきるちぇーん / まいたーあたっく / Cyber Kill Chain / MITRE ATT&CK Framework
標的型攻撃の進行段階を7フェーズで定義したサイバーキルチェーンと、侵入後の攻撃者の具体的な戦術（Tactics）と技術（Techniques）を体系化したMITRE ATT&CK。
3行速習ポイント
- サイバーキルチェーンの7段階：①偵察 ➔ ②武器化 ➔ ③配送 ➔ ④攻撃（エクスプロイト） ➔ ⑤インストール ➔ ⑥C&C（遠隔操作） ➔ ⑦目的実行
- キルチェーンのどこかの段階を断ち切れば最終被害（情報窃取・暗号化）を阻止できるという多層防御の考え方
- MITRE ATT&CK：実際の攻撃観測事例に基づき、初期アクセス・実行・永続化・特権昇格・防御回避・認証情報アクセス・横展開・情報収集・流出などのTTPをマトリクス化
図解
図サイバーキルチェーン（7段階）と MITRE ATT&CK 戦術の対応フロー
11. 偵察・武器化・配送・初期侵入
侵入フェーズ公開情報調査・標的型メール送付・VPN脆弱性悪用
【防御策】公開資産管理（ASM）、SPF/DKIM/DMARCとサンドボックス検査、境界機器の迅速なパッチ適用とMFA強制
22. 実行・永続化・特権昇格 (ATT&CK)
内部潜伏フェーズ環境寄生型攻撃 (LotL)・レジストリ/タスク登録・権限奪取
【防御策】PowerShell等のスクリプト実行監視（EDR）、最小権限の原則、特権ID管理（PAM）、脆弱性緩和機構
33. 内部偵察・横展開・C&C通信
拡大・遠隔操作AD探索・Pass-the-Hash・外部C2サーバとの遠隔指令通信
【防御策】マイクロセグメンテーションによる東西通信制限、プロキシ/DNSフィルタによるC2通信遮断、NDR/SIEM相関検知
44. 目的実行（情報窃取・ランサムウェア暗号化）
最終目的阻止重要データの外部送信（Exfiltration）と一斉破壊の阻止
【防御策】DLP/CASBによる大量アップロード遮断、EDRによる端末自動隔離、オフライン・イミュータブルバックアップからの復旧
💡 万一初期侵入を許しても、C&C通信遮断や横展開（ラテラルムーブメント）封じ込めによってキルチェーンを途中で断ち切れば最終被害を阻止できる
概要と本質
標的型攻撃（APT）やランサムウェア攻撃は単発の事象ではなく、初期侵入から内部偵察・権限昇格・横展開を経て最終目的を達成する一連のプロセスです。サイバーキルチェーンとMITRE ATT&CKは、自社の検知・防御カバレッジの穴を特定し、脅威ハンティングを行うための共通フレームワークです。
重要ポイント・コア概念
- 永続化（Persistence）：再起動後もバックドアを維持するため、レジストリのRunキーやタスクスケジューラ、サービス登録、Webシェル設置を行う手口
- Living off the Land（環境寄生型攻撃：LotL）：マルウェアファイルを置かず、OS標準の管理ツール（PowerShell, WMI, certutil, PsExec等）を悪用してEDR等の検知を回避する手法
- C&C（Command and Control）通信遮断：万一マルウェアがインストール（第5段階）されても、プロキシやDNSフィルタリングでC2サーバとの通信（第6段階）を遮断すれば遠隔操作と情報流出（第7段階）を防げる
午後記述・情報セキュリティ対策での攻略ポイント
午後試験のインシデント対応事例では、まさに攻撃者がこのフェーズ通りに社内を侵害していきます。「攻撃者が再起動後も侵入を維持するために行った操作（永続化）」「C2通信の遮断による目的実行の阻止」の文脈で問われます。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
