MITRE ATT&CK.

MITRE ATT&CK(Adversarial Tactics, Techniques, and Common Knowledge)は、攻撃者が企業、モバイル デバイス、産業制御システムに対してどのように活動するかを記述した、定期的に更新される厳選されたナレッジベースです。攻撃者の挙動を、戦術(攻撃者のゴール)と、技術およびサブ技術(用いられる手法)として体系化し、脅威グループ・ソフトウェア・緩和策と関連付けます。

MITRE は 2013 年に ATT&CK を社内研究プロジェクトとして開始し、2015 年に一般公開しました。2020 年には多くの技術をより細分化されたサブ技術へと再構成しています。Enterprise マトリクスは 14 の戦術 を対象としており、Reconnaissance(偵察)、Resource Development(リソース開発)、Initial Access(初期アクセス)、Execution(実行)、Persistence(永続化)、Privilege Escalation(権限昇格)、Defense Evasion(防御回避)、Credential Access(認証情報アクセス)、Discovery(探索)、Lateral Movement(横展開)、Collection(収集)、Command and Control(コマンド アンド コントロール)、Exfiltration(データ持ち出し)、Impact(影響)から成り、安定した ID を持つ数百の技術(例:T1566 Phishing、T1059 Command and Scripting Interpreter)にマッピングされます。ATT&CK はコンプライアンス フレームワークではありませんが、脅威ベース防御の事実上の標準であり、SOC の検知エンジニアリング、レッド/パープル チーム演習、脅威情報の共有、NIST CSF に対するギャップ評価に用いられます。ATT&CK Navigator などのツールはカバレッジをヒートマップで可視化し、CTID の研究や ATT&CK Evaluations はエミュレートされた攻撃者に対して EDR 製品をベンチマークします。

flowchart LR
  A[実環境における<br/>攻撃者の挙動] --> B[戦術:ゴール<br/>例:初期アクセス]
  B --> C[技術:手法<br/>T1566 Phishing]
  C --> D[サブ技術<br/>T1566.001 添付ファイル]
  D --> E[グループ・ソフトウェア・<br/>緩和策への対応付け]
  E --> F[検知エンジニアリング<br/>とカバレッジ ギャップ分析]