攻撃と防御 — どんな攻撃を、どう守るか

中級で「攻撃は段階を踏む」と見ました。上級では、その段階を共通の枠組みで名指しし、どこで断てるかを精密にします。

1. サイバーキルチェーン※1 で、攻撃を一連の連鎖として並べる — 偵察 → 武器化 → 配送 → 攻撃（脆弱性の悪用）→ インストール → C2※2 → 目的実行
2. 各段には、防御側の断ち手が対応する — 偵察には露出の削減、配送にはメール・ゲートウェイの検査、C2には不審通信の遮断、という具合
3. どこか一段でも断てれば、攻撃は最終目的に到達できない。手前で断つほど被害が小さい
4. さらに細かく共有するには MITRE ATT&CK※3 — 実際に観測された「戦術（何を狙うか）」と「技術（どう実現するか）」のマトリクスで、手口を同じ語彙に落とし込む

キルチェーンが時間軸（連鎖の順序）の地図なら、ATT&CKは手口の分類（戦術×技術）の地図。両方を重ねると、「今この攻撃はどの段の、どの技術か」を組織で共有できます。

登場人物メモ（※の説明）:

• ※1 キルチェーン — もとは軍事用語で、攻撃の一連の流れを段に分けたもの。各段を「断つ（kill）」対象として捉える
• ※2 C2 — Command and Control。侵入後のマルウェアが外部の攻撃者と連絡を取り、指示を受ける通信のこと。ここを遮断できれば目的実行を止めやすい
• ※3 MITRE ATT&CK — 実観測された攻撃手法を戦術と技術で整理した知識ベース。検知ルールの評価や、抜けている観点の洗い出しに使う

⚠️ イレギュラー（枠組みを絶対視しない）:

• 連鎖は必ずしも直線ではない — 実際の攻撃は段を飛ばしたり、行き来したりする。順番の暗記ではなく「どこかで断つ」考え方が本体
• 枠組みは網羅ではない — ATT&CKに載る技術は観測済みのもの。未知の手口はそもそも表に無い（後述のゼロデイ）

初級「守り3層」、中級「予防・検知・対応」を、上級では"予防はいつか破られる"を出発点に組み替えます。

1. 縦深防御（Defense in Depth）※1 — 予防を一枚の壁に頼らず、境界・ネットワーク・端末・アプリ・データと層を重ねる。一枚破られても次で捕まえる
2. 侵入前提（Assume Breach）※2 に立つ — 「完全な予防は無い」と認め、投資の重心を検知と対応へ移す。破られた後に、どれだけ速く気づき畳めるかが勝負
3. 検知は多層の目で行う — ネットワークの IDS/IPS※3、端末の EDR※4、そして各所のログを集約する SIEM※5
4. これらを人が運用する中枢が SOC※6。アラートを突き合わせ、本物のインシデントを見つけ出し、対応につなぐ

一点の強固な壁より、「破られる前提で、早く気づいて畳む」設計のほうが現実に効く——これが上級の守りの背骨です。

登場人物メモ（※の説明）:

• ※1 縦深防御 — 対策を層状に重ね、単一障害点を作らない考え方。中級のゼロトラスト（内部も都度検証）と相性がよい
• ※2 侵入前提 — いつか誰かに入られる前提で、検知・対応の速さを設計指標にする構え
• ※3 IDS/IPS — 不正な通信を検知するのがIDS、検知して遮断まで行うのがIPS
• ※4 EDR — Endpoint Detection and Response。PC・サーバ上の不審な挙動を記録・検知し、隔離まで支援する仕組み
• ※5 SIEM — Security Information and Event Management。散らばったログを一箇所に集め、相関させて異常を浮かび上がらせる基盤
• ※6 SOC — Security Operation Center。監視と一次対応を担う専門チーム。中級で触れたCSIRTが本格対応を担う

⚠️ イレギュラー（多層でも漏れる）:

• 単層の検知は死角を持つ — ネットワークだけ、端末だけでは見えない攻撃がある。だから多層で重ねて突き合わせる
• 可視化していない場所は守れない — ログを取っていない領域は、SIEMに載らず検知の対象外。まず「見えているか」が前提

予防を破られた後の畳み方こそ、上級の実務の中心です。中級の「検知→封じ込め→根絶→復旧→教訓化」を、準備と改善まで含めた輪として回します。

1. 準備 — 体制・連絡網・手順書・権限を平時に整える。ここが最も効く投資
2. 検知 — SOC/SIEM/EDRの多層の目で、侵害の兆候をつかむ
3. 封じ込め — 被害の拡大を止める（隔離・遮断）。証拠を壊さない配慮も要る
4. 根絶 — 侵入経路と居座り（バックドア等）を取り除く
5. 復旧 — 業務を正常へ戻す。バックアップからの復元がここで効く
6. 教訓化 — 何が起き、なぜ気づけなかったかを振り返り、準備へフィードバックする

この輪を鍛えるのが演習と情報です。

• レッドチーム／ブルーチーム／パープルチーム※1 — 攻める側・守る側・両者を突き合わせて改善する側。パープルが検知と対応の穴を実地で埋める
• 脅威インテリジェンス※2 — 今どんな攻撃者が、どんな手口（ATT&CKのどの技術）で動いているかの情報。IoC（侵害指標）を検知ルールへ落とし込み、流行に先回りする

登場人物メモ（※の説明）:

• ※1 パープルチーム — レッド（攻撃役）とブルー（防御役）を対立ではなく協働させ、攻撃の再現→検知できたか→改善、を一緒に回す取り組み
• ※2 脅威インテリジェンス — 攻撃者・手口・痕跡に関する情報を集約・分析し、防御の意思決定に使えるようにしたもの

⚠️ イレギュラー（演習と現実のずれ）:

• 手順書は動かして初めて意味を持つ — 机上の計画は本番で崩れる。定期的な訓練で穴を洗う
• 情報は鮮度が命 — 古いIoCは的外れになる。脅威インテリジェンスは更新し続けて初めて効く

最後に、なぜ「完全な防御」を目指さず検知と対応が本命になるのか、その構造的な理由を整理します。

• 攻撃者優位の非対称 — 守る側は全ての穴を塞ぎ続けねばならないが、攻める側は一つ見つければ足りる。この非対称ゆえ、予防だけで勝ち切ることはできない
• ゼロデイは防ぎきれない — まだ知られていない脆弱性（ゼロデイ）を突かれると、既知の穴を塞ぐ予防は素通りされる。だから未知でも異常な挙動で気づく検知に重心が移る
• アラート疲れ — 検知を増やすほど誤検知も増え、大量のアラートに埋もれて本物を見逃す。検知は「増やす」より「絞って確度を上げる」方向のチューニングが要る
• 検知しても対応できなければ無意味 — 気づく仕組みだけ買って、動く体制（準備・訓練・権限）を欠くと、いざという時に畳めない。ツールより運用
• 「枠組みを埋めれば安全」という過信 — キルチェーンもATT&CKも既知を整理する地図であって、未知や地図外の攻撃は載らない。枠組みは思考の補助線であり、完成保証ではない

まとめ——攻防は、攻撃者が一点を突けば足りるのに対し防御側は全てを守り続けるという、根の深い非対称の上で行われています。だから上級の守りは「破られない壁」を目指すのをやめ、連鎖のどこかで断ち（キルチェーン）、共通の語彙で手口を共有し（ATT&CK）、破られる前提で多層に検知し（縦深防御・侵入前提）、気づいたら手順に沿って速く畳んで学ぶ（インシデントレスポンス）——このプロセスと運用へ軸足を移します。個々の手口の詳細は 代表的な攻撃手法 で、ここで見た運用が「何を相手にしているのか」を確かめてください。