理Kotowary

代表的な攻撃手法 — 気をつけるべき種類の地図

大人こども
初級中級上級

上級の解説は準備中のため、上級の内容を表示しています。

概要 — まず全体をつかむ

中級ではキルチェーンの流れ・既知と未知・標的型を見ました。上級では、攻撃を段階の連鎖として精密に捉え、各段の技術（TTP）・深刻度の測り方・APTやサプライチェーンといった高度化まで掘り下げ、どこを断てば連鎖が止まるかを考えます。

アニメーション『代表的な攻撃手法の地図』を開く
攻撃手法の地図まず“どんな種類があるか”の地図を持つ。詳しい手口と防ぎ方は各記事で。🦠マルウェア勝手に動く悪いプログラムウイルスランサムウェア🎭人をだます技術でなく心のスキを突くフィッシングなりすまし🔓不正アクセス・侵入弱点を突いて入り込む脆弱性の悪用弱いパスワード🌊サービス妨害大量アクセスで止めるDoSDDoS実際の攻撃は、これらを組み合わせてくる。

詳細 — 1段階ずつ追う

段階を踏む攻撃を、もっと精密に

中級では4段に簡略化しましたが、正式なキルチェーンは7段階です。攻撃を「一撃」ではなく「連鎖」として見ることが、断ち方を考える出発点になります。

  1. 偵察 — 標的の公開情報・人・システムを調べる
  2. 武器化 — 脆弱性を突く仕掛けとマルウェアを組み合わせて武器を作る
  3. 配送 — メール添付・改ざんサイト・USBなどで届ける
  4. 攻撃（エクスプロイト） — 届いた仕掛けが脆弱性を突いて動き出す
  5. インストール — 端末に居座るための本体を仕込む
  6. C2（指令サーバ）※1 — 外部の指令サーバとつながり、遠隔操作を受ける
  7. 目的遂行 — 情報窃取・暗号化・破壊など本来の目的を達する

この時間軸に対し、MITRE ATT&CKは「各段で実際に観測された手口」を体系化したナレッジベースです。戦術（Tactics＝何のために）・技術（Techniques＝どうやって）・手順（Procedures＝具体的な実行）をまとめて TTP※2 と呼びます。

アニメーション『攻撃の段階』を開く
攻撃は段階を踏む左から右へ順に進む。どこか一段で検知・遮断できれば、被害を止められる。1偵察狙いを調べる・情報収集🛡 ここで止める公開情報を絞る不審なアクセスを監視2初期侵入フィッシング・脆弱性で入り込む🛡 ここで止めるパッチメール対策多要素認証3権限昇格・横展開内部で広がり・強い権限を奪う🛡 ここで止める最小権限内部の分離・監視4目的遂行情報窃取・暗号化・破壊🛡 ここで止めるバックアップ持ち出し検知即対応一撃ではなく順に進む。各段で止める＝多層防御。

キルチェーンが時間の流れなら、ATT&CKは各段で使われる具体的な手口のカタログ。両者を重ねると「今どの段で、どんな手口を使われているか」を言葉にできます。

登場人物メモ:

  • ※1 C2（Command and Control）— 乗っ取った端末に指令を送り、盗んだ情報を受け取る攻撃者側のサーバ
  • ※2 TTP（Tactics・Techniques・Procedures）— 攻撃者の「狙い・やり方・具体手順」をまとめた見方。攻撃者ごとの癖（指紋）にもなる

既知の穴は数値で測る、未知の穴は測れない

侵入に使う脆弱性は「対処のしやすさ」で大きく分かれます。上級では、その深刻度をどう測り、どう優先順位をつけるかまで踏み込みます。

  • CVE — 個々の脆弱性に振られる識別番号。世界共通のカタログ番号で「どの穴の話か」を一意に指す
  • CVSS — その脆弱性の深刻度を0〜10で標準化したスコア。攻撃のしやすさや影響の大きさから算出し、パッチを当てる優先順位の根拠にする
  • ゼロデイ — 修正が出る前（0日目）の未知の穴。CVE番号もCVSSスコアも付く前に突かれるため、署名頼みでは防ぎにくい

だから脆弱性管理は「CVEで穴を把握し、CVSSで優先度を決め、重要なものから塞ぐ」という運用になります。放置された既知の穴が、依然として最大の入口です。

APT — 高度で持続的な標的型

標的型の中でも、とりわけ厄介なのが APT（Advanced Persistent Threat＝高度で持続的な脅威）です。

  • Advanced（高度） — ゼロデイや作り込んだツールを惜しまず使う
  • Persistent（持続的） — 一度きりでなく、目的達成まで数か月から数年潜伏し続ける
  • Threat（脅威） — 国家や組織を背景に、明確な意図を持って動く

派手に暴れず、気づかれないこと（ステルス）を最優先にするのが特徴。だから「侵入されていない」ではなく「まだ気づいていないだけかもしれない」と構える必要があります。

サプライチェーン攻撃

固く守られた本丸を正面から狙わず、信頼される取引先や部品を経由して入り込むのがサプライチェーン攻撃です。

  • ソフトの更新に混入 — 正規ソフトの正規アップデートに悪意あるコードを紛れ込ませ、利用者全体へ一斉配布する
  • 部品・ライブラリの汚染 — 多くの製品が使う共通部品（オープンソースの部品など）を汚染し、下流へ波及させる
  • 委託先経由 — 守りの薄い委託先を踏み台に、本命へ回り込む

一点の突破が多数へ波及するのが怖さの本質。自分の守りが固くても、信頼した相手が入口になり得ます。

living-off-the-land — 正規ツールの悪用

高度な攻撃ほど、新しいマルウェアを持ち込まない方向へ進んでいます。それが living-off-the-land（環境寄生型）です。

  • OSに元からある正規ツール（PowerShell・スクリプト実行・システム管理コマンドなど）だけで侵入活動を進める
  • 持ち込みファイルが無いため、署名ベースの検知や許可リストをすり抜けやすい
  • 正規の操作と見分けにくく、痕跡も残りにくい

対抗するには「何が動いたか」ではなく「正規ツールが不自然な使われ方をしていないか」という振る舞いの監視が要ります。

連鎖を各段で断つ

  • 一段で止めれば連鎖が切れる — 偵察で全部止めるのは無理でも、配送・攻撃・C2・目的遂行のどこかで気づければ被害を止められる。これが多層防御の考え方
  • 段ごとの守り — 偵察には公開情報の管理、配送にはメール対策、攻撃にはパッチ、C2には通信監視、目的遂行には持ち出し検知とバックアップ
  • 未知には振る舞いで — ゼロデイ・living-off-the-landは署名で捕れない。挙動から異常を捉える構えが要る
  • 仕込まれる中身は マルウェア、入口の詳細は 不正アクセス・侵入、攻防の変遷は 攻撃と防御の歴史 で深めるとつながる

関連する知識

理解度チェック

そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。

問1. 攻撃者が持ち込みマルウェアを使わず、OSに元からある正規ツール（PowerShell等）を悪用して侵入活動を進める手口を指すのは？

問2. 脆弱性管理における「CVE」と「CVSS」の関係として正しいのは？

問3. 正式なサイバーキルチェーンは何段階で構成される？

問4. 攻撃で言う「C2（指令サーバ）」の説明として正しいのは？

問5. 攻撃者の「狙い・やり方・具体手順」をまとめた見方「TTP」の中身として正しいのは？

問6. サプライチェーン攻撃の「怖さの本質」として最も適切なのは？

問7. 修正が出る前（0日目）の未知の脆弱性を突く攻撃を、カタカナで何と呼びますか。

問8. ゼロデイや作り込んだツールを惜しまず使い、目的達成まで数か月から数年も潜伏し続ける、国家や組織を背景とした高度で持続的な標的型脅威を、英字3文字（略語）で答えてください。