第1回で見たとおり、ATT&CKの14戦術は、おおむね攻撃が進む順に並んでいます。その先頭にあるのが偵察 → リソース開発 → 初期アクセスという“侵入の入口”の3戦術です。攻撃者の物語でいえば、「標的を下見し（偵察）」「道具と足場を用意し（リソース開発）」「最初のドアをこじ開ける（初期アクセス）」という、まさに幕開けの場面にあたります。

もうひとつ、入口の戦術には防御側にとって大きな特徴があります。それは、偵察と初期アクセスでは「検知のしやすさ」が大きく違うこと。偵察の多くは攻撃者が自分の手元や公開情報を使って静かに行うため、防御側からはほとんど見えません。一方、初期アクセスは“こちらのシステムに触れてくる”行為なので、ログや痕跡が残り、検知・ブロックのチャンスがあります。つまり戦い方は、「偵察＝見られて困る情報を減らす（予防）」「初期アクセス＝触れてきた瞬間を捉える（検知・防御）」と、戦術ごとに切り替えるのがコツです。この章を読み終えるころには、その勘所がつかめているはずです。

偵察（Reconnaissance）は、攻撃者が標的について情報を集める段階です。「どんな組織で、どんな人がいて、どんなシステムを外部に公開しているか」を調べ上げ、もっとも入りやすい入口はどこかを見定めます。家に押し入る泥棒が、事前に下見をして「鍵のかかっていない窓」を探すのと同じ。攻撃者にとって偵察は、成功率を上げるための投資なのです。

偵察は大きく2種類に分けられます。攻撃者が自分の手元や第三者の情報源だけで完結させる受動的偵察（パッシブ）と、標的のシステムに実際に触れて反応を見る能動的偵察（アクティブ）です。前者はOSINT（公開情報調査）そのもので、標的側のログには一切残りません。後者は、たとえばポートスキャン（ATT&CKでは T1595 能動的スキャン）のように、こちらのファイアウォールやサーバーにアクセスが届くため、注意深く見ていれば痕跡が残ります。

攻撃者が集める情報は、ATT&CKでは収集対象ごとに整理されています。とりわけ危険なのが「身元情報の収集」（T1589）——社員のメールアドレス、氏名、役職、使っているクラウドサービスなど。これらは後のフィッシングの“宛先リスト”になります。次の表に、代表的な偵察テクニックと、防御側の向き合い方をまとめます。

偵察で“狙いどころ”が定まると、攻撃者は侵入に使う道具と足場を整えます。これがリソース開発（Resource Development）。地味ですが、ここを知っておくと防御の“早期警戒”につながります。具体的には、本物そっくりの偽ドメインの取得（例：example.com に対し examp1e.com のようなタイポスクワッティング）、マルウェアやフィッシングキットの入手・開発、正規に見せかけたメールアカウントやSNSアカウントの作成、そして遠隔操作の拠点となるC2インフラの構築などです。

この段階の多くは攻撃者側で完結するため、やはり直接の検知は困難です。しかし、防御側にも打てる手はあります。自社ブランドに似た新規ドメインの登録を監視すれば、フィッシングサイトの“開店準備”を、被害が出る前に察知できることがあります。また、脅威インテリジェンスを活用すれば、出回っているフィッシングキットや攻撃インフラの情報を先回りで取り込めます。「攻撃の仕込みは、外からでも一部は見える」——そう知っておくだけで、防御の視野が一段広がります。

初期アクセス（Initial Access）は、攻撃者が標的のネットワークに最初の一歩を踏み入れる戦術です。ここを突破されると、攻撃は次の「実行」「永続化」へと進んでいきます。手口は数多くありますが、実際のインシデントで繰り返し使われる“侵入口”は、ほぼ次の4つに集約されます。まずはこの4つを、しっかり押さえましょう。

この4つ以外にも、知っておきたい入口があります。取引先やIT管理委託先を踏み台にする信頼関係の悪用（T1199）や、正規ソフトの配布経路に毒を仕込むサプライチェーン侵害（T1195）は、近年とくに警戒される“間接侵入”。改ざんサイトを閲覧しただけで感染するドライブバイ侵害（T1189＝水飲み場型）や、USBメモリ経由のリムーバブルメディア（T1091）も依然として現役です。いずれも、「自社が直接狙われなくても、つながりの先から入られる」ことを示しています。

表を眺めると、ある共通点に気づきます。「MFA（多要素認証）」と「パッチ・公開資産の管理」が、何度も登場していること。つまり、入口の手口は多彩でも、効く対策は驚くほど共通しているのです。この“勘所”は、⑥章で優先順位として整理します。

初期アクセスの代表格がフィッシング（T1566）です。なぜ、これほど使われ続けるのか。理由はシンプルで、「人間」という、パッチを当てられない弱点を突くからです。どんなに堅牢なファイアウォールも、社員が自ら偽サイトにパスワードを入力してしまえば意味をなしません。攻撃者にとって、技術の壁を越えるより、人の油断を突くほうが安上がりなのです。ATT&CKでは、フィッシングはさらに3つのサブ技術に分かれています。

そして近年、フィッシングはAIによって質的に進化しています。かつて「不自然な日本語」で見破れた偽メールは、生成AIによってネイティブ並みの自然な文面になりました。さらに、経営者の声を合成して送金を指示するボイスフィッシング（vishing）や、ビデオ会議でのディープフェイクまで登場しています。詳しくは柱BのAIボイスフィッシング・ディープフェイク詐欺で扱っていますが、要点は「文面の不自然さ」で見破る時代は終わりつつあるということ。だからこそ、人の注意力だけに頼らない、仕組みでの防御が要になります。

注目してほしいのは、フィッシングが成立する経路が2つに枝分かれしている点です。ひとつは偽サイトでの認証情報窃取（その後、正規アカウント悪用 T1078 につながる）。もうひとつは添付ファイルのマクロ実行（次の戦術「実行」へ——これは第3回のテーマです）。この“分岐”を知っていると、どこで断ち切れるかが見えてきます。たとえば認証情報を入力されても、MFAがあれば不正ログインを防げる。マクロが動いても、子プロセスの異常を検知できれば止められる。フィッシング対策は「メールを止める」一点ではなく、各段階に網を張る多層防御なのです。

その“次の一手”を捉える検知の一例が、次のルールです。フィッシング添付（T1566.001）を開いた結果、Office文書が不審な子プロセス（PowerShell等）を起動する——この古典的な兆候を、Sigmaで表すとこうなります。第1回で学んだ tags に、ATT&CKのIDが並んでいる点にも注目してください。

▲ 「Wordやエクセルが、いきなりPowerShellを起動する」のは正常な業務ではめったに起きません。だからこの一行が、フィッシング突破の“最初の悲鳴”を捉えます。検知後の調査はVelociraptorやSIEMへ。

ここまで見てきた入口の手口を踏まえ、「何から手をつければ、もっとも入口が固くなるか」を優先順位で整理します。完璧を目指すより、効果の大きいものから着実に。次の順番は、多くの組織にとっての“鉄板”です。

そして、入口対策とセットで考えたいのが「検知の目」です。どんなに固めても、入口を完全に塞ぎきることはできません。だから“破られた瞬間に気づく”仕組みが要ります。初期アクセスの段階で、どのログを見れば異変に気づけるか——着眼点をまとめます。

最後に、忘れてはいけない前提を。「完璧な入口防御」は存在しません。新たな脆弱性は次々に見つかり、巧妙なフィッシングは一定の確率ですり抜けます。だからこそ、予防（入口を固める）・検知（破られたら気づく）・対応（素早く封じる）の三段構えが必要です。入口で防ぎきれなかった時のために、インシデント対応プレイブックを準備しておく。これが、現実的で強い守りの形です。

偵察と初期アクセス——攻撃の“入口”は、防御側にとって最大の勝負どころでした。「偵察は見られて困る情報を減らす、初期アクセスは触れてきた瞬間を捉える」。この戦い分けと、棚卸し・MFA・パッチという3つの軸さえ押さえれば、入口はぐっと固くなります。仕上げに、用語とFAQで知識を定着させましょう。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む