当サイトのMITRE ATT&CK連載総論で解説した通り、ロッキード･マーティン社の「サイバーキルチェーン」は攻撃を7段階の大きな流れで捉えるモデル、対してMITRE ATT&CKはその各段階を具体的な技術レベルまで細かくカタログ化したもの——「キルチェーン＝攻撃の大きな筋書き」「ATT&CK＝各場面の詳細な技の辞典」という関係です。今回はその一歩先として、「自分で作った2つのゲームは、この辞典のどこに位置するのか」を具体的に検証します。

検証の対象は2つ。1つは「守る側」のシミュレーションであるサイバーフォートレスIV、もう1つは「攻める側」のシミュレーションであるCTF上級編10です。同じ「攻撃を段階の連鎖として描く」という発想を、視点を変えて2度実装していたことになります。守備と攻撃、両方の視点から同じ地図を眺めることで、ATT&CKという枠組みの輪郭がより鮮明に見えてくるはずです。

複数のセキュリティ機器（FW／WAF／EDR／SIEM等）を配置して侵入を防ぎ切るタワーディフェンス「サイバーフォートレスIV」では、敵が進む道が「偵察→デリバリ→初期侵入→権限昇格→横展開→C2指令→目的実行」の7段階で色分けされており、より手前の段階で道を遅らせるほど「封じ込めランク」の評価が高くなる仕組みです。

権限昇格から認証情報までの詳細は連載第4回（防御回避･認証情報編）、横展開は第5回（探索･横展開編）、C2から影響までは第6回（C2･持ち出し･影響編）でそれぞれ詳しく解説しています。7段階を自分の目で確かめたい方は、サイバーフォートレスIVで遊んでみてください。道が7色に変わっていく様子と、早期遮断で評価が上がる仕組みを体感できます。

ゲーム内の敵キャラクター（スクリプトキディ・DDoS Bot・クリプトジャッカー・ランサムウェア等）も、この7段階のどこかに対応する行動を取るよう設計されています。たとえば偵察担当のスクリプトキディは開始10秒だけ移動速度が2倍になる「偵察ダッシュ」を行い、C2担当のボットマスターは20秒ごとに増援を呼ぶ——という具合に、キャラクターの挙動そのものがキルチェーンの各段階を表現しています。

このゲームで配置できる機器（FW／WAF／EDR／SIEM／MFA／VPN／ハニーポット）にも、それぞれ得意な段階があります。ファイアウォールは偵察〜デリバリの入口を狭め、WAFは初期侵入（Webアプリの悪用）を食い止め、EDRは権限昇格〜横展開の兆候をエンドポイントで検知し、SIEMは複数のログを相関させてC2通信の兆候を拾い上げる——という具合に、7段階の色分けは配置する機器選びとも連動する設計です。実務のセキュリティ投資でも「どの段階を厚くするか」という発想で予算配分を考えると、多層防御の抜け漏れに気づきやすくなります。

CTF上級編全10話の最終回である第10話「レッドチーム演習」は、プレイヤーが攻撃者側となり、架空の企業「Vela Corp」を5つのフェーズで攻略する構成です。使う脆弱性はどれも上級編の過去の話で学んだもの（SSRFは第2話、IAM権限昇格は第6話、XXEは第8話）で、最終回はそれらを1本の侵入チェーンにつなぐ構成になっています。

全10話を通してこの侵入チェーンを自分の手で辿りたい方は、CTF上級編第10話・レッドチーム演習をお試しください。目的実行の復号はブラウザのWeb Crypto APIによる本物のAES-256-GCM処理ですが、対象はページ内の架空データのみで安全に体験できます。

各フェーズにはヒント機能と得点評価があり、ヒントを使わずに解くほどスコアが高くなる仕組みは上級編の過去9話と共通しています。

この最終回だけの特徴として、各フェーズの答え（合言葉）は前のフェーズで得た情報がヒントになっており、前工程を飛ばして後工程だけを解くことはできません。実際の侵入テストやレッドチーム演習でも同じで、初期アクセスに成功して初めて権限昇格の糸口が見え、権限昇格に成功して初めて横展開の対象が見える——という「前の段階の結果が次の段階の入力になる」連鎖こそが、キルチェーンという言葉の本質です。

サイバーフォートレスIVは「不特定多数の踏み台・ボットが、社内ネットワークに向かって侵入してくるのを防ぎ切る」立場のゲームです。侵入者は外部からネットワーク経由でやってくるので「届ける」デリバリが必要で、居座り続けて外部と通信を続けるためC2も必要です。一方CTF上級編10は「1人の攻撃者が、1つのWebアプリを順番に攻略していく」立場のゲームです。プレイヤーは最初からアプリの前に立っており、メールや不正ファイルで「届ける」必要はなく（デリバリ不要）、対話的に操作するため裏でひそかに指令を送り続ける通信チャネルも不要です（C2不要）。同じ「侵入からゴールまでの一本道」というキルチェーンの発想を使っていても、「何を」シミュレートしているかによって、必要な段階の数は変わります。

この違いは、実際のインシデント対応報告書を書くときにも影響します。たとえば「攻撃者は横展開によって認証情報を窃取した」と書いてしまうと、読み手（監査担当者や上位のCSIRT組織）は「他のホストに侵入された」と誤解しかねません。正しくは「攻撃者は認証情報アクセスによって、後の横展開に使えるクレデンシャルを窃取した」のように、段階ごとの主語を分けて書く必要があります。

7段階と5段階、数は違っても根っこにあるのは同じ考え方です。攻撃は単発の出来事ではなく連鎖としてつながっており、連鎖である以上、どこか1箇所を断ち切ればその先には進めません。サイバーフォートレスIVの「早期遮断ほど高評価」という採点ロジックも、CTF上級編10の「5つのフェーズのどこか1つでも防げばクラウンジュエルには届かない」という設計も、どちらもこの「多層防御」の発想をゲームメカニクスに翻訳したものです。

当サイトの3本柱戦略でいえば、この記事は柱A（DFIR／OSINT実務者向けハブ）と柱C（体験型コンテンツ）を接続するスポーク記事にあたります。ブログ記事と体験型教材が別々に存在しているだけでは、読者は両方にたどり着けないことがあります。今回のように、既存の教材をあとから実務フレームワークで読み解く記事を挟むことで、「遊んで終わり」ではなく「遊んだ後に実務の言葉で振り返る」という橋渡しができます。同じ手法は、当サイトの他の戦略ゲーム（ゼロトラスト建築ゲームやSOCタクティクス等）にも応用できるはずです。教材を作る側にとっても、公式フレームワークは「答え合わせ」の道具として機能する、というのが今回の一番の収穫でした。

🧭 次に読む