ATT&CKが生まれたのは2013年。MITREの研究者が実際の攻撃を観測するなかで、「攻撃者の振る舞いを、誰もが同じ言葉で記述できないか」と取り組んだのが出発点でした。だから収録されているのは机上の空論ではなく、現実に観測された手口だけです。対象範囲も広がり、いまでは企業ITを扱うEnterpriseに加え、スマートフォンのMobile、工場や重要インフラの制御システムを対象にしたICSという3つのマトリクスがあります。しかも全体が完全に無料で公開され、世界中のコミュニティの貢献で毎年更新され続けている——これが、特定の製品やベンダーに縛られない“中立の共通言語”であり続けられる理由です。

ATT&CKの革命的な点は、「攻撃者の“振る舞い”に注目した」ことです。従来の防御は、悪性IPアドレスやファイルのハッシュ値といったIOC（痕跡指標）に頼りがちでした。けれど、IPやハッシュは攻撃者が簡単に変えられます。一方、「フィッシングで侵入し、PowerShellで実行し、認証情報を盗んで横展開する」といった手口（TTP）の“流れ”は、そう簡単には変えられません。ATT&CKは、この変えにくい振る舞いの層で攻撃を捉えることで、より本質的で、しぶとい防御を可能にします。

具体例で考えてみましょう。ある攻撃で使われたサーバーのIPアドレスをブロックしても、攻撃者は別のIPに乗り換えるだけ。マルウェアのハッシュ値でブロックしても、ファイルを少し変えれば別物になります。数分から数時間で回避されてしまう。ところが「フィッシングで侵入し、PowerShellで実行する」という手口そのものを検知できれば、攻撃者はIPやファイルを変えるくらいでは突破できません。手口を変えるには、攻撃の組み立てごと作り直す必要があり、コストが跳ね上がるからです。「変えやすいもの」ではなく「変えにくいもの」で捉える——これがATT&CKの戦い方の核心です。

そして、この共通言語を日本語で、体系立てて学べる場は、まだ多くありません。海外の一次情報は豊富でも、戦術ごとの実践と日本語の解説がそろった入口は希少です。本連載は、そこを埋めるために書いています。攻撃を“地図”として捉える視点が身につけば、日々目にするニュースやインシデント報告も、「これはどの戦術の話か」と構造的に読めるようになります。難しく見えるATT&CKも、入口さえ押さえれば、あなたの防御を一段引き上げる強力な相棒になります。

ATT&CKを読み解く鍵は、3つの階層です。これは「攻撃者は何のために（戦術）、どうやって（技術）、具体的にどんな方法で（サブ技術）それを行うのか」という、目的から手段への“ズームイン”の構造になっています。

なぜ、わざわざ3階層に分けるのでしょうか。それは、相手や場面に応じて“話す粒度”を選べるからです。経営層への報告なら「実行（戦術）を許してしまった」と大きく語れば十分。検知エンジニアどうしなら「T1059.001（PowerShell）だ」と最小単位まで詰める。同じ攻撃を、同じ言葉の体系の中で、ズームイン・ズームアウトしながら語れる——この“縮尺を変えられる地図”という性質が、ATT&CKを現場でも会議室でも使える共通言語にしています。

ATT&CKには「背番号（ID）」が振られていて、これを覚えると一気にプロっぽくなります。戦術は TA0002、技術は T1059、サブ技術は T1059.001 のように表記します。この番号は、検知ルールや脅威レポートで世界共通のタグとして使われます。

▲ Sigma検知ルールの tags にこのIDを書くだけで、「この検知は、どの攻撃手口に対応しているか」が世界共通の言葉で表せます。

さらにATT&CKには、技術以外にも豊富な“辞書”が紐づいています。グループ（Groups）＝実在の攻撃者集団がどの技術を使うか、ソフトウェア（Software）＝マルウェアやツール、緩和策（Mitigations）＝技術ごとの防御策、データソース／検知＝何を見れば気づけるか。だからATT&CKは、単なる手口の一覧ではなく、「攻撃を知り、守りに変換する」ための巨大な相互リンク集なのです。

この相互リンクの便利さは、実際に使うと一気に実感できます。たとえば、ある攻撃グループ（APT）のページを開くと、「この集団は初期アクセスにフィッシング（T1566）、実行にPowerShell（T1059.001）を多用する」というように、使用技術がずらりと並んでいます。逆に、ひとつの技術のページを開けば、「この手口を使う攻撃グループ・マルウェアの一覧」と「推奨される緩和策・検知方法」がまとめて手に入る。つまり、気になる脅威から手口へ、手口から具体的な対策へと、数クリックでたどれるのです。これは“読む百科事典”ではなく、“引いて使う実務ツール”。この使い勝手こそが、ATT&CKが世界中の現場に根づいた理由のひとつです。

企業向けATT&CKの14の戦術は、おおむね攻撃が進む順に並んでいます（必ずしも一直線ではありませんが、“物語”として捉えると理解しやすい）。偵察に始まり、侵入し、住みつき、内部を探って広がり、最後に目的（情報窃取や破壊）を遂げる——この大きな流れを、5つの段階に束ねて見てみましょう。

この5つの段階は、防御側にとっては「どこを見れば気づけるか」のチェックポイントでもあります。①準備の兆候は外からは見えにくいものの、②侵入はメールやログイン記録に、③定着は自動起動やサービスの変更に、④拡大は認証ログや内部の通信に、⑤目的は外向き通信の急増やC2の兆候に——というように、段階ごとに“見るべきログ”が変わります。ATT&CKは各技術に「データソース（何を観測すれば検知できるか）」まで示してくれるので、監視設計の“逆引き表”としても使えます。「この手口に気づくには、どのログが要るのか？」がはっきりする。これは闇雲にログを集めるのではなく、“意味のあるログ”を狙って取るための、強力な指針になります。

この流れ、どこかで見た覚えはありませんか。そう、インシデント対応プレイブックで見たランサムウェアやBECの“侵入の物語”そのものです。ATT&CKは、その物語の各場面に世界共通のラベルを貼ってくれます。そして当サイトの各記事は、まさにこの戦術のどこかを守るための実践でした。

裏を返せば、当サイトの実務記事はどれも「攻撃の地図のどこか」を守るための実践だった、ということです。バラバラに読んでいた記事が、ATT&CKという背骨を通すと一本につながる。「この記事は、攻撃のどの段階を守る話だったのか」を意識して読み直すと、知識が立体的に組み上がっていきます。これが、この連載でATT&CKを“背骨”に据える狙いです。

ATT&CKの真価は、攻撃カタログを「自分たちの守りの設計図」に変えるところにあります。これを脅威ベース（脅威情報に基づく）防御と呼びます。実務での使い方は、大きく次の4つです。

これら4つの使い方に共通するのは、「すべてを均等に守ろうとしない」という発想です。攻撃の手口は膨大ですが、自組織にとって現実的な脅威・頻出の手口は限られます。脅威情報から「自分たちが本当に直面しうる技術」を見極め、そこへ検知と対策を集中投下する——これが脅威ベース防御の核心です。やみくもな“もぐら叩き”から、データに基づく“狙い撃ち”へ。限られた人手と予算で守りを最大化する、もっとも現実的な戦い方だといえます。

しかも、この使い方は一度きりで終わりません。脅威モデリングで「備えるべき手口」を洗い出し → ギャップ分析で「検知の穴」を見つけ → エミュレーションで「本当に効くか」を試し → インシデントで得た学びを次のモデリングに還元する。ATT&CKを共通の物差しにすると、この「守りを少しずつ賢くしていく循環」が回り始めます。守りは作って終わりではなく、育てるもの。その“成長の記録帳”としても、ATT&CKは機能します。

典型的なランサムウェア攻撃を、ATT&CKの戦術・技術にマッピングすると、こうなります。バラバラの出来事が、一本の手口の連鎖として読めるようになります。

こうして地図化できると、「今どの段階にいて、次に何が来るか」を予測できるようになります。たとえば③永続化の痕跡が見えた時点で、次に来る④認証情報アクセスを警戒し、認証ログの監視を厚くする——といった先回りの対応が可能になる。事後の調査でも、観測できた断片をATT&CKに当てはめれば、攻撃の全体像と“まだ見えていない部分”が浮かび上がります。「ここまで来ているなら、おそらくこの痕跡も残っているはず」と当たりをつけられる。これが、攻撃を共通言語で語ることの、実戦的な威力です。

この連載は、ATT&CKの14戦術を順に深掘りしていく予定です。各回で「攻撃者は具体的にどんな技術を使うのか」「防御側は何を見れば気づけるのか（検知）」「どう防ぐか（緩和策）」を、当サイトの実践記事と結びつけながら解説します。第1回（本記事）を“地図”として、次回からは“現地踏査”へ。

なぜ、わざわざ“戦術別”に分けて学ぶのでしょうか。それは、14戦術をいっぺんに覚えるのは無理でも、1つの戦術なら「攻撃者の具体的な手口 → 残る痕跡 → 検知 → 対策」を最後まで追いきれるからです。1戦術ずつ“縦に”理解を貫いていけば、知識は確実に積み上がります。焦らず、地図を1区画ずつ歩いていきましょう。次回・第2回は、攻撃者が最初の足がかりを得る「初期アクセス」から。フィッシングや公開サーバーの脆弱性悪用など、“入口”の手口と、その防ぎ方・気づき方を掘り下げる予定です。

ここまでに登場した言葉の“答え合わせ”として、用語集とFAQを用意しました。ATT&CKは巨大ですが、「戦術・技術・サブ技術の3階層」と「TTPで考える」——この2つさえ掴めば、もう迷子にはなりません。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む