MITRE ATT&CK（マイター・アタック）は、米国の非営利組織MITREが公開する、「現実の攻撃で観測された手口」を体系化した無料のナレッジベースです。攻撃を戦術（なぜ）・技術（どうやって）・サブ技術（具体的に）の3階層で整理し、世界中の防御者の“共通言語”として使われています。悪性IPやファイルのハッシュといった「変えやすい指標」ではなく、攻撃者の「変えにくい振る舞い（TTP）」で捉えるのが、その革命的な点でした。

ATT&CKが生まれたのは2013年。MITREの研究者が、実際に観測された攻撃を「誰もが同じ言葉で記述できないか」と取り組んだのが始まりです。だから収録されているのは机上の空論ではなく、現実に観測された手口だけ。いまでは企業IT向けのEnterpriseに加え、モバイルや産業制御システム（ICS）のマトリクスもあり、すべて無料で公開され、世界中のコミュニティの貢献で毎年更新され続けています。特定のベンダーに縛られない“中立の共通言語”であり続けられるのは、この成り立ちゆえです。

なぜ「振る舞い」で見ることが、それほど重要なのでしょうか。攻撃者にとって、悪性IPアドレスやファイルのハッシュ値を変えるのは一瞬です。しかし「フィッシングで侵入し、PowerShellで実行し、認証情報を盗んで横展開する」という手口の“流れ”そのものは、そう簡単には変えられません。だから、この変えにくい層で攻撃を捉えるほど、防御はしぶとくなる——これがATT&CKの根底にある発想であり、本連載が全6回を通じて一貫して大切にしている視点です。

この連載が想定している読者は、セキュリティの実務担当者や青チーム、そしてこれから本格的に学ぶ人です。専門用語はできるだけ噛み砕き、身近なたとえを交えていますが、内容は実務で使えるレベルまで踏み込んでいます。「攻撃の全体像を体系的につかみたい」「ニュースの攻撃報道を構造的に理解したい」「自組織の検知・対策を見直したい」——そんな方に、地図として役立つはずです。

そして、この連載が目指したもうひとつのこと。それは「日本語で、体系立てて学べる入口」を作ることです。ATT&CKの一次情報は豊富ですが、戦術ごとの実践と日本語の解説がそろった連載は、まだ多くありません。攻撃を“地図”として捉える視点が身につけば、日々のニュースやインシデント報告も「これはどの戦術の話か」と構造的に読めるようになります。この連載は、DFIR・デジタルフォレンジック完全ロードマップで扱う検知・調査・対応のすべてを束ねる“技術の背骨”として位置づけています。

ATT&CKとよく比較されるのが、ロッキード・マーティンの「サイバーキルチェーン」です。キルチェーンが攻撃を7段階の大きな流れで捉えるのに対し、ATT&CKはその各段階を具体的な技術レベルまで細かくカタログ化したもの。「キルチェーン＝攻撃の大きな筋書き」「ATT&CK＝各場面の詳細な技の辞典」と捉えると、両者は補い合う関係にあります。本連載は、より実務の検知・対策に踏み込めるATT&CKを軸に据えています。

攻撃は、ある日突然すべてが起きるのではなく、いくつもの段階を踏んで進みます。14の戦術を大きく「準備・侵入 → 定着 → 潜伏・準備 → 拡大 → 結末」の5段階に束ねると、攻撃者の物語と、本連載で歩く道のりが一枚に収まります。下の図が、その全行程です。

この図が示す大切なことは2つあります。ひとつは、攻撃は1本の連鎖だということ。入口を突破され、住みつかれ、隠れて鍵を奪われ、組織内に広がり、最後に被害が出る——各回はこの物語の各場面を扱っています。もうひとつは、防御の機会も、その全段階にあるということ。どこか1か所で断ち切れれば、攻撃は次へ進めません。そして一般に、左側（入口）で止めるほど被害もコストも小さい。この連載は、各段階で「どこに網を張れるか」を一緒に考えていく旅でもあります。

言葉だけでは抽象的なので、典型的なランサムウェア攻撃を例に、連載のどの回が攻撃のどの場面を扱うのかを、一本の物語としてたどってみましょう。バラバラに見える手口が、ひとつの連鎖としてつながります。

この流れの“地図の見方”を教えてくれるのが、第1回・総論です。物語の各場面に世界共通のラベル（戦術・技術のID）を貼れるようになると、防御の議論が一気に噛み合います。そして同じ物語を“守る側”から読めば、各場面はそのまま検知のチャンスに変わります——②なら自動起動の監視、③ならLSASSアクセスの検知、④なら認証ログの相関、⑤なら出口の通信監視。攻撃の地図は、そのまま防御の設計図になるのです。

ちなみに、ここで5段階に束ねたのは理解のための簡略化で、実際のATT&CKでは14の戦術がもう少し細かく分かれています（収集やリソース開発など）。本連載では、関連の深い戦術をまとめて各回で扱うことで、攻撃の“物語”として追いやすくしました。厳密な分類は第1回と公式サイトで確認できますが、まずは大きな流れをつかむことを優先してください。

ここからが連載の本体です。第1回の総論を地図として、第2回以降が攻撃の進行順に並んでいます。各カードの「学べること」を見て、関心のある回へ進んでください。順番に読めば、攻撃の全行程と防御の全体像が、無理なく身につきます。

各回は共通の作りになっています。冒頭で前回からの“つながり”を確認し、本編で戦術を深掘りし、最後に検知ルール（Sigmaの例）や対策チェックリスト、用語集とFAQで締める——という流れです。だから途中から読んでも迷子になりませんし、通読すれば知識が階段状に積み上がります。各回に図解（SVG）・比較表・実際の検知コードを入れているので、「読む」だけでなく「手を動かす」ところまで橋渡しできるはずです。

6回すべてがお互いにリンクし合っており、どの回からでも前後の文脈にたどれます。とはいえ、初めての方は第1回・総論から順に読むのが、いちばん理解が深まります。「地図の全体像 → 各場面の踏査」という流れが、自然に頭に入るからです。

なお、6枚のカードの色は、攻撃の進行に合わせて寒色（入口）から暖色（結末）へと移ろうように並べています。第1回（総論）の落ち着いたティールから、第6回（最終回）の警告色の赤まで。色をたどるだけでも、攻撃がどう深まっていくのかの“温度感”が伝わるはずです。気負わず、まずは1枚、気になる回を開いてみてください。

連載は通読がいちばんですが、「いま知りたいこと」がはっきりしているなら、そこへ最短でたどる読み方もあります。代表的な目的別のおすすめルートをまとめました。

読み方に「正解」はありません。大切なのは、自分の目的に合った入口から始め、必要に応じて他の回へ広げていくこと。たとえばニュースで「ランサムウェアがVPNから侵入し、横展開して暗号化した」と知ったら、第2回（VPN＝入口）→第5回（横展開）→第6回（暗号化）と読めば、その事件を構造的に理解できます。連載は、そんな“事件を読み解く辞書”としても使えます。

もしあなたが組織のセキュリティ強化を任されているなら、まず第2回（入口）と第6回（結末）の2回を押さえることをおすすめします。攻撃の“入口”と“出口”——この両端を固めることが、費用対効果のうえでもっとも効きやすいからです。その上で、間の第3〜5回で「侵入されたあと、いかに気づき、広げさせないか」という内部の備えを深めていく、という順序が実務的です。

個々の戦術や手口は多彩ですが、連載全体を通して繰り返し現れた“考え方”があります。それを5つに束ねると、14戦術すべてに通用する「防御の背骨」になります。細かな手口を忘れても、この5つさえ押さえておけば、新しい脅威にも応用が利きます。

言い換えれば、これは「何から手をつけるべきか迷ったときの、判断の軸」でもあります。個別の対策に追われる前に、まずこの5つの問い——“振る舞いで見ているか／入口は固いか／ログは残るか／層は重なっているか／速く気づけるか”——を、自分の組織に当ててみてください。

この5原則は、特別な製品や予算がなくても、今日から意識できるものばかりです。たとえば「ログを逃がす」は、端末のログをクラウドや別サーバーへ転送するだけでも第一歩になります。連載の各回は、この背骨に“肉付け”をしていく具体策の集まり、と捉えてください。

この5原則が強いのは、新しい攻撃手口が登場しても応用が利くことです。攻撃のツールや流行は移り変わりますが、「振る舞いで見る」「入口を固める」「ログを逃がす」「多層で守る」「早く気づく」という土台は変わりません。細かな技術のIDをすべて暗記する必要はないのです。むしろ、この背骨を体に染み込ませ、新しい脅威に出会ったときに「これはどの段階の話で、どの原則で守れるか」と考えられること——それが、この連載を通じて身につけてほしい、いちばんの力です。

連載を読み終えたら（あるいは読みながら）、ぜひ知識を“行動”に変えてください。ATT&CKの真価は、攻撃カタログを「自分たちの守りの設計図」に変えるところにあります。その第一歩が、次の3ステップです。

ATT&CKを守りに変える使い方は、大きく4つあります。①脅威モデリング（自組織を狙いそうな攻撃グループの手口を洗い出す）、②ギャップ分析（検知できている技術と手薄な技術を地図上で塗り分ける）、③敵対者エミュレーション（許可された環境で手口を再現し、防御が効くか試す）、④インシデント対応（観測した挙動をマッピングし、次の一手を予測する）。本連載は、この4つすべての土台になります。共通するのは「全部を均等に守ろうとしない」こと——自分たちにとって現実的な脅威へ、検知と対策を集中投下するのが、脅威ベース防御の核心です。

そして、連載で学んだ各戦術の“検知・調査・対応”を、実際の手で動かすための実践記事がそろっています。連載（攻撃の地図）と、これらの実践スポークを行き来することで、知識が血肉になります。全体の索引はDFIR・デジタルフォレンジック完全ロードマップへ。

最後にひとつ。ATT&CKは“一度学んで終わり”の知識ではありません。毎年更新され、新しい攻撃手口が追加され続けます。だからこそ、公式サイトやJPCERT・IPAの注意喚起を時折のぞき、本連載で身につけた“地図の読み方”をアップデートしていきましょう。土台さえあれば、新しい情報も怖くありません。むしろ「これは、あの戦術の新しい技術だな」と、すっと位置づけられるようになります。それが、地図を持つ者の強みです。

最後に、連載全体で共通する基本用語と、読み方についてのFAQをまとめます。ここを押さえておくと、どの回もぐっと読みやすくなります。

なお、各回の末尾にも、その回に特化した用語集とFAQを用意しています。ここで挙げるのは、連載全体を通して何度も登場する“基礎の基礎”。この10語ほどを押さえておけば、どの回を開いても、用語でつまずくことはほとんどないはずです。

📖 連載・基本用語集

❓ よくある質問（FAQ）