MITRE ATT&CK とは？その効果は？

ATT&CK の用途

ATT&CK は日々のさまざまな状況で役立ちます。攻撃者とその行動を参照するあらゆる防御策に ATT&CK の分類を適用すると、効果が高まります。ATT&CK はサイバー防衛者に共通の用語を提供するだけではありません。侵入テストやレッドチーム演習の基盤としても機能します。これにより、防衛者やレッドチームのメンバーは共通の用語を使って敵対行動を表現できます。

ATT&CK の分類の適用が役立つ例を以下に挙げます。

ATT&CK を使用して防御を対応付け、ギャップを理解する

セキュリティチームが MITRE ATT&CK を見ると、エンタープライズマトリクスの手法ごとに何らかの検知または防御コントロールを試し、開発したくなるのももっともなことです。悪い考えではありませんが、ATT&CK の存在意義を考えると、ある注意事項を念頭に置かなければ、これはやや危険なアプローチになります。ATT&CK マトリクス内の手法は、多くの場合、さまざまな方法で実行されます。そのため、その手法を実行するための 1 つの方法を阻止または検知しても、考えうるすべての方法に対処できているとは限りません。これは「あるツールで手法採用の 1 つの形態を阻止できたので、組織はその手法を適切に回避できている」というセキュリティに関する誤った認識につながる可能性があります。しかし、攻撃者は検知または防御が整備されていない別の方法で、その手法をうまく採用できます。

これに対処する方法は、次のとおりです。

• ある ATT&CK 手法を実行するための方法は複数存在することを常に念頭に置く
• 特定の手法を実行するための既知の方法を調査、テストし、整備されているツールや可視性の効果を測定する
• テストの結果を慎重に記録し、その手法のギャップはどこにあるのか、その手法のどの採用方法を検知または防御できるのかを示す
• 特定の検知にどのツールが効果的なのか、まったく対処されていないギャップはどれかを認識する
• 手法を実行するための新しい方法を常に学び、対処状況を測定する環境でテストする

たとえば、ウイルス対策が Mimikatz の存在を検知した場合、Pass the Hash（T1075）と Pass the Ticket（T1097）に対処済みであるとは限りません。Mimikatz を使用せずにこれらの手法を実行する方法は、まだ複数あるからです。ATT&CK を使用して、組織における防御の範囲を示す場合には、このことを念頭に置いてください。

サイバー脅威インテリジェンスに ATT&CK を使用する

ATT&CK は標準的な形式で敵対行動を説明できるため、サイバー脅威インテリジェンスに有用です。アクターは、過去に使用したことが知られている ATT&CK の手法や戦術から追跡できます。これにより、運用コントロールと対比するためのロードマップが防衛者に提供されるので、特定のアクターに対する強みや弱みがどこにあるかを確認できます。MITRE ATT&CK Navigator で特定のアクターのエントリを作成すると、そのアクターまたはグループに対する環境の強みと弱みを視覚化できます。ATT&CK は STIX/TAXII 2.0 フィード として利用することも可能です。これにより、これらのテクノロジをサポートする既存のツールに簡単に取り込めるようになります。

ATT&CK は、オープンソースレポートに基づき、約 70 のアクターやグループに関する詳細情報（使用することが認識されているテクニックやツールなど）を提供します。

MITRE ATT&CK グループリスト

インテリジェンス作成プロセス自体も、ATT&CK の共通の用語を使用することでメリットを享受できます。前述のとおり、これはアクターやグループに適用できますが、SOC またはインシデント対応活動で観察される行動にも適用できます。マルウェアも ATT&CK 内の行動と照らして参照できます。ATT&CK をサポートする脅威インテリジェンスツールであれば、このプロセスの単純化に役立ちます。取り上げられた行動に ATT&CK を適用する商用およびオープンソースインテリジェンスも、一貫性の保持に役立ちます。当事者全員が敵対行動に関して共通の用語を使用することで、運用または管理へのインテリジェンスの伝達が最終的にはとても簡単になります。運用側が矯正認証について正確に把握しており、インテリジェンスレポートの記載を確認すれば、そのインテリジェンスに関してどのような措置を講じるべきか、どのようなコントロールがすでに整備されているかを正確に把握できる可能性があります。このようにしてインテリジェンス製品の ATT&CK 参照を標準化することにより、効率を大幅に改善し、共通理解を深めることができます。

敵対的シミュレーションと ATT&CK

以下の場合には、環境において ATT&CK の手法をテストするとよいでしょう。

• コントロールとその有効性をテストする
• 異なる手法に対する対処を確実に行う
• 可視性または保護におけるギャップを理解する
• ツールとシステムの構成を検証する
• さまざまなアクターがその環境で成功を遂げる場合や、身動きできなくなる場合を示す
• 検知または緩和されるものとされないものを正確に知ることによって、コントロールに関する推測や仮説を回避する

敵対的シミュレーションを実行するプロセスは、多くの環境にとってなじみのあるものです。侵入テストを採用して環境へテストしている場合、組織は敵対的シミュレーションテストに取り組んでいるということになります。社内にレッドチームがある組織、またはパープルチームを伴う演習を実施している組織にも同じことが言えます。このような取り組みの活動を ATT&CK 手法に当てはめることにより、防衛者による成果をよく理解できるようになります。侵入テストおよびレッドチームのレポートは、特定の活動の検知失敗を報告するものではなく、運用コントロール、防衛ツールおよび手順に活動を直接当てはめることのできる、優れたコンテキストが含めることが可能です。そのため、レポートの確認後に、防衛者は適切な措置を簡単に講じることができます。

シミュレーションには、特定のアクターが使用したことが知られているツールや手法を反映させることができます。これは、環境に存在するコントロールに対し、特定の攻撃者がどの程度成功するかを評価する場合に特に役立ちます。

さらに、特定のテクニックを環境内で直接テストするメカニズムを提供するツールで、ATT&CK との整合を図ったものもあります。Verodin、SafeBreach、AttackIQなどの商用ツールでは、ATT&CK との整合性を確保した敵対的シミュレーションを実行できます。敵対的シミュレーションの実行が目的で、ATT&CK との整合も図っているオープンソースオプションがいくつかあります（下記参照）。もちろん、潜在的な影響の範囲が完全には把握できない本番稼動ネットワークで敵対的シミュレーションを実行する場合には、細心の注意が必要です。

• MITRE Caldera
• Uber Metta
• Endgame Red Team Automation (RTA)
• Red Canary Atomic Red Team

これらのツールの使用方法は簡単です。

1. シミュレーション - 必要なテストに基づいてシミュレーション条件を選択し、ツールを実行するか、手作業で手法を実行します。
2. 捜索 - シミュレーションした活動のエビデンスをログ記録およびツールの出力で探し、検知コントロールまたは防御コントロールで達成できなかった期待値を記録します。
3. 検知 - 所見に基づき、新しい検知または対策を追加します。さらに、可視性におけるギャップや、検知または対策に使用したツールを記録します。

ATT&CK を利用する際の課題

ATT&CK の使用には課題が存在します。ATT&CK を利用する際には、これらを念頭に置きましょう。