サイバーキルチェーン分析 は何をしますか？
使用タイミング
このスキルは以下の場面で使用します：
- インシデント後の分析で、攻撃者が攻撃シーケンスのどこまで進行したかを判断する場合
- 各フェーズのできるだけ早い段階で攻撃を阻止することを目標に、多層防御を設計する場合
- 非技術的なステークホルダーに対して攻撃の進行状況を伝える脅威インテリジェンスレポートを作成する場合
注意： このスキルは単独のフレームワークとして使用しないでください。7フェーズのキルチェーンだけではカバーできない技法レベルの粒度を補うため、MITRE ATT&CKと組み合わせて使用してください。
前提条件
- 完全なインシデントタイムライン（フォレンジックアーティファクトが特定の攻撃行動に対応付けられていること）
- 各キルチェーンフェーズ内での技法レベルマッピングのためのMITRE ATT&CK Enterpriseマトリックス
- 疑わしい攻撃グループの典型的なキルチェーン進行に関する脅威インテリジェンスへのアクセス
- 対応チームからのインシデント後レポートまたはIRタイムライン
ワークフロー
ステップ1: 観測された行動をキルチェーンフェーズにマッピングする
Lockheed Martinサイバーキルチェーンは7つのフェーズで構成されています。すべての観測された攻撃行動をマッピングします：
フェーズ1 - 偵察: 攻撃者が攻撃前に標的情報を収集します。
- 指標：攻撃者IPからのDNSクエリ、LinkedInスクレイピング、求人情報分析、組織インフラへのShodanスキャン
フェーズ2 - 武器化: 攻撃者が攻撃ツール（マルウェア＋エクスプロイト）を作成します。
- 指標：マルウェアのコンパイルタイムスタンプ、エクスプロイトドキュメントのメタデータ、マルウェアサンプル内のビルダーアーティファクト
フェーズ3 - 配送: 攻撃者が標的に武器を送り届けます。
- 指標：フィッシングメール、悪意のある添付ファイル、ドライブバイダウンロード、USBメモリ経由の感染、サプライチェーン侵害
フェーズ4 - 悪用: 攻撃者が脆弱性を悪用してコードを実行します。
- 指標：アプリケーション/OSログでのCVE悪用イベント、メモリ破損アーティファクト、シェルコードの実行
フェーズ5 - インストール: 攻撃者が標的システム上に永続化を確立します。
- 指標：新しいスケジュールタスク、レジストリ実行キー、サービスのインストール、Webシェル、ブートキット
フェーズ6 - コマンド&コントロール（C2）: 攻撃者が侵害したシステムと通信します。
- 指標：ビーコン通信（一定間隔）、DNSトンネリング、一般的でないドメインへのHTTPS通信、C2フレームワークのシグネチャ（Cobalt Strike、Sliver）
フェーズ7 - 目的達成: 攻撃者が目標を達成します。
- 指標：データのステージング/流出、ラテラルムーブメント、ランサムウェアの実行、破壊活動
ステップ2: フェーズ完了と検知ポイントを特定する
インシデントのフェーズマトリックスを作成します：
Phase 1: 偵察 → 完了（未検知）
Phase 2: 武器化 → 完了（未検知 — 攻撃前）
Phase 3: 配送 → 完了；フィッシングメールがSEGを通過
Phase 4: 悪用 → 完了；CVE-2023-23397が悪用される
Phase 5: インストール → 検知：EDRがスケジュールタスク作成を検知（ここで攻撃停止）
Phase 6: C2 → 未達成（インストールがブロックされた）
Phase 7: 目的達成 → 未達成
検知されずに完了した各フェーズについて、防御のギャップを文書化します。
ステップ3: 技法詳細のためにMITRE ATT&CKにマッピングする
各キルチェーンフェーズは複数のATT&CK戦術に対応します：
- 配送 → 初期アクセス（TA0001）
- 悪用 → 実行（TA0002）
- インストール → 永続化（TA0003）、特権昇格（TA0004）
- C2 → コマンド&コントロール（TA0011）
- 目的達成 → 情報流出（TA0010）、影響（TA0040）
各フェーズ内で、観測された特定のATT&CK技法を列挙し、既存の検知にマッピングします。
ステップ4: フェーズごとの対策コースを特定する
各フェーズについて、適用可能な防御対策コース（COA）を文書化します：
- 検知COA: このフェーズでの攻撃活動を警告する検知は何か？
- 拒否COA: 攻撃者がこのフェーズを完了するのを防ぐ制御は何か？
- 妨害COA: 攻撃者をフェーズ途中で中断させる制御は何か？
- 劣化COA: このフェーズでの攻撃者の有効性を低下させる制御は何か？
- 欺瞞COA: どのような欺瞞（ハニーポット、カナリアトークン）がこのフェーズの活動を露呈させるか？
- 破壊COA: どのような能動的防御機能が攻撃者インフラを無力化するか？
ステップ5: キルチェーン分析レポートを作成する
以下の構成で調査結果をまとめます：
- 攻撃のストーリー（フェーズのタイムライン）
- フェーズごとの分析と証拠
- 検知ポイント分析（何が機能し、何が失敗したか）
- フェーズごとの防御推奨事項（費用対効果で優先順位付け）
- 制御改善ロードマップ
主要概念
| 用語 | 定義 |
|---|---|
| キルチェーン | 侵入のフェーズを逐次的にモデル化したもの; どのリンクでも断ち切れば理論上攻撃を阻止できる |
| 対策コース（COA） | 各キルチェーンフェーズに対応する防御対応: 検知、拒否、妨害、劣化、欺瞞、破壊 |
| ビーコン通信 | 侵害されたホストから攻撃者サーバーへの定期的なC2チェックインパターン; 頻度分析で検出可能 |
| フェーズ完了 | 攻撃者がキルチェーンのフェーズを正常に終え、次のフェーズに進行すること; 多層防御はこれを防ぐことを目的とする |
| インテリジェンスの獲得/喪失 | フェーズ5で検知した場合（対フェーズ3）に、攻撃者の能力や意図に関するインテリジェンスが増減するかどうかの分析 |
ツールとシステム
- MITRE ATT&CK Navigator: キルチェーンフェーズをATT&CK技法カバレッジと重ね合わせて統合分析を行う
- Elastic Security EQL: Elastic SIEMで多段階攻撃シーケンスをクエリするためのイベントクエリ言語
- Splunk ES: キルチェーンフェーズの順序付けのためのタイムライン可視化と相関検索
- MISP: 構造化されたインシデントイベント文書化のための、ギャラクシークラスターによるキルチェーンタグ付け
よくある落とし穴
- 線形の前提: 攻撃者は常に線形に進行するとは限りません。フェーズをスキップする（以前のキャンペーンから武器化が完了している）ことも、ループバックする（検知後にC2を再確立する）こともあります。
- フェーズ1と2の無視: 偵察と武器化は防御側が可視化する前に発生します。これらのフェーズに関するインテリジェンスは外部ソース（OSINT、脅威インテリジェンス）が必要です。
- 内部関係者脅威の見落とし: キルチェーンは外部攻撃者向けに設計されています。内部関係者脅威は初期フェーズを経ずに直接フェーズ7に進む可能性があります。
- ATT&CK戦術との混同: 7フェーズのキルチェーンと14のATT&CK戦術は補完的ですが、直接同等ではありません。分析の混乱を避けるために区別を維持してください。