MITRE ATT&CK

MITRE社が開発・公開している、サイバー攻撃の戦術（Tactics）と技法（Techniques）を体系的に分類したナレッジベース。攻撃者の行動パターンを理解し、防御策の検討やセキュリティ製品の評価に活用される。過去問でも出題されている。

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

攻撃者が攻撃の準備として、標的組織のドメイン情報、IPアドレスの範囲、公開サーバ、従業員の情報などを、公開情報や調査ツールで収集すること。サイバーキルチェーンの偵察の段階に当たり、ポートスキャンなどで得た情報と合わせて攻撃の経路を決める。

セキュリティ製品のアラートを待つのではなく、攻撃者がすでに侵入しているという前提で、ログや端末の挙動を能動的に調べ、潜伏している脅威の痕跡を探し出す活動。攻撃者のTTPなどの脅威インテリジェンスから仮説を立て、EDRやSIEMのデータを分析して検証する。

攻撃者の目的、手口（TTP）、使われるマルウェアや不正なIPアドレス・ドメイン、狙われている脆弱性など、脅威に関する情報を収集・分析し、防御や意思決定に役立つ形にまとめたもの。セキュリティ製品の検知ルールへの反映、脅威ハンティングの仮説づくり、経営層へのリスクの説明などに活用する。

システムやネットワークがサイバー攻撃により侵害された可能性を示す技術的な痕跡や指標。C&Cサーバとの通信履歴、不審なファイルハッシュ値、マルウェアの通信先IPアドレスなどが含まれ、脅威インテリジェンスの共有やインシデント対応に活用される。