サイバーセキュリティ

MITRE ATT&CKとは？戦術・技術・攻撃手法の違いを図解

MITRE ATT&CKのTactic・Technique・Procedureを図解と操作デモで理解。CVSS、STIX/TAXII、サイバーキルチェーンとの違いや、検知ルール設計での活用例も解説します。

2026-10-09

最初に結論

MITRE ATT&CKは、現実の攻撃で観測された攻撃者の行動を体系化したナレッジベースです。攻撃者が「何のために」「どうやって」行動したかを整理し、脅威分析や検知・防御の検討に役立てます。

脆弱性の点数を付ける仕組みでも、攻撃を必ず順番どおりに進めるフローチャートでもありません。

1. ATT&CKが整理するのは「攻撃者の行動」

ログに不審なPowerShell実行が残っていても、それだけでは「攻撃者が何を狙っていたか」が分かりません。ATT&CKの戦術・技術という共通の言葉を使うと、さまざまな観測事実を整理できます。

TACTIC

戦術

何のために？

Initial Access：最初の侵入口を得たい

TECHNIQUE

技術

どうやって？

T1566 Phishing：フィッシングを使う

PROCEDURE

具体的な実施

実際には何をした？

特定の攻撃グループが実際に使った手順・ツール

例えば Initial Access は攻撃者の目標（戦術）です。その達成方法の一つが T1566 Phishing（技術）です。実際に送ったメールや使ったツールなどの具体的な行動がProcedureに当たります。

ATT&CKでは技術に T1566 のようなIDが付いており、資料や検知ルールで手法を取り違えにくくなります。技術には、より細かい Sub-technique が存在する場合もあります。

技術の実例を見る

MITRE ATT&CK — PowerShell（T1059.001）

1つの技術の公式ページです。説明に加えて攻撃者による使用例などを確認できます。T1059.001はT1059のSub-techniqueです。

https://attack.mitre.org/techniques/T1059/001/

2. 戦術マップを操作してみる

Enterprise ATT&CKでは複数の戦術に技術が整理されています。戦術は攻撃の固定的な時系列ではありません。例えば攻撃者は何度も内部探索を行い、その後に再び認証情報を収集することがあります。

INTERACTIVE FIELD GUIDE

攻撃者の「目的」から観測ポイントを探す

戦術を選ぶと、攻撃者の目的・具体例・監視すべき手掛かりを表示します。

戦術を選択

TACTIC / WHY

初期アクセス — Initial Access

最初の侵入口を確保する

行動例 / HOW

フィッシングメールから不正なサイトへ誘導

観測ポイント / DEFENSE

メールゲートウェイ記録、認証記録

このラボは現行Enterprise Matrixの戦術名を紹介する教材です。各例は架空の説明であり、ATT&CKの個別Technique IDや検知ルールと一対一対応しているとは限りません。戦術は攻撃の固定された時間順序ではなく、複数に該当したり前後したりします。

公式データを見てみる

MITRE ATT&CK — Enterprise Matrix

実物のマトリクスを開くと、戦術が列、技術が項目として並んでいます。戦術を1つ選び、掲載されている技術の名前と説明を確かめてみましょう。

https://attack.mitre.org/matrices/enterprise/

戦術から技術を調べ、さらに自社で取得できるログや既存の検知ルールに対応付けると、「何を観測でき、何が見えていないか」が明確になります。

3. 現場での使い方：ログから防御改善まで

ATT&CKは攻撃を実行する手順書ではなく、守る側が検知状況を整理する際にも活用する分類体系です。

不審なスクリプト実行を調査する例

STEP 01

観測

端末で不審なスクリプトが実行された

STEP 02

分類

Execution / T1059を候補として検討

STEP 03

検知設計

起動元・引数・実行ユーザーの記録を確認

STEP 04

改善

不足するログやアラートを補強

T1059はCommand and Scripting Interpreterの技術IDです。実際の分類は証拠を踏まえて判断します。特定のコマンドを見ただけで攻撃だと断定するものではありません。

脅威ハンティング

攻撃者が使う可能性のある技術を仮説にし、ログの中から兆候を探す。

検知範囲の可視化

監視できている技術と、テレメトリーが不足している技術を整理する。

インシデント分析

観測された行動を共通の分類にそろえ、調査結果をチーム間で共有する。

対策の優先順位

自社に関係する攻撃手法やリスクを踏まえ、監視・設定・運用を改善する。

4. CVSS：攻撃手法ではなく脆弱性の深刻度

CVSS（Common Vulnerability Scoring System） は、脆弱性の技術的な深刻度を共通の指標で伝える仕組みです。特定の攻撃者のTacticやTechniqueをまとめたデータベースではありません。

CVSS v4.0の考え方

Base

脆弱性の固有の特徴

攻撃の成立条件・技術的影響

Threat

変化する脅威の状況

悪用の成熟度など

Environmental

組織固有の環境

資産の重要度・緩和策など

CVSS v4.0にはSupplemental指標もありますが、それはスコアを直接変えません。またBaseスコアはそのまま「自社のリスク」を意味するわけではありません。

CVSS v4.0 / WORKED EXAMPLE

具体例：認証不要で悪用できる重大な脆弱性

インターネット経由で、ログインやユーザー操作なしに悪用でき、脆弱なサーバーの情報漏えい・改ざん・停止につながると仮定します。以下は実在するCVEの診断ではなく、FIRSTが例示するBaseベクトルです。

機械可読な評価結果：CVSS v4.0 Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVSS-B

9.3

Critical / 10.0

AV:N

Network

ネットワーク越しに攻撃できる

AC:L / AT:N

Low / None

複雑な条件や特別な前提条件を要しない

PR:N / UI:N

None / None

事前の権限もユーザー操作も不要

VC:H / VI:H / VA:H

High / High / High

脆弱なシステムの機密性・完全性・可用性に重大な影響

SC:N / SI:N / SA:N

None / None / None

後続システムへの影響は評価上なし

算定の流れ：攻撃の成立条件と影響を評価 → 各値をベクトルに記録 → CVSS v4.0のMacroVectorと補間による算定方式でスコア化。各項目を単純に足し合わせて9.3になるわけではありません。

例えば、運用環境ではファイアウォールなどの制約を考慮してEnvironmental指標を追加できます。その場合、Baseスコアと組織固有の評価スコアは区別します。

FIRST公式の同じベクトルの解説を見る ↗

ATT&CKとの違い：CVSSは「この脆弱性はどれくらい深刻か」、ATT&CKは「攻撃者はどんな行動を取るか」を表します。

公式ツールを操作する

FIRST — CVSS v4.0 Calculator

記事中の9.3点を同じCVSS v4.0ベクトルで再現し、各指標を変えるとスコアがどう動くか確認できます。

https://www.first.org/cvss/calculator/4.0

5. STIX / TAXII：脅威情報を記述し、交換する

STIX は脅威インテリジェンスを構造化して表現する形式、TAXII はそうした情報をネットワーク上でやり取りするためのアプリケーション層プロトコルです。役割が違うため、セットで覚えると理解しやすくなります。

共有する「中身」と「運ぶ仕組み」

組織A / CTI提供側

STIXオブジェクト

Indicator・Malware・Relationshipなどの構造化情報

TAXII
REST API ⇄

組織B / CTI利用側

STIXを受信・解析

SIEMなどへ取り込み、脅威情報として活用

概念的なSTIXの関係例

Indicator ── indicates ──▶ Malware

※実際のSTIXのJSONシリアライズやTAXII通信そのものではありません。

STIX 2.1 / JSON

構造化された脅威情報は実際にどう書くのか

例として、bad.example という予約済みの例示用ドメインに対する検出パターンが、架空のマルウェアの兆候を示すとします。実在の脅威情報ではありません。

Indicator

ドメイン名の検出条件

→

Relationship

indicates

→

Malware

架空のマルウェア

STIX 2.1 Bundle：説明用のJSON例

{
  "type": "bundle",
  "id": "bundle--2134d357-4de1-421b-8d8b-92bb1ec45d32",
  "objects": [
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--af8010ee-2051-4f88-9c01-8f7a10ed6d0d",
      "created": "2026-10-01T00:00:00Z",
      "modified": "2026-10-01T00:00:00Z",
      "name": "不審な通信先の検出ルール",
      "indicator_types": ["malicious-activity"],
      "pattern": "[domain-name:value = 'bad.example']",
      "pattern_type": "stix",
      "pattern_version": "2.1",
      "valid_from": "2026-10-01T00:00:00Z"
    },
    {
      "type": "malware",
      "spec_version": "2.1",
      "id": "malware--174c901e-5dc1-40b0-b15e-36c8121b2a47",
      "created": "2026-10-01T00:00:00Z",
      "modified": "2026-10-01T00:00:00Z",
      "name": "ExampleDownloader",
      "is_family": false
    },
    {
      "type": "relationship",
      "spec_version": "2.1",
      "id": "relationship--bd0a266e-731b-4be3-9ffb-dde23c8a3ef0",
      "created": "2026-10-01T00:00:00Z",
      "modified": "2026-10-01T00:00:00Z",
      "relationship_type": "indicates",
      "source_ref": "indicator--af8010ee-2051-4f88-9c01-8f7a10ed6d0d",
      "target_ref": "malware--174c901e-5dc1-40b0-b15e-36c8121b2a47"
    }
  ]
}

type: indicator や malware でオブジェクトの種類を表します。

pattern: [domain-name:value = 'bad.example'] は、特定ドメイン名を検出するためのSTIXパターンです。

source_ref / target_ref: オブジェクトIDを参照して、兆候とマルウェアの関係を結びます。

bundle: 複数オブジェクトを1つのJSON文書にまとめたコンテナーです。

OASIS公式のIndicator・RelationshipのJSON例を見る ↗

TAXII 2.1 / HTTP

通信例：コレクションを探して脅威情報を取得

TAXII 2.1はHTTPを用いたAPIです。まず利用できるCollectionを取得し、選んだCollectionのobjects/からSTIXオブジェクトを取得します。以下は架空のサーバーを使った例示であり、実際に接続できるURLではありません。

CTIクライアントHTTPS →TAXIIサーバー

1. 利用できるCollectionを問い合わせ

GET /taxii2/api1/collections/ HTTP/1.1
Host: cti.example.org
Accept: application/taxii+json;version=2.1
Authorization: Bearer <access-token>

2. Collectionの一覧を受信

HTTP/1.1 200 OK
Content-Type: application/taxii+json;version=2.1

{
  "collections": [
    {
      "id": "91a7b528-80eb-42ed-a74d-c6fbd5a26116",
      "title": "Example indicators",
      "can_read": true,
      "can_write": false,
      "media_types": ["application/stix+json;version=2.1"]
    }
  ]
}

3. Collectionからオブジェクトを要求

GET /taxii2/api1/collections/91a7b528-80eb-42ed-a74d-c6fbd5a26116/objects/ HTTP/1.1
Host: cti.example.org
Accept: application/taxii+json;version=2.1
Authorization: Bearer <access-token>

4. TAXII EnvelopeとしてSTIXデータを受信

HTTP/1.1 200 OK
Content-Type: application/taxii+json;version=2.1
X-TAXII-Date-Added-First: 2026-10-01T00:00:00Z
X-TAXII-Date-Added-Last: 2026-10-01T00:00:00Z

{
  "objects": [
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--af8010ee-2051-4f88-9c01-8f7a10ed6d0d",
      "created": "2026-10-01T00:00:00Z",
      "modified": "2026-10-01T00:00:00Z",
      "name": "不審な通信先の検出ルール",
      "indicator_types": ["malicious-activity"],
      "pattern": "[domain-name:value = 'bad.example']",
      "pattern_type": "stix",
      "pattern_version": "2.1",
      "valid_from": "2026-10-01T00:00:00Z"
    }
  ]
}

ポイント：TAXII 2.1のHTTP応答の外側は application/taxii+json;version=2.1。その中の objects にSTIX 2.1のオブジェクトが入ります。Authorizationは認証方式に応じた説明用の例で、全サーバーがBearer認証を使用するわけではありません。

OASIS公式TAXII 2.1仕様のリクエスト・レスポンス例を見る ↗

ATT&CKとの違い：ATT&CKは攻撃者の行動を分類する知識体系。STIXは脅威情報の表現形式、TAXIIは情報交換の仕組みです。STIXからATT&CKのTechniqueを参照する構成も可能ですが、同一のものではありません。

実際の可視化プロジェクトを見る

OASIS — STIX Visualization

STIXオブジェクトの関係をグラフで表現するオープンソースプロジェクトです。GitHubリポジトリの画面や説明を確認できます。オンラインでそのまま動くデモではありません。

https://github.com/oasis-open/cti-stix-visualization

6. サイバーキルチェーン：攻撃を7段階で捉える

サイバーキルチェーン は、Lockheed Martinが示した侵入活動を理解するためのモデルです。代表的な7段階に分け、各段階で防御や検知の機会を考えます。

代表的な7つの段階

偵察

Reconnaissance

標的に関する情報収集

武器化

Weaponization

攻撃用の仕組み・コンテンツを準備

配送

Delivery

攻撃に使うものを標的へ届ける

悪用

Exploitation

脆弱性などを利用して攻撃を進める

インストール

Installation

不正なコードや仕組みを配置

指令・制御

Command & Control

外部の指令元と通信

目的達成

Actions on Objectives

情報窃取・妨害などを実行

典型的な侵入活動を理解するためのモデルであり、すべての攻撃が必ず7段階を順に経るわけではありません。

ATT&CKとの違い：キルチェーンは侵入活動の大きな進行段階を考える枠組み。ATT&CKは各目的を達成するために使われる具体的な技術や実際の行動を、より細かく整理します。ATT&CKの戦術をキルチェーンの段階と一対一で対応付けるものではありません。

提唱元の解説を見る

Lockheed Martin — Cyber Kill Chain

7段階モデルを提唱したLockheed Martinの公式説明です。攻撃の流れのどこに防御機会があるかを考える際の参考になります。

https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

7. 4つを一瞬で見分ける

名称	主な対象	覚える言葉
MITRE ATT&CK	攻撃者の行動・技術	戦術 / 技術 / ナレッジベース
CVSS	脆弱性の深刻度	スコア / ベクトル
STIX / TAXII	脅威情報の記述・交換	形式 / プロトコル
サイバーキルチェーン	侵入活動の流れ	7段階 / 防御機会

8. 理解を確認する

QUICK CHECK

攻撃者の戦術と技術を整理したい。何を使う？

調査で観測した行動を、初期アクセス・実行・横展開などの目的と具体的な攻撃技術に整理したい。

答えと理由を表示

MITRE ATT&CK

攻撃者の目的に当たるTacticと、その実現方法であるTechniqueを体系化しているためです。CVSSは脆弱性評価、STIX/TAXIIは情報交換、キルチェーンは攻撃過程の段階モデルです。

まとめ

MITRE ATT&CKは、現実に観測された攻撃者の行動を、目的と方法を軸に理解するためのナレッジベースです。セキュリティ監視の設計・脅威分析・検知範囲の検証などに活用できます。

ATT&CK = 攻撃者の行動を分類する
CVSS = 脆弱性の深刻度を評価する
STIX / TAXII = 脅威情報を記述・交換する
キルチェーン = 攻撃の段階を捉える

参考文献

[1]
MITRE ATT&CK — Get Started
MITRE
[2]
MITRE ATT&CK — Enterprise Matrix
MITRE
[3]
MITRE ATT&CK — Enterprise Techniques
MITRE
[4]
CVSS v4.0 Specification
FIRST
[5]
STIX Version 2.1
OASIS
[6]
TAXII Version 2.1
OASIS
[7]
Cyber Kill Chain
Lockheed Martin