TTPsとは何か？サイバー攻撃者の戦術・技術・手順をわかりやすく解説

スポンサード

TTPsとは、サイバー攻撃者が使う「戦術・技術・手順」を体系的に整理した概念です。
セキュリティ担当者がTTPsを正しく理解することで、攻撃者の行動パターンを把握し、より実践的な防御策を講じることができます。
この記事では、TTPsの基本的な意味から、MITRE ATT&CKフレームワークを使った具体的な活用方法まで、初めて学ぶ方にもわかりやすく丁寧に解説します。標的型攻撃やランサムウェアなど実際の攻撃事例も交えながら、SOCやCSIRTの現場でどのように役立てるかまで理解できる内容になっています。

1. TTPsとは何かをひとことで説明すると

TTPsとは、サイバー攻撃者が目的を達成するために用いる「戦術（Tactics）」「技術（Techniques）」「手順（Procedures）」の3つを総称した概念です。英語の頭文字を並べて「TTPs」と表記します。

サイバーセキュリティの分野では、攻撃者がどのような手口でシステムに侵入し、どのように被害を拡大させ、どのようなかたちで最終的な目的を達成するのかを体系的に理解するための枠組みとして、このTTPsという概念が広く使われています。

たとえば、不審なメールを送りつけてリンクをクリックさせる、というだけでは攻撃の全体像を把握したとは言えません。
「なぜその手口を使ったのか（目的＝戦術）」「どのような技術的手法を用いたのか（技術）」「具体的にどのように実行されたのか（手順）」という3つの視点で分析してはじめて、攻撃の本質が見えてくるのです。

TTPsはセキュリティの現場で非常に重要視されている理由のひとつに、攻撃者のIPアドレスやマルウェアのハッシュ値といった「痕跡情報（IoC）」とは異なり、攻撃者が変えにくい行動パターンそのものを捉えているという点があります。攻撃者はツールや経路を容易に変更できますが、自分たちの行動様式そのものを短期間で大きく変えることは難しいため、TTPsを把握することは長期的な防御戦略において特に有効です。

また、TTPsは防御側だけでなく、セキュリティアナリストやインシデント対応チーム、脅威ハンティングを行うチームなど、さまざまな立場のセキュリティ担当者にとって共通の「言語」として機能します。
TTPsを理解することは、現代のサイバーセキュリティ対策において欠かせない基礎知識といえるでしょう。

このように、TTPsは単なるセキュリティ用語にとどまらず、攻撃者の思考と行動を体系的に読み解くための実践的なフレームワークとして機能しています。次の章では、TTPsを構成するそれぞれの要素についてさらに詳しく掘り下げていきます。

2. TTPsを構成する3つの要素

TTPsは「Tactics（戦術）」「Techniques（技術）」「Procedures（手順）」という3つの英単語の頭文字を組み合わせた略語です。サイバー攻撃者がどのような目的を持ち、どのような手法を使い、実際の攻撃現場でどう実装しているかを体系的に整理するための概念として、セキュリティの世界で広く使われています。
この3つの要素はそれぞれ異なる抽象度を持っており、TTPsを正確に理解することが、効果的な脅威分析や防御策の立案につながります。

2.1 戦術（Tactics）　攻撃者の目的と狙い

戦術（Tactics）は、TTPsの中でもっとも抽象度が高い概念です。攻撃者が攻撃の各フェーズにおいて「何を達成しようとしているか」という目的や意図を表します。
たとえば、標的のシステムへの侵入口を確保すること、権限を昇格させること、内部ネットワークを横断移動すること、機密データを外部へ持ち出すことなど、それぞれが個別の戦術に該当します。

スポンサード

戦術は攻撃者の「意図」を示すものであり、特定のツールやマルウェアに依存しないため、攻撃者がツールや手法を変えても戦術そのものは変化しにくいという特性があります。
この特性が、TTPsをIoC（侵害の痕跡）よりも長期的に有効な防御指標として位置づける理由のひとつです。セキュリティ担当者は戦術レベルの理解を持つことで、攻撃者の全体的な行動パターンを把握しやすくなります。

2.2 技術（Techniques）　目的を達成するための具体的な手法

技術（Techniques）は、攻撃者がある戦術の目的を達成するために用いる具体的な手法を指します。同じ戦術であっても、攻撃者によってさまざまな技術が選択されることがあり、技術はTTPsの中で「どのように目的を達成するか」という問いに答える中間的な概念です。

たとえば「初期アクセス」という戦術に対しては、スピアフィッシングメールによるリンクのクリック誘導、悪意のある添付ファイルの送付、公開されているWebアプリケーションの脆弱性の悪用など、複数の技術が対応します。また、MITRE ATT&CKフレームワークでは技術をさらに細分化した「サブテクニック（Sub-techniques）」も定義されており、より詳細なレベルでの分析が可能になっています。技術レベルの情報は、セキュリティ製品の検知ルール設計や脅威ハンティングに直接応用できる粒度を持っています。

2.3 手順（Procedures）　実際の攻撃現場での実装方法

手順（Procedures）は、TTPsの中でもっとも具体性が高い概念です。攻撃者が特定の技術を実際にどのように実装・実行したかという、現実の攻撃事例に基づいた詳細な記録を指します。
手順は「特定の攻撃者グループが、特定の環境において、特定のツールを使って技術をどう展開したか」を示すものであり、インシデント対応や脅威インテリジェンスの分析において非常に重要な情報です。

たとえば、あるAPT（持続的標的型攻撃）グループが権限昇格の技術を用いる際に、特定のエクスプロイトコードとコマンドラインの組み合わせを使用した、という記録が手順に該当します。手順の情報は攻撃者グループごとに異なることが多く、同じ技術であっても手順レベルでは違いが生じます。
このため、手順の分析はどの攻撃者グループが関与しているかを特定するアトリビューション（帰属分析）の根拠にもなります。一方で、攻撃者は手順を変えることで検知を回避しようとするため、手順の情報だけに依存した防御策は長期的な有効性に限界があります。戦術・技術・手順の3つの層を組み合わせて理解することが、TTPsを実務で活かす上で不可欠です。

3. TTPsとサイバー脅威インテリジェンスの関係

TTPsを正しく理解するうえで欠かせないのが、「サイバー脅威インテリジェンス（Cyber Threat Intelligence／CTI）」との関係性です。TTPsは単独で語られる概念ではなく、脅威インテリジェンスという大きな枠組みのなかに位置づけられることで、初めてセキュリティ対策として実用的な意味を持ちます。

3.1 脅威インテリジェンスにおけるTTPsの位置づけ

サイバー脅威インテリジェンスとは、攻撃者の動機・能力・手法などに関する情報を収集・分析し、組織のセキュリティ対策に活かすための知識体系のことです。脅威インテリジェンスは一般的に、その抽象度と活用目的に応じて「戦略的」「作戦的」「戦術的」「技術的」の4つのレベルに分類されます。

TTPsは、このなかでも特に「戦術的インテリジェンス」および「技術的インテリジェンス」に相当します。つまり、TTPsは脅威インテリジェンスのなかでも最も実践的で、現場のセキュリティ担当者が防御策を立てる際に直接活用できる情報です。
攻撃グループがどのような目的で、どのような手法を使い、どのような手順で侵害を進めるかを具体的に示すため、防御側にとって非常に価値の高い情報となります。

脅威インテリジェンスの各レベルとTTPsの対応関係を整理すると、以下のようになります。

このように、TTPsは脅威インテリジェンスの全体像を構成する重要な柱のひとつであり、組織のセキュリティ成熟度を高めるためには、TTPsを軸に置いた脅威インテリジェンスの活用が欠かせません。

3.2 IoC・IoAとTTPsの違い

セキュリティの文脈では、TTPsと並んで「IoC（Indicators of Compromise／侵害の痕跡）」と「IoA（Indicators of Attack／攻撃の指標）」という概念もよく登場します。これらは似ているようで、目的も活用場面も異なります。それぞれの違いを正確に理解しておくことが、脅威インテリジェンスを実務で活かす第一歩です。

IoCとは、システムやネットワークがすでに侵害されたことを示す痕跡情報のことです。具体的には、マルウェアのハッシュ値、不審なIPアドレス、悪意あるドメイン名、レジストリキーの変更痕跡などが該当します。
IoCは「事後的な検出」に強みを持ちますが、攻撃者がインフラを頻繁に変更するため、鮮度が落ちやすいという特性があります。

IoAとは、攻撃が進行中であることを示す行動の指標です。たとえば、通常とは異なる時間帯の認証試行や、管理者権限の突然の変更などがIoAに相当します。IoCが「何が残ったか」を見るのに対し、IoAは「何が起きているか」をリアルタイムで捉えようとするものです。

そしてTTPsは、攻撃者が「どのように行動するか」という行動パターンそのものを指します。
IoCやIoAが個々の攻撃の痕跡や指標を示すのに対し、TTPsは攻撃者の戦略的な行動様式を体系的に記述したものであり、より高い抽象度と汎用性を持ちます。

この3つの概念の関係を整理すると、以下のようになります。

特に注目すべき点は、TTPsの「変化の遅さ」です。攻撃者はIPアドレスやマルウェアのサンプルを比較的容易に変更できますが、組織的な攻撃グループが培ってきた行動パターンや手順はそう簡単には変えられません。
TTPsに基づいた防御策は、攻撃者のインフラ変更に左右されにくく、長期的に有効であるという点で、IoCに依存した対策よりも根本的な防御力を持ちます。

このような理由から、セキュリティの成熟度が高い組織ほど、IoCの収集・対応にとどまらず、TTPsを中心に据えた脅威インテリジェンスの運用にシフトしていく傾向があります。
TTPsの理解と活用は、現代のサイバーセキュリティ対策において避けては通れない重要な視点です。

4. TTPsの代表的なフレームワーク　MITRE ATT&CK

TTPsを体系的に整理・活用するうえで、世界中のセキュリティ専門家が参照しているのが「MITRE ATT&CK」というフレームワークです。このフレームワークを理解することは、攻撃者の行動パターンを把握し、実効性の高い防御策を設計するための土台となります。

4.1 MITRE ATT&CKとは何か

MITRE ATT&CKとは、米国の非営利研究機関であるMITREが開発・公開している、サイバー攻撃者のTTPsを体系的にまとめたナレッジベースです。
「ATT&CK」は「Adversarial Tactics, Techniques, and Common Knowledge」の略であり、その名のとおり、攻撃者の戦術・技術・共通知識を網羅的に分類・整理したデータベースとして機能します。

2013年に米国のネットワーク内における攻撃者の振る舞いを記録する内部プロジェクトとして始まり、現在では世界中のセキュリティベンダー、政府機関、研究者によって継続的に更新・拡充されています。
エンタープライズ環境、モバイル環境、ICS（産業制御システム）環境それぞれに対応したマトリクスが用意されており、実際の攻撃インシデントを分析した知見が集約されています。

MITRE ATT&CKの最大の特徴は、攻撃者の目的（戦術）ごとに具体的な技術手法（テクニック）が紐づけられており、さらにその技術を実際の攻撃で使用した脅威アクターや悪用されたソフトウェアまで関連付けて参照できる点にあります。これにより、防御側はどのような攻撃パターンに備えるべきかを、抽象論ではなく実際の攻撃事例に基づいて検討できます。

スポンサード

4.2 MITRE ATT&CKの主要な戦術カテゴリ一覧

MITRE ATT&CKのエンタープライズ向けマトリクスは、攻撃の進行フェーズに沿って複数の戦術カテゴリで構成されています。各戦術カテゴリの下には、それを実現するための具体的なテクニック（技術）とサブテクニックが多数列挙されています。以下に主要な戦術カテゴリとその概要を整理します。

これらの戦術カテゴリは独立したものではなく、攻撃者が初期アクセスを得てから最終目的を達成するまでの一連の流れとして連鎖している点を理解することが重要です。
防御側がこのフローを把握することで、どのフェーズでどのような対策を講じるべきかを論理的に判断できます。

4.2.1 初期アクセス

初期アクセス（Initial Access）は、攻撃者が標的となる組織のネットワークや端末に対して最初の侵入口を確保するフェーズです。このフェーズにおける代表的なテクニックとして、スピアフィッシングメールによる添付ファイルやリンクの悪用、公開されているウェブアプリケーションの脆弱性の悪用、リムーバブルメディアの悪用、サプライチェーン攻撃などが挙げられます。

初期アクセスに成功するか否かが、その後の攻撃の進行を大きく左右します。
そのため、初期アクセスの段階でいかに攻撃者の侵入を検知・遮断するかが、セキュリティ対策の最初の重要なポイントとなります。
メールフィルタリング、多要素認証の導入、ソフトウェアの脆弱性管理（パッチ管理）などがこのフェーズへの対策として有効です。

4.2.2 実行・永続化・権限昇格

初期アクセスに成功した攻撃者は、次に侵害したシステム上でコードを実行し、長期的なアクセスを維持しつつ、より広範な権限を取得しようとします。

実行（Execution）では、PowerShellやWindows Management Instrumentation（WMI）などの正規の管理ツールが悪用されることが多く、セキュリティソフトによる検知を困難にする「環境寄生（Living off the Land）」と呼ばれる手法が広く使われています。

永続化（Persistence）では、システム再起動後もアクセスを維持するために、レジストリの自動起動キーへの登録、スケジュールされたタスクの作成、バックドアの設置などが行われます。

権限昇格（Privilege Escalation）では、OSやアプリケーションの脆弱性を悪用して管理者権限を取得したり、不適切に設定されたサービスを悪用したりする手法が用いられます。
この3つのフェーズは連続して実行されることが多く、攻撃者が組織内部に深く根を張るための基盤となるため、エンドポイント保護ソリューションによるリアルタイム監視や、最小権限の原則に基づくアクセス制御が防御の要となります。

4.2.3 情報収集・流出

攻撃の最終フェーズでは、攻撃者が内部ネットワークを探索して価値ある情報を収集し、それを外部へ持ち出すことを目的とした活動が行われます。

探索（Discovery）のフェーズでは、侵害したシステム上で内部ネットワークの構成、接続されているデバイス、利用中のサービス、保存されているファイルの一覧などを把握するための調査が実施されます。

収集（Collection）では、機密文書、メール、認証情報、知的財産などのデータが攻撃者によって集められます。キーロガーや画面キャプチャツールが用いられるケースも確認されています。

情報流出（Exfiltration）では、収集したデータを外部サーバへ送信するにあたり、通常の通信トラフィックに紛れ込ませる、暗号化通信を利用するなど、セキュリティ機器による検知を回避するための工夫が加えられることが多く見られます。
データ流出の検知には、DLP（Data Loss Prevention）ソリューションの活用や、異常な大量データ転送を監視するネットワーク監視体制の整備が有効です。

4.3 サイバーキルチェーンとTTPsの対応関係

TTPsを理解するうえで、MITRE ATT&CKとともに参照されることの多いフレームワークが「サイバーキルチェーン」です。サイバーキルチェーンは、米国の防衛企業であるロッキード・マーチンが提唱したモデルで、サイバー攻撃を「偵察」「武器化」「デリバリー」「エクスプロイト」「インストール」「コマンド＆コントロール」「目的実行」の7段階に分類したものです。

サイバーキルチェーンが攻撃の大まかな流れを7段階で捉えるのに対し、MITRE ATT&CKはより細粒度で攻撃者の具体的な技術手法までを体系化しており、実際の防御策や検知ルールの設計に直結した実用的な情報を提供している点が大きな違いです。

両者の対応関係を整理すると以下のようになります。

現場のセキュリティ実務においては、サイバーキルチェーンで攻撃の全体像を俯瞰しながら、MITRE ATT&CKで各フェーズの具体的な攻撃手法を掘り下げるという使い分けが一般的です。
どちらか一方だけに頼るのではなく、両フレームワークを補完的に活用することで、より網羅的なTTPsの把握と効果的な防御設計が実現できます。

5. 実際のサイバー攻撃事例で見るTTPsの具体例

TTPsは抽象的な概念として語られることが多いですが、実際のサイバー攻撃の現場では非常に具体的な形で現れます。ここでは代表的な攻撃類型ごとに、どのようなTTPsが使われているのかをわかりやすく解説します。実際の攻撃事例と照らし合わせることで、TTPsの理解がより深まります。

5.1 標的型攻撃（APT攻撃）で使われるTTPsの事例

標的型攻撃（APT攻撃：Advanced Persistent Threat）は、特定の組織や個人を長期間にわたって執拗に狙う高度なサイバー攻撃です。国家が支援する攻撃グループによって実行されることも多く、TTPsの観点から分析することで、攻撃者の意図や能力を把握することができます。

代表的なAPTグループのひとつとして知られるLazarus Group（ラザルスグループ）は、北朝鮮との関連が指摘されており、金融機関や暗号資産取引所、防衛関連企業などを標的にしてきました。その攻撃で確認されているTTPsの代表例を以下に示します。

このように、APT攻撃では攻撃の入口から情報の持ち出しまでを段階的に設計した、非常に洗練されたTTPsが用いられます。単一のマルウェアを検知・ブロックするだけでは対処しきれないため、TTPsの視点で攻撃全体の流れを把握することが不可欠です。

スポンサード

日本国内でも、2019年から2021年にかけて宇宙航空研究開発機構（JAXA）や防衛関連企業などへの不正アクセスが相次いで確認されており、警察庁の調査によってAPT40（中国との関連が指摘される攻撃グループ）のTTPsが使われていたことが明らかにされています。

5.2 ランサムウェア攻撃で使われるTTPsの事例

ランサムウェアは、感染した端末や組織内のファイルを暗号化し、復号のための身代金を要求するマルウェアです。近年では「二重恐喝（Double Extortion）」と呼ばれる手法が広まっており、データを暗号化するだけでなく、事前に窃取したデータを公開すると脅迫するケースも増えています。

代表的なランサムウェアグループであるLockBitやBlackCat（ALPHV）が使用するTTPsは、MITRE ATT&CKに基づいて以下のように整理できます。

2021年に発生した米国最大の石油パイプライン運営会社であるコロニアル・パイプラインへのランサムウェア攻撃では、侵入の起点がVPN認証情報の漏洩であり、そこから数日間で社内ネットワーク全体に展開されるという一連のTTPsが確認されました。日本国内でも2022年に大阪急性期・総合医療センターがランサムウェアの被害を受けており、給食業者との接続に使われたVPN機器の脆弱性が侵入経路となったことが報告されています。

ランサムウェア攻撃の特徴は、侵入から暗号化までに数日から数週間をかけて入念に準備が行われる点にあります。そのため、TTPsの視点で各フェーズの振る舞いを検出できる体制を整えることが、被害の最小化につながります。

5.3 フィッシング攻撃で使われるTTPsの事例

フィッシング攻撃は、正規の組織や人物を装ったメールやWebサイトを使って、ターゲットから認証情報や個人情報を騙し取る攻撃手法です。件数・被害規模ともに増加し続けており、IPA（情報処理推進機構）の調査でも毎年上位に挙げられる脅威のひとつです。

フィッシング攻撃は単体で完結することもありますが、APT攻撃やランサムウェア攻撃の「初期アクセス」フェーズとして組み合わせて使われることも非常に多く、TTPsの中でも特に出現頻度が高い技術のひとつです。

日本国内でも、金融機関やECサイトを装ったフィッシングメールが大量に送りつけられる事例が後を絶たず、警察庁の発表によれば、フィッシングに起因するインターネットバンキングの不正送金被害額は年々増加傾向にあります。

フィッシング攻撃のTTPsで注目すべき点は、攻撃者が手法を継続的に改良し、多要素認証（MFA）を回避するEvilginxのような中間者型フィッシングキットを活用するケースが増えている点です。
MFAを導入しているからといって安全とは言い切れず、TTPsの最新動向を継続的に追うことが重要です。

これら3つの攻撃類型に共通しているのは、どれもTTPsを把握することで「どこで・何を・どのように検出すべきか」が明確になるという点です。個別のマルウェアの特徴（シグネチャ）に依存した防御ではなく、TTPsに基づいた振る舞い検知や多層防御へと考え方をシフトさせることが、現代のサイバーセキュリティ対策の基本となっています。

6. TTPsを活用した効果的なセキュリティ対策

TTPsを正確に理解することは、攻撃者の行動パターンを先読みし、組織のセキュリティ防御を根本から強化することに直結します。ここでは、TTPsを実際のセキュリティ対策にどのように落とし込むか、SOCやCSIRTでの実務的な活用方法、そしてペネトレーションテストとの関係について、具体的かつ体系的に解説します。

6.1 TTPsに基づく防御策の立て方

従来のセキュリティ対策は、既知のマルウェアのハッシュ値や悪意あるIPアドレスといった侵害指標（IoC）に依存したものが中心でした。
しかし、IoCは攻撃者がツールや基盤を変えるだけで容易に無効化されてしまうという根本的な限界があります。これに対し、TTPsは攻撃者の「行動様式」そのものを捉えているため、ツールや手段が変わっても有効な防御策を維持できます。

TTPsに基づく防御策を立てる際の基本的な考え方は、「攻撃者が何をしようとしているか（戦術）」「どのような手法を使うか（技術）」「実際にどのような手順で実行するか（手順）」を軸に、各フェーズで対処策を設計することです。MITRE ATT&CKフレームワークの戦術カテゴリを活用すると、防御策の抜け漏れを体系的に防ぐことができます。

以下に、TTPsに基づく防御策設計の主要なステップを示します。

特に重要なのは、防御策をポイントソリューションの積み重ねで考えるのではなく、攻撃者のTTPsという一連の行動フローに対して多層的に配置するという発想の転換です。
たとえば「フィッシングメールによる初期アクセス」というTTPsに対しては、メールフィルタリングだけでなく、エンドポイントでのマルウェア実行検知、認証情報の多要素認証、侵害後の横移動を検知するネットワーク監視など、複数のレイヤーで対策を重ねることが効果的です。

6.2 SOCやCSIRTでのTTPsの活用方法

セキュリティオペレーションセンター（SOC）やコンピュータセキュリティインシデントレスポンスチーム（CSIRT）の現場において、TTPsは日常的な監視・分析・対応活動のすべてに深く関わっています。
TTPsをSOC・CSIRTの業務プロセスに組み込むことで、インシデントへの対応速度と精度を飛躍的に高めることができます。

SOCでは、日々膨大な数のアラートが発生します。これをすべて個別に調査することは現実的ではなく、誤検知（False Positive）の多さが分析者の疲弊を招く「アラート疲れ」は業界共通の課題です。TTPsに基づいたアラートのトリアージ（優先度付け）を行うことで、本当に危険な兆候を的確に拾い上げることが可能になります。

具体的には、MITRE ATT&CKのテクニックIDをSIEM（セキュリティ情報・イベント管理）ツールの検出ルールに紐付けることで、どのTTPsに関連するアラートなのかを即座に分類できます。これにより、アナリストは「このアラートは攻撃チェーンのどのフェーズに相当するか」を素早く判断でき、インシデントの全体像を把握しやすくなります。

CSIRTにおけるインシデント対応では、TTPsの活用は以下のような場面で特に有効です。

また、脅威ハンティング（Threat Hunting）の場面でも、TTPsは中心的な役割を果たします。脅威ハンティングとは、アラートが上がる前の段階で、攻撃者がすでに潜伏していないかをプロアクティブに探索する活動です。
「このAPTグループはラテラルムーブメント（横移動）にPsExecを使う傾向がある」といったTTPsの知識をもとに仮説を立て、ログや挙動データの中から証拠を探すという手法が、脅威ハンティングの基本的なアプローチとなっています。

6.3 ペネトレーションテストとTTPsの関係

ペネトレーションテスト（侵入テスト）とは、実際の攻撃者と同様の手法を用いて組織のシステムに疑似的に侵入を試み、セキュリティ上の弱点を発見する評価手法です。TTPsは、このペネトレーションテストの設計・実施・評価のすべての段階において不可欠な概念となっています。

従来のペネトレーションテストは、既知の脆弱性スキャンや一般的な攻撃手法を網羅的に試すことが中心でした。
しかし近年では、実際の攻撃グループが使用するTTPsをシナリオベースで再現するレッドチーム演習（Red Team Exercise）が、より実践的なアプローチとして注目を集めています。

TTPsをベースにしたペネトレーションテストの主な特徴と利点は以下のとおりです。

TTPsベースのレッドチーム演習では、たとえば「国内の製造業を標的とするAPTグループが使用するスピアフィッシングから始まり、VPNの脆弱性を悪用して内部に侵入し、Active Directoryを掌握してデータを窃取するまでの一連のTTPs」を再現するといったシナリオが設定されます。これにより、実際の攻撃に即した形で自組織の防御能力を客観的に評価できます。

また、Atomic Red TeamやCaldera（MITRE製の自動攻撃シミュレーションツール）といったオープンソースツールを活用することで、MITRE ATT&CKの個別テクニックを自動的にエミュレートし、自組織の検知ルールが特定のTTPsに対して機能しているかどうかを継続的かつ効率的に検証することができます。
このような継続的なセキュリティ検証のサイクルを確立することが、TTPsに基づく防御の成熟度を高めるうえで非常に重要です。

ペネトレーションテストで明らかになった「検知できなかったTTPs」や「対応が遅れたフェーズ」の情報は、SOCの検出ルール改善やCSIRTの対応プレイブック更新に直接フィードバックされます。
このように、TTPsを媒介として攻撃側（レッドチーム）と防御側（ブルーチーム）の知見を循環させる仕組み——いわゆるパープルチーム活動——が、現代のセキュリティ運用における最善策として広く認識されています。

7. TTPsを学ぶために活用できる情報源とツール

TTPsの概念を理解したうえで実務に活かすためには、継続的な情報収集と学習環境の整備が欠かせません。ここでは、TTPsを体系的に学ぶために実際に活用できる情報源とツールを、国内外に分けてわかりやすく紹介します。

7.1 MITRE ATT&CKの公式リソースの使い方

TTPsを学ぶうえで最初に押さえておくべきリソースが、MITRE ATT&CKの公式ナレッジベース（attack.mitre.org）です。このサイトでは、実際のサイバー攻撃グループ（脅威アクター）が使用した戦術・技術・手順が、膨大なデータとともに無償で公開されています。

MITRE ATT&CKの公式サイトでできることは大きく以下の4つに整理できます。

特にATT&CK Navigatorは、自組織がどの攻撃テクニックに対して対策が取れていて、どこが手薄なのかをビジュアルで把握できる優れたツールです。
SOCやCSIRTのアナリストだけでなく、セキュリティ担当者のトレーニング用途にも広く使われています。

また、MITRE ATT&CKは定期的にバージョンアップされており、新たな攻撃技術や脅威アクターが追加されていきます。そのため、公式サイトを定期的にチェックする習慣をつけることが、TTPsの最新動向を把握するうえで非常に重要です。

7.2 IPAや警察庁など国内機関が公開するTTPs情報

英語のリソースに馴染みがない場合でも、日本国内の公的機関が日本語でTTPsに関する情報を積極的に公開しています。
国内機関の情報は日本を標的とした攻撃グループや攻撃手法に絞って解説されているため、日本企業にとって特に実用性が高いという特徴があります。

なかでもJPCERT/CCが公開している「攻撃グループレポート」は、日本を標的とした脅威アクターのTTPsをMITRE ATT&CKのテクニックIDと紐づけて解説しており、実務で即座に役立てられる内容となっています。セキュリティ担当者であれば定期購読するメーリングリストへの登録も推奨されます。

また、IPAが毎年公開する「情報セキュリティ10大脅威」は、その年に国内で特に猛威を振るった攻撃の傾向をわかりやすくまとめたものであり、TTPsの全体像を把握する入り口として最適です。専門知識が浅い段階でも読み進めやすい内容になっているため、セキュリティ学習の初期段階にも活用できます。

TTPsの学習は一度で完結するものではなく、攻撃者の手口は日々進化しています。上記の情報源を定期的に参照しながら、自組織の脅威モデルを継続的にアップデートしていく姿勢が、実効性の高いセキュリティ運用につながります。

8. まとめ

TTPsとは、サイバー攻撃者の「戦術（Tactics）」「技術（Techniques）」「手順（Procedures）」の3つを体系的にまとめた概念です。単なる攻撃の痕跡であるIoCとは異なり、攻撃者の行動パターンそのものを捉えるため、より本質的な脅威への対応が可能になります。

TTPsを理解し活用する上で中心となるのが、MITRE ATT&CKフレームワークです。初期アクセスから情報流出まで、攻撃の一連の流れを体系的に把握できるため、SOCやCSIRTでの運用、ペネトレーションテストにおいても広く活用されています。

実際のAPT攻撃やランサムウェア、フィッシング攻撃の事例からもわかるように、攻撃者は一定のTTPsに沿って動きます。そのパターンを事前に把握しておくことが、効果的な防御策の立案につながります。IPAや警察庁が公開する国内向けの情報も積極的に活用しましょう。

ゲーミングPC/クリエイターPCのパソコン選びで悩んだらブルックテックPCへ!

スポンサード