サイバー攻撃と防御の実務
MITRE ATT&CKは、実際の攻撃で観測された手口を、攻撃者の目的を表す「戦術(タクティクス)」と、その目的を達成する具体的な方法を表す「テクニック」に分けて整理した知識ベースである。観測された行動と、それが当てはまる戦術の組み合わせとして、正しいものはどれか。
- A盗んだ管理者の認証情報で社内の別のサーバにリモートで接続した行動は、持ち出し(Exfiltration)に当たる
- B社内のファイルを圧縮して、外部のクラウドストレージに大量に送った行動は、初期アクセス(Initial Access)に当たる
- C自分をOSのサービスとして登録し、再起動の後も自動で動くようにした行動は、永続化(Persistence)に当たる
答えと解説を見る
正解：C. 自分をOSのサービスとして登録し、再起動の後も自動で動くようにした行動は、永続化(Persistence)に当たる
ATT&CKの戦術は攻撃者が「なぜ」その行動をするのか(目的)を、テクニックは「どのように」を表し、例えば永続化の戦術には、サービスの登録、スケジュールされたタスク、起動時に実行される設定の変更といったテクニックが含まれます。別のサーバへ接続を広げる行動はラテラルムーブメント(Lateral Movement)、外部へデータを送る行動は持ち出し(Exfiltration)の戦術に当たります。防御の側は、自組織の検知や対策がどのテクニックを押さえているかをATT&CKに当てはめて整理し、手薄なところを見つけるのに使います。テクニックには識別番号が付いているので、脅威インテリジェンスの報告や検知のルールの間で、同じ手口を同じ番号で呼べます。
- A. 別のサーバへ接続を広げる行動は、ラテラルムーブメント(Lateral Movement)の戦術に当たります。
- B. 外部へデータを送る行動は、持ち出し(Exfiltration)の戦術に当たります。初期アクセスは、組織のネットワークに最初に入り込む段階です。
- C. 正しい。再起動や認証情報の変更の後もアクセスを保つための行動は、永続化の戦術に当たります。