TTPsとは？サイバー攻撃の手口を理解し防御に活かすための基礎知識

TTPs(Tactics, Techniques, Procedures)とは、サイバー攻撃者の「戦術」「技術」「手順」を体系的に表す概念です。攻撃者の行動パターンを理解することで、未知の攻撃にも早期に気づき、効果的な防御策を講じられるようになります。

本記事では、TTPsの構成要素から、MITRE ATT&CKとの関係、IOCとの違い、実務での活用と課題まで、体系的に解説します。

TTPsの構成要素

TTPsの構成要素は、「Tactics(戦術)」「Techniques(技術)」「Procedures(手順)」の3つに分かれています。上位に行くほど抽象的な「目的」を、下位に行くほど具体的な「実行手順」を表しており、それぞれの要素がどのように機能しているのかを詳しく見ていきましょう。

Tactics(戦術)

Tactics(戦術)は、攻撃者が特定の目標を達成するために使用する全体的な戦略や方針を指します。例えば、「アクセス権限の奪取」や「データの暗号化」などの目的が戦術にあたります。戦術は個々の攻撃者やグループによって異なりますが、共通の目的に向かうための指針として設定される点が特徴です。

Techniques(技術)

Techniques(技術)は、戦術を実行するために具体的に用いられる方法や手段を指します。例えば、「フィッシング攻撃」「不正なスクリプトの実行」「パスワードリストを使った不正ログイン」などが技術にあたります。技術は、戦術に基づいて選択され、目的達成に向けて実行されます。

Procedures(手順)

Procedures(手順)は、戦術や技術をどのように実行するかの詳細なプロセスを示します。手順は攻撃者によって異なる場合が多く、特定の技術をどのように応用し実行するかという具体的なステップが含まれます。

例えば、フィッシングメールを送信する際の件名の工夫や送信タイミング、エクスプロイトコードのカスタマイズなどが手順にあたります。

具体例で見るTTPs ― ランサムウェア攻撃を例に

抽象的な定義だけでは実感が湧きにくいため、ランサムウェア攻撃を例に、戦術から手順までの流れを具体的に追ってみます。

ランサムウェア攻撃の場合

戦術:身代金の獲得

攻撃者はまず「データを人質にして金銭的利益を得る」という戦術(目的)を設定します。

技術:初期侵入から権限昇格まで

この戦術を実行するために、攻撃者は複数の技術を組み合わせます。フィッシングメールによる侵入、あるいはVPN機器の脆弱性を悪用したゼロデイ攻撃、侵入後のネットワーク内での横展開(ラテラルムーブメント)、権限昇格などが代表的な技術です。

手順:実行の詳細ステップ

これらの技術を使って実際に攻撃を進めるための具体的なステップが手順です。ターゲットの情報収集、ランサムウェアのカスタマイズ、初期侵入、内部でのネットワーク探索、重要データの暗号化、身代金要求文の送付と交渉、支払い確認後の復号キー提供(提供されない場合もある)、といった一連の流れが手順にあたります。

このように、同じ「身代金の獲得」という戦術でも、使われる技術や手順は攻撃者ごとに異なります。この技術・手順の組み合わせパターンこそが、攻撃者を特徴づける「指紋」のような役割を果たします。

標的型攻撃(APT)の場合との比較

同じ枠組みは、金銭目的のランサムウェア攻撃とは性質の異なる、国家の関与が疑われる高度persistent脅威(APT)にも当てはめられます。

戦術:機密情報の継続的な窃取

APTグループが設定する戦術は、身代金の獲得ではなく「対象組織のネットワークに長期潜伏し、機密情報を継続的に窃取すること」であるケースが多く見られます。

技術:検知を避けるための多段階アプローチ

この戦術のために用いられる技術は、標的の組織や個人に合わせてカスタマイズされたスピアフィッシング、正規の管理ツールを悪用した「環境寄生型(Living off the Land)」の活動、認証情報のダンプ、正規のクラウドサービスを悪用した通信の隠蔽などです。

ランサムウェアのように短期間で被害が表面化する攻撃とは異なり、検知を避けながら時間をかけて活動する点が特徴です。

手順:偵察から情報持ち出しまで

具体的な手順としては、標的組織の従業員や取引先に関する情報収集、なりすましメールの作成と送付、初期侵入後の内部ネットワーク調査、複数のバックドアの設置による冗長化、長期間にわたる断続的な情報収集と外部への持ち出し、といった流れをたどります。

このように、戦術(目的)が異なれば、選ばれる技術・手順もまったく違うものになります。攻撃の「目的」と「手口」をセットで捉えることが、TTPs分析の本質だといえます。

TTPsの重要性

TTPsの概念は、サイバーセキュリティにおいて非常に重要であり、以下のような理由から多くの組織がTTPsの分析に取り組んでいます。

脅威インテリジェンスの強化:攻撃者の行動パターンや手口を理解することで、潜在的な攻撃を予測しやすくなり、事前の防御が可能になります。
攻撃の早期検知:TTPsを知っておくことで、異常な行動や攻撃の兆候に早期に気づくことができ、被害の拡大を防げます。
効果的な対応策の策定:TTPsの分析を通じて、より具体的で効果的な防御策を構築できるため、被害の抑制や防御力の向上が見込めます。

TTPsとIOC(侵害の兆候)の違い

TTPsとよく混同される、あるいはセットで語られる概念に「IOC(Indicator of Compromise、侵害の兆候)」があります。両者は目的が異なるため、違いを理解しておくことが実務では重要です。

IOCとは何か

IOCとは、侵害を受けた際にシステムやネットワーク上に残る具体的な痕跡データを指します。悪意のある活動に関連付けられたIPアドレス、ファイルハッシュ、ドメイン名、レジストリキーなどが代表例です。

自動検知システムで扱いやすい一方、攻撃者にとっては変更が容易という側面もあります。

TTPsとIOCの比較

	TTPs	IOC
捉える対象	攻撃者の行動パターン	侵害の痕跡データ
変化のしやすさ	変化しにくい	変化しやすい
向いている用途	長期的な脅威ハンティング	即時の検知・ブロック
未知の攻撃への対応	亜種・新規の攻撃も検知しやすい	既知の脅威の検知が中心

実務では両方をどう組み合わせるか

IOCは迅速な検知と対応に有用である一方、TTPsは長期的な防御や脅威ハンティングに適しています。セキュリティチームは多くの場合、IOCで既知の脅威を素早く特定しつつ、TTPsで既知の手法を流用した新規・進化する攻撃を検知する、という組み合わせで運用します。

個々の指標(IOC)よりも行動パターン(TTPs)を変えることの方が攻撃者にとって難しいため、TTPsは攻撃者の活動についてより持続的な洞察を提供してくれます。

TTPsとMITRE ATT&CKフレームワーク

TTPsの理解を深めるためのツールとして、MITRE ATT&CKフレームワークが広く活用されています。

MITRE ATT&CKの構造

MITRE ATT&CKは、実際に観測されたサイバー攻撃のTTPsを体系化した、世界的に参照されているナレッジベースです。攻撃者の行動を「戦術(Tactics)」ごとに大分類し、その下に「技術(Techniques)」を紐づけたマトリクス形式で整理しているのが特徴です。

例えば「初期アクセス」「実行」「永続化」「権限昇格」「防御回避」といった戦術カテゴリのそれぞれに、具体的な技術・サブ技術が対応づけられています。

マイターアタック（MITRE ATT&CK）とは？サイバー攻撃の戦術や技術を網羅したフレームワーク

2023.4.28

近年、「マイターアタック（MITRE ATT&CK）」がセキュリティ対策のフレームワークとして注目を集めています。マイターアタックとは、サイバー攻撃の目的や具体的な使用技術が体系的にまとめられたデータベースです。この記事では、マイタ

EDR・SIEM製品がTTPsをどう検知に活用しているか

EDR(Endpoint Detection and Response)やSIEM(Security Information and Event Management)といったセキュリティ製品の多くは、このMITRE ATT&CKのTTPs分類に基づいて検知ロジックを構築しています。単純な既知の悪性ファイル(シグネチャ)だけでなく、「横展開」や「認証情報のダンプ」といった行動パターンをTTPsとして定義し、それに合致する挙動をネットワーク・エンドポイント上で監視することで、シグネチャだけでは捉えきれない新規・亜種の攻撃を検知しようとするアプローチです。

近年はUEBA(User and Entity Behavior Analytics)のような行動分析技術と組み合わせ、通常の業務操作と悪意ある挙動を区別する精度を高める製品も増えています。

EDRとは？EPPとの違いや機能・必要性を分かりやすく解説

2022.10.14

近年、サイバー攻撃は巧妙化・高度化しており、従来の対策だけでは防ぎきれない脅威が増えています。特にランサムウェアや標的型攻撃、ゼロデイ脆弱性を悪用した攻撃などは大きな問題となっています。こうした中、エンドポイントの防御を強化するソリュー

MITRE ATT&CKにおける主な戦術カテゴリ

MITRE ATT&CK(Enterpriseマトリクス)では、攻撃のライフサイクルに沿って戦術が分類されています。代表的なカテゴリは以下の通りです。

戦術カテゴリ	概要
初期アクセス(Initial Access)	ネットワークへの最初の侵入口を得る段階
実行(Execution)	侵入先で悪意のあるコードを実行する段階
永続化(Persistence)	再起動やログオフ後もアクセスを維持する段階
権限昇格(Privilege Escalation)	より高い権限を得る段階
防御回避(Defense Evasion)	セキュリティ製品や監視による検知を逃れる段階
認証情報アクセス(Credential Access)	アカウント名やパスワードを窃取する段階
探索(Discovery)	侵入先の環境やネットワーク構成を把握する段階
横展開(Lateral Movement)	ネットワーク内の他の端末やシステムへ移動する段階
収集(Collection)	窃取対象となるデータを集める段階
コマンド&コントロール(Command and Control)	外部の指令サーバーと通信する段階
持ち出し(Exfiltration)	収集したデータを外部に送り出す段階
影響(Impact)	データの破壊・暗号化・改ざんなどで被害を与える段階

自社で観測された不審な挙動を、このどの戦術カテゴリに該当するかで整理すると、攻撃が今どの段階にあるのか、次にどのような行動が想定されるのかを見立てやすくなります。

TTPs分析の活用事例

TTPs分析の具体的な活用例としては、以下が挙げられます。

インシデントレスポンス:サイバー攻撃を受けた際に、TTPsをもとに攻撃の目的や手法を推測し、迅速な対応につなげることができます。
セキュリティの強化:TTPsから学んだ攻撃パターンに基づき、システムのセキュリティ強化や従業員教育を行い、攻撃の成功率を低減します。
セキュリティオペレーションセンター(SOC)の運用改善:TTPsの監視により、サイバー攻撃をリアルタイムで検知し、即座に対応する体制を整備できます。

TTPs分析・活用における実務上の課題

TTPsは強力な概念ですが、実務での活用には次のような課題も伴います。

攻撃者の手口が絶えず変化する

攻撃者は検知を回避するため、手口や手順を頻繁に変更します。たとえ戦術そのものが同じでも、実装方法(技術・手順)は変化することがあり、静的な検知ルールだけに頼ることは難しくなります。

継続的な脅威インテリジェンスの更新と検証が欠かせません。

攻撃者の特定(帰属)が難しい

観測されたTTPsを特定の脅威アクターに結びつけることは、必ずしも容易ではありません。異なるグループが類似の手法を用いる場合や、調査担当者を惑わすために既知のアクターを意図的に模倣するケースもあります。

帰属の特定には、TTPs分析だけでなくインフラの傾向やマルウェアの特徴など、複数のデータソースとの組み合わせが必要であり、結論はあくまで確率的なものにとどまることが多い点には注意が必要です。

誤検知(アラート疲労)のリスク

TTPsに基づく検知は行動パターンの特定に依存しますが、そのパターンは正当な業務操作と重複することがあります。例えば、PowerShellのような管理ツールやリモートデスクトップ接続は、通常の運用と攻撃の両方で使われます。

ユーザーの役割や資産の重要度といった文脈情報を組み合わせなければ、大量の誤検知が発生し、対応すべき本当の脅威を見逃す「アラート疲労」を招くおそれがあります。

TTPs対策のポイント

TTPsに対する効果的な対策としては、以下の方法が挙げられます。

脅威インテリジェンスの収集と活用:攻撃者のTTPsに関する情報を集め、最新の脅威情報を把握します。
防御手段の強化:TTPsに基づき、アクセス制御やログ監視、メールフィルタリングといった対策を適切に強化します。
従業員教育の実施:フィッシング攻撃などの技術への理解を深め、従業員がリスクに対応できるよう教育します。

よくある質問

TTPsとTTPは何が違いますか？

意味は同じです。Tactics(戦術)、Techniques(技術)、Procedures(手順)の頭文字を取った略語で、単数形で「TTP」、複数の要素・事例を指す場合や英語の慣例に沿って「TTPs」と表記されます。
日本語の文献では両方の表記が混在していますが、指している概念に違いはありません。

TTPsとMITRE ATT&CKは同じものですか？

異なります。TTPsは「戦術・技術・手順」という攻撃者の行動を捉えるための考え方・枠組みそのものです。一方MITRE ATT&CKは、その枠組みに沿って実際に観測された攻撃手法を体系的にまとめたナレッジベース(データベース)です。
TTPsという概念を実務で扱いやすくするために整理されたツールがMITRE ATT&CKだと捉えると分かりやすいでしょう。

中小企業でもTTPs分析は必要ですか？

高度な自社分析体制を持つのが難しい中小企業でも、TTPsの考え方を知っておく意義はあります。EDRやSIEMといった製品の多くはMITRE ATT&CKのTTPs分類をもとに検知ロジックを組んでいるため、製品選定や導入後のアラート内容を理解する土台になります。

また、自社で分析基盤を持たない場合でも、外部の脅威インテリジェンスサービスやマネージド検知対応(MDR)サービスを活用することで、TTPsに基づいた防御の恩恵を受けることができます。

TTPsを学ぶにはどこから始めればよいですか？

まずはMITRE ATT&CKの公式サイトで、戦術カテゴリと代表的な技術の全体像を眺めてみることをおすすめします。
その上で、自社が導入しているセキュリティ製品のアラートや脅威レポートが、どの戦術・技術に対応しているかを確認する習慣をつけると、TTPsの考え方が実務に結びつきやすくなります。

まとめ

TTPsは攻撃者の行動パターンを「戦術・技術・手順」の3階層で捉える考え方で、IOCと組み合わせることで検知の即時性と持続性を両立できます。MITRE ATT&CKなどのフレームワークを活用しつつ、手口の変化や誤検知といった実務課題も踏まえて運用することが、組織のセキュリティレベル向上につながります。