サイバーセキュリティにおける防御フレームワークは、攻撃者がすでに実行した内容を記録するものです。アナリストは侵害事例を分析し、その手口を文書化した上で、確認済みの活動をもとに検知ルールを構築します。しかし、このサイクルには、攻撃者が新たな手法を編み出してから防御側がそれを検知できるようになるまでの間に、どうしてもギャップが生じてしまいます。
先取り型の戦術・対抗策ナレッジベースである「PR3TACK」(Preemptive Tactics and Countermeasures Knowledgebase)は、このギャップを埋めることを目指しています。AtlassianのVishal Thakur氏が構築したこのオープンフレームワークは、実際にはまだ観測されていないものの、十分にあり得る攻撃者の戦術・技術・手順(TTP)を体系的にまとめています。
ATT&CKとの違い
比較の基準となるのは、多くのセキュリティチームが検知・対応業務の指針として利用しているカタログ、MITRE ATT&CKです。ATT&CKは実際の侵入事例で確認された技術を文書化しています。一方PR3TACKは、現行システムの弱点や攻撃者の技術革新パターンから今後生まれ得る技術を文書化する点が異なります。MITRE D3FENDは既知の技術に対する防御策を一覧化していますが、PR3TACKはこの発想をさらに一歩進め、まだ出現していない脅威にまで対象を広げています。
このフレームワークは、実害をもたらしたにもかかわらずATT&CKの対象外にとどまっていた攻撃手法にも光を当てています。公開資料では、Atomテーブルの悪用や、Revixランサムウェアファミリーが用いる「全仮想マシン強制終了」戦術を、実際に機能する手法でありながら既存の観測済み技術カタログの枠外にあった例として挙げています。
3段階の妥当性レベル
各投稿は3つの階層いずれかに位置付けられます。「高優先度」は、動作するプルーフ・オブ・コンセプト(PoC)コードによって実証済みの技術が該当します。「中優先度」は、技術的な論拠によって主張されているものの、検証待ちの技術です。「低優先度」は、学術研究や進行中の調査から浮上してきた技術を指します。この構造により、各エントリーは実証可能な根拠に裏付けられた状態を保っています。
17の戦術カテゴリ
初期リリースである「シードマトリックス」は、17の戦術カテゴリにわたってエントリーを整理しています。いくつかは実行(Execution)、永続化(Persistence)、横展開(Lateral Movement)といった見慣れたラベルに対応していますが、それ以外はこのプロジェクト独自のものです。「事前配置」(Pre-Positioning)は、オープンソースコードへのスリーパーコミットなど、標的を後の侵害に備えて仕込む長期的な準備行動を対象とします。「レジリエンス毀損」(Resilience Erosion)は、バックアップの破壊やパッチ適用プロセスの疲弊化など、復旧能力を低下させる試みを対象とします。
「ガバナンス破壊」(Governance Subversion)は、調達プロセス、ポリシー、標準策定プロセスの操作を対象とします。「認知操作」(Cognitive Manipulation)は、アラート慣れや偽装されたログを通じて、アナリストの判断力を狙います。「デジタル排出物操作」(Digital Exhaust Manipulation)は、テレメトリ、脅威フィード、メタデータを武器化し、防御側を欺きます。
カタログ化された技術の一つ、「周辺機器ファームウェア型ステージャーによる実行」は、接続時にペイロードを展開する、一見無害なファームウェアを備えた周辺機器について説明しています。掲載されている対策には、ファームウェアの検証、デバイス認証、ベンダーの許可リスト化が含まれます。もう一つのエントリー、「調達アカウント設立によるガバナンス破壊」は、攻撃者が信頼されたベンダーとしてのIDを長期的な足掛かりとして設立する手口を説明しており、対抗策としてサプライヤーの検証や調達監査が挙げられています。
マトリックスを閲覧するためのツール
「Navigator」というツールは、マトリックスを列形式のビジュアルグリッドとして表示します。各戦術が1つの列を形成し、その下に該当する技術が列挙される仕組みです。ユーザーは戦術・技術・プラットフォーム・ステータスを横断して検索・絞り込みができるほか、各技術をクリックして検知アイデアや緩和策を確認したり、独自のJSONファイルをアップロードしてマトリックスに自前のエントリーを追加したりすることも可能です。
オープンな貢献モデル
PR3TACKは、実務者、研究者、組織に開かれた協働プロジェクトとして運営されています。投稿の受付プロセスでは、貢献者に対して技術の説明、実現可能性の評価、想定される影響、推奨される先取り型の対策の提示を求めており、裏付けとなるプルーフ・オブ・コンセプトコードの提供も推奨されています。
バージョン0.1は、このフレームワークにとってまだ初期段階に過ぎず、今後どれだけの量と質のコミュニティ投稿が集まるかによって、その真価が問われることになりそうです。
翻訳元: https://www.helpnetsecurity.com/2026/07/21/first-pr3tack-preemptive-framework/
