ATT&CKに15番目の戦術が追加——「ステルス」と「防御機能の妨害」分離をめぐる実践的DFIRフィールドガイド

本記事は、Sophosの最前線で活動するセキュリティ運用スペシャリストによる継続シリーズの一環です。業界をリードするマネージド・ディテクション・アンド・レスポンス(MDR)サービスを強化し、進化し続けるAI時代の脅威から顧客を守るために活用している専門知識を共有します。

最近Enterprise ATT&CKマトリックスを開いた方は、思わず二度見したかもしれません。おなじみの「防御回避(Defense Evasion)」列が消え、代わりに「ステルス(Stealth、TA0005)」と「防御機能の妨害(Defense Impairment、TA0112)」という2つの戦術が並んでいます。Enterpriseモデルは14戦術から15戦術へと拡大しました。

これは理にかなった分類変更ですが、検知エンジニアリングやプレイブック、そしてインシデントをレポートで説明する際の語り口を混乱させる可能性があります。旧「防御回避」戦術にマッピングされていたコンテンツは今後、意図もフォレンジック上の痕跡も異なる2つのフェーズのいずれかに属することになります。

この変更は、現在の攻撃トレンドを踏まえると納得のいくものです。攻撃者はここ数サイクルの間、両方の戦術により力を入れるようになっています。静かに潜むためにリビングオフザランド(環境寄生型)手法を使い、活動の余地が必要になった途端に容赦なくテレメトリを無効化するという具合です。これらを一つの戦術として扱うフレームワークでは、どちらか一方への投資が不足したり、逆に過剰報告になったりしがちです。今回の分離によって、両方の対策状況を正直に点検せざるを得なくなります。

以下では、新しいカテゴリがどのように明確さをもたらすかを説明するとともに、今週すぐに新戦術に対応できるよう、フェーズごとのアーティファクトとツールをまとめたフィールドガイドをご紹介します。

防御回避(Defense Evasion)の分離が実際に役立つ理由

「防御回避」は、性質の異なる2つの攻撃者の目標を一つにまとめていました。「隠れること」と「自分を捕捉しうるものを積極的に壊すこと」です。この2つを分離することで、検知と対応の両方が鋭くなります。

• ステルス(TA0005) は、周囲に溶け込むための戦術です。
  例としては、タイムスタンプ改ざん($SIと$FNの不一致)、代替データストリーム(ADS)、パッキングやエンコード、正規バイナリへのなりすましなどが挙げられます。証拠は微妙で、ファイルシステムやディスク上に存在します。
• 防御機能の妨害(TA0112) は、防御側の能力を低下させるための戦術です。
  例としては、Windowsイベントログの消去(1102)、レジストリ改ざんによるDefenderの無効化、ファイアウォール設定の変更、セキュリティサービスの停止などが挙げられます。証拠はより顕著であり、攻撃者はそれを破壊しようとします。

午前2時に攻撃を受けているとき、「隠れられた」のか「見えなくされた」のかという違いは重要です。それによって証拠収集の優先順位もタイムラインも、顧客との会話の内容も変わってきます。

IDとクラウド環境では、ステルスと防御機能の妨害の様相が異なる

ホストは全体像の半分にすぎません。現代の侵入では、盗まれたセッショントークンやOAuth同意許可、一見まったく正当に見えるサインインを使い、IDやSaaSの内部に隠れるケースがますます増えています。こうした環境では、ステルスとは「広範なアクセス権を持つ有効なトークン」の姿を取ります。防御機能の妨害とは、「条件付きアクセスを無効化する」「アラートポリシーをミュートする」といった行為として現れます。タイムスタンプ改ざんやイベントログ消去は通常見られません。DFIRにとって重要な問いは常に「攻撃者は何を残したのか」「それをどう解き明かすか」です。ただし、現代の環境ではその痕跡がサインインログ、統合監査証跡、プロバイダー側のテレメトリへと移っており、ツールもそれに合わせて調整する必要があります。

新しいATT&CK戦術のDFIRフィールドガイド:各フェーズで問うべき2つの質問

改訂されたEnterpriseマトリックスをゼロから学び直してもらうのではなく、対応者が実際にどう動くかに合わせてマッピングし直しました。15の戦術それぞれについて、以下の表は2つの質問に答えます。「攻撃者は何を残したのか」、そして「それをどう解き明かすか」です。以下の表は、アーティファクトとツールの要約版です(ツールはアルファベット順に記載)。完全な技術シートでは、データソースと検知分析を含む43のテクニックまで拡張されています。

フィールドガイドのスプレッドシートはこちらからダウンロードできます。

すべてのフェーズを横断的にカバーするプラットフォームも存在します。トリアージと収集にはKAPEとVelociraptor、スーパータイムライン作成にはPlaso、検知とカバレッジマッピングにはSigma、YARA、ATT&CK Navigatorが使われます。

机上の理論ではない、現場で鍛えられたガイド

このマッピングは、実際のSophosインシデントレスポンス案件をもとに構築されています。これらの案件を通じて、同じパターンが繰り返し現れています。アラートが発報される前から、そのアーティファクトはすでにそこに存在していたのです。

• MFA突破後のセッション悪用、ハンズオンキーボード型の事案。この事案の決め手となったのは、サインインのアーティファクトとホスト側のテレメトリをタイムライン上で相関させたことでした。しかもそれは、何らかのアラートが発報されるよりずっと前のことです。
• ランサムウェア対応案件。「影響(Impact)」の証拠は、大量のファイル拡張子変更、身代金要求メッセージ、シャドウコピーの削除であり、いずれもツールが検知を発するはるか前から存在していました。
• 脅威ハンティング。成果を上げられたのは、特定のフェーズにおいて仮説を裏付ける、あるいは棄却するアーティファクトが何かを把握していたからです。

これこそが、アーティファクト重視の姿勢がもたらす価値です。アラートは「何かが起きた」ことを教えてくれます。一方アーティファクトは、「何が起きたのか」「いつ起きたのか」「どこまで拡大したのか」「その範囲を把握できているか」を教えてくれます。ですから、今回の戦術分離を、自社の証拠収集態勢を点検するきっかけとして活用してください。攻撃者が「隠れる」行為と「見えなくする」行為の両方を行うことを前提に、その両方を証拠として示せる状態になっているでしょうか。

このマッピングを支えるチーム

フィールドガイドの質は、その裏付けとなる案件数にかかっています。Sophosインシデントレスポンスチームは、あらゆる業界・地域にわたり年間数千件の案件に対応しています。チームメンバーは各国のCSIRT、軍関係のCSIRT、組織内CSIRT、法執行機関、インテリジェンス機関出身者で構成されており、Sophos X-Opsの脅威インテリジェンスに支えられています。こうした現場での豊富な経験と案件数の蓄積があるからこそ、「アーティファクト重視」のようなパターンが実際に通用することがわかっています。また、実際の案件における攻撃者の滞留期間の中央値がわずか3日にまで短縮されているのも、この蓄積があってこそです。対応速度とパターン認識力は、積み重なることで相乗効果を生みます。

今週からこのフィールドガイドを活用する方法

1. 検知ルールのタグを再設定する。「防御回避」にマッピングされていたものはすべて、「ステルス」または「防御機能の妨害」のいずれかに再分類する必要があります。この分離により、カバレッジの報告方法も変わります。
2. 更新後の収集態勢をテストする。いくつかのフェーズを選び、実際のインシデントで不備が露呈する前に、一覧に挙げたアーティファクトを確実に取得できるか確認してください。
3. 一覧を運用に組み込む。アーティファクト一覧をトリアージのランブックや侵害評価(コンプロマイズ・アセスメント)のテンプレートに追加し、対応者が案件対応中にすぐ参照できるようにしてください。

15戦術に対応した完全なマトリックスと、フィルタ可能な技術シートを添付しています。ラベルだけでなく証拠収集戦略そのものを見直したチームこそが、より速く対象範囲を把握し、より確実に排除できるようになるでしょう。

ぜひご意見をお聞かせください

現在進行中のインシデントにお困りですか?今すぐサポートをご利用ください。

Sophos DFIRは、Sophos製品のお客様、非Sophos製品のお客様を問わずご利用いただける24時間365日対応のサービスです。緊急対応のご依頼はsophos.com/emergency-responseまで。オンボーディングは数時間以内に開始され、多くのお客様は48時間以内にトリアージを受けられます。

まだ火急の事態ではない方は、先手を打ちましょう。

Sophos Security Services Retainer(SSR)は、事前対応型のテスト、体制整備、そして保証付きDFIRを一つのモデルに統合したサービスです。明確な対応SLA、事前交渉済みの料金、ペネトレーションテストやテーブルトップ演習などに利用できるサービスユニットが含まれています。sophos.com/retainer