ATT&CK に追加された 15 番目の戦術: 「隠蔽」と「防御機能の無力化」の区分に関する実践的 DFIR 実践ガイド

最近 Enterprise ATT&CK マトリックスを確認された方は、その変化に驚かれたかもしれません。「防御回避 (Defense Evasion)」の列がなくなり、代わりに「隠蔽 (Stealth) (Ta0005)」と「防御機能の無力化 (Defense Impairment) (TA0112)」という 2 つの戦術が新設されました。これにより、Enterprise モデルがカバーする戦術は 14 から 15 に拡大しました。

この分類法の変更は合理的である一方、検知エンジニアリング、プレイブック、そしてレポートにおける侵入事案の記述方法に影響を及ぼす可能性があります。従来の「防御回避」戦術に振り分けられていたコンテンツは今後、攻撃者の目的と (対応担当者にとって特に重要となる) フォレンジック痕跡が異なる 2 つのフェーズのいずれかに分類されます。

近年の傾向を鑑みれば、この改定は理にかなっています。攻撃者は両方の戦術をより積極的に活用するようになっています。具体的には、潜伏を図るために LotL (Living-off-the-Land: 環境寄生型) 手法を用いつつ、活動範囲を広げる必要が生じた瞬間にテレメトリを無効化します。これらを 1 つの戦術として扱うフレームワークでは、一方への対策が不十分になり、もう一方の報告が過剰になってしまう恐れがあります。今回の分割は、双方に対する厳正な検証を促すものです。

以下では、この新たな分類法によって分析の明確性がどのように高まるかを示すとともに、今週から新たな戦術に対応するためのアーティファクトとツールをまとめたフェーズ別の実践ガイドを紹介します。

ATT&CK における「防御回避」戦術の分割が効果的である理由

従来の「防御回避」には、「潜伏の維持」と「検知機構の能動的な破壊」という、攻撃者のまったく異なる 2 つの目的が混在していました。これらを分割することで、検知能力と対応能力の双方が向上します。

• 隠蔽 (TA0005) は、環境に溶け込むための戦術です。
  例としては、タイムストンピング (タイムスタンプの改ざん) ($SI と $FN の不一致)、代替データストリーム (ADS)、パッキングとエンコーディング、正規バイナリへの偽装などが挙げられます。証拠は微細で、ファイルシステムやディスク上に残ります。
• 防御機能の無力化 (TA0112) は、防御側の機能を低下させるための戦術です。
  例としては、Windows イベントログの消去 (1102)、レジストリ改ざんによる Defender の無効化、ファイアウォールの変更、セキュリティサービスの停止などが挙げられます。証拠はより顕著であり、攻撃者はその破壊を試みます。

深夜 2 時に攻撃を受けた場合、「攻撃者が潜伏しているのか」それとも「防御側の目くらましを図ったのか」という差異は重要であり、これによって証拠収集の優先順位、タイムライン、顧客への説明方針が大きく左右されます。

アイデンティティ管理とクラウド環境における「隠蔽」と「防御機能の無力化」の違い

ホスト側は全体像の一部に過ぎません。最近の侵入事例では、盗んだセッショントークン、OAuth 同意の付与、そして一見正規のものに見えるサインインを利用して、アイデンティティや SaaS の内部に潜伏するケースが増加しています。このような環境において、隠蔽とは、「広範なアクセス権を持った、正規のものに見える認証トークン」です。一方、「防御機能の無力化」は、条件付きアクセスやアラートポリシーの無効化といった形で表出します。ここには通常、タイムストンピングやイベントログの消去といった痕跡は存在しません。DFIR における根本的な問いは常に、「攻撃者が何を残していったか」と「それをどのように分析するか」です。しかし今日の環境では、アーティファクトの所在がサインインログ、統合監査証跡、プロバイダーのテレメトリへと移行しているため、防御側が使用するツールもそれに応じて進化させる必要があります。

新しい ATT&CK 戦術に対応するための DFIR 実践ガイド: 各フェーズで追求すべき 2 つの問い

本ガイドは、改定後の Enterprise マトリックスを読者の皆様に改めて学習していただく代わりに、インシデント対応担当者の実務に直結する形で整理しています。以下に示す 15 の戦術別リファレンスは、「攻撃者が何を残していったか」「それをどのように分析するか」という 2 つの問いに対する解答を提示するものです。このリファレンスは、アーティファクトとツールを要約したものであり (ツールはアルファベット順)、データソースと検知アナリティクスを含む 43 の手法を網羅した完全版シートもご用意しています。

実践ガイドのスプレッドシートはこちらからダウンロードできます。

クロスプラットフォーム対応のツールは、すべてのフェーズで機能します。具体的には、トリアージと収集には KAPE および Velociraptor、スーパータイムライン作成には Plaso、検知とカバレッジマッピングには Sigma、YARA、ATT&CK Navigator を活用します。

実地検証済み、実用指向のガイド

このマッピングは、ソフォスが実際に手がけたインシデント対応案件から得た知見に基づいて作成されています。多数の案件で共通しているのは、「アラートが発報される前から、アーティファクトはすでに存在していた」という事実です。

• MFA (多要素認証) 突破後のセッション悪用、および手動操作による攻撃事例: この事例を解決する決め手となったのは、アラートが発報されるはるか前に、タイムライン上で相関付けられたサインインのアーティファクトとホストのテレメトリでした。
• ランサムウェア対策: 「影響」を示す証拠 (大量のファイル拡張子変更、身代金要求文書、シャドウコピーの削除) は、セキュリティツールが検知するかなり前から存在していました。
• 脅威ハンティング: 進展をもたらしたのは、各フェーズにおいて「どのアーティファクトを確認すれば仮説を証明あるいは棄却できるか」を把握していたことでした。

これこそが「アーティファクト優先」の姿勢がもたらすメリットです。アラートは「何かが起こった」ことを知らせるだけですが、アーティファクトは「何が起こったか」「いつ起こったか」「どこまで拡散したか」「範囲を特定できたか」を明示してくれます。攻撃者が隠蔽と妨害を並行して行うことを前提とし、今回の戦術の分割を自社のデータ収集体制を見直す契機としてください。

今回のマッピングの担当チーム

実践ガイドの信頼性は、それを支える対応実績に比例します。ソフォスのインシデント対応チームは、あらゆる業種および地域において年間数千件の事案に対応しています。同チームはさまざまな国の政府機関、軍、各種組織の CSIRT、警察、情報機関の出身者で構成され、Sophos X-Ops の脅威インテリジェンスに支えられています。こうした現場での経験と豊富な対応データこそが、「アーティファクト優先」のアプローチが有効であることを裏付けています。また、これが実際の対応事例における攻撃者の潜伏期間の中央値が、現在わずか 3 日となっている理由でもあります。優れた対応速度と高度なパターン認識力が相乗効果を発揮しているのです。

実践ガイドを今すぐ実務で活用するには

1. 検知結果のタグ付けの再設定: 「防御回避」に振り分けられていたものは、すべて「隠蔽」または「防御機能の無力化」に分類し直してください。今回の区分変更により、カバレッジの報告方法も変わります。
2. 更新後の収集手順の検証: いくつかのフェーズを選び、実際のインシデントで不具合が発生する前に、リストされたアーティファクトを確実に取得できているかテストします。
3. 実運用へのリストの組み込み: トリアージ用ランブックや侵害評価テンプレートにアーティファクトリストを追加し、インシデント対応時に担当者がすぐに参照できるようにしてください。

15 の戦術からなるマトリックス全体と、フィルタリング可能な手法シートを添付しています。単なるラベルの変更にとどまらず、証拠収集戦略そのものを適応させるチームこそが、より迅速な範囲特定と確実な被害根絶を実現できます。

情報の共有

15 の戦術からなるマトリックス全体と、フィルタリング可能な手法シートは、こちらからダウンロードできます。単なるラベルの変更にとどまらず、証拠収集戦略そのものを適応させるチームこそが、より迅速な範囲特定と確実な被害根絶を実現できます。
_____

発生中のインシデントへの対応支援が必要ですか？

Sophos DFIR は、ソフォス製品の導入有無を問わず、すべてのお客様に 24 時間 365 日体制で対応するサービスです。緊急支援のご依頼は、sophos.com/emergency-response.までご連絡ください。リクエストから数時間以内にオンボーディングが開始され、多くのケースにおいて 48 時間以内にトリアージが完了します。

事前の備えをお考えですか？

Sophos Security Services Retainer (SSR) (sophos.com/retainer) は、事前検証、準備態勢の構築、および確実な対応を保証する DFIR を 1 つのモデルに統合したもので、定義済みの対応 SLA、事前合意済みの料金、およびペネトレーションテストや机上演習等に充当可能なサービスユニットが含まれています。