analyzing-cyber-kill-chain

サイバーキルチェーンの分析

使用するタイミング

このスキルは、次の場合に使用します。

• インシデント後の分析を実施し、攻撃シーケンスのどこまで敵対者が進行したかを特定するとき
• 可能な限り早い段階で攻撃を阻止することを目的に、多層防御の制御を設計するとき
• 技術者以外の関係者に攻撃の進行状況を伝える脅威インテリジェンスレポートを作成するとき

このスキルを単独のフレームワークとして使用しないでください。7 段階のキルチェーンが提供する範囲を超えて、手法レベルの詳細を得るには、MITRE ATT&CK と組み合わせてください。

前提条件

• 敵対者の具体的な行動に対応付けたフォレンジック成果物を含む、完全なインシデントタイムライン
• 各キルチェーンフェーズ内で手法レベルのマッピングを行うための MITRE ATT&CK Enterprise マトリックス
• 想定される敵対者グループに典型的なキルチェーンの進行状況に関する脅威インテリジェンスへのアクセス
• 対応チームによるインシデント後のレポートまたは IR タイムライン

ワークフロー

ステップ 1：観測された行動をキルチェーンのフェーズに対応付ける

Lockheed Martin Cyber Kill Chain は、7 つのフェーズで構成されています。観測された敵対者の行動をすべて対応付けます。

フェーズ 1 - 偵察：敵対者は攻撃前に標的の情報を収集します。

• 指標：敵対者の IP からの DNS クエリ、LinkedIn のスクレイピング、求人情報の分析、組織のインフラに対する Shodan スキャン

フェーズ 2 - 武器化：敵対者は攻撃ツール（マルウェア + エクスプロイト）を作成します。

• 指標：マルウェアのコンパイル時刻、エクスプロイト文書のメタデータ、マルウェアサンプル内のビルダーの痕跡

フェーズ 3 - 配送：敵対者は攻撃ツールを標的に送信します。

• 指標：フィッシングメール、悪意のある添付ファイル、ドライブバイダウンロード、USB の設置、サプライチェーンの侵害

フェーズ 4 - エクスプロイト：敵対者は脆弱性を悪用してコードを実行します。

• 指標：アプリケーション／OS ログ内の CVE 悪用イベント、メモリ破損の痕跡、シェルコードの実行

フェーズ 5 - インストール：敵対者は標的への永続化を確立します。

• 指標：新しいスケジュールタスク、レジストリの実行キー、サービスのインストール、ウェブシェル、ブートキット

フェーズ 6 - コマンド＆コントロール（C2）：敵対者は侵害されたシステムと通信します。

• 指標：ビーコン通信（一定間隔で発生）、DNS トンネリング、一般的でないドメインへの HTTPS 通信、C2 フレームワークのシグネチャ（Cobalt Strike、Sliver）

フェーズ 7 - 目的の達成：敵対者は目標を達成します。

• 指標：データのステージング／持ち出し、ラテラルムーブメント、ランサムウェアの実行、破壊活動

ステップ 2：フェーズの完了状況と検出ポイントを特定する

インシデントのフェーズマトリックスを作成します。

Phase 1: Recon        → Completed (undetected)
Phase 2: Weaponize    → Completed (undetected — pre-attack)
Phase 3: Delivery     → Completed; phishing email bypassed SEG
Phase 4: Exploit      → Completed; CVE-2023-23397 exploited
Phase 5: Install      → DETECTED: EDR flagged scheduled task creation (attack stalled here)
Phase 6: C2           → Not achieved (installation blocked)
Phase 7: Objectives   → Not achieved

検知されずに完了した各フェーズについて、防御制御のギャップを記録します。

ステップ 3：手法の詳細を得るため MITRE ATT&CK に対応付ける

各キルチェーンフェーズは、複数の ATT&CK 戦術に対応します。

• 配送 → 初期アクセス（TA0001）
• エクスプロイト → 実行（TA0002）
• インストール → 永続化（TA0003）、権限昇格（TA0004）
• C2 → コマンド＆コントロール（TA0011）
• 目的の達成 → 持ち出し（TA0010）、影響（TA0040）

各フェーズ内で、観測された具体的な ATT&CK 手法を列挙し、既存の検知に対応付けます。

ステップ 4：各フェーズの対処方針を特定する

各フェーズについて、適用可能な防御上の対処方針（COA）を記録します。

• 検知 COA：このフェーズで敵対者の活動を検知してアラートを出すものは何ですか？
• 拒否 COA：敵対者がこのフェーズを完了できないようにする制御は何ですか？
• 妨害 COA：フェーズの途中で敵対者の活動を中断させる制御は何ですか？
• 劣化 COA：このフェーズにおける敵対者の有効性を低下させる制御は何ですか？
• 欺瞞 COA：このフェーズの活動を明らかにする欺瞞（ハニーポット、カナリアトークン）は何ですか？
• 破壊 COA：敵対者のインフラを無力化する能動防御機能は何ですか？

ステップ 5：キルチェーン分析レポートの作成

調査結果を次のようにまとめます。

1. 攻撃の経緯（フェーズのタイムライン）
2. 証拠に基づくフェーズごとの分析
3. 検知ポイントの分析（機能した点、機能しなかった点）
4. フェーズごとの防御策（コストと効果に基づく優先順位付け）
5. 対策改善ロードマップ

主要な概念

用語	定義
キルチェーン	攻撃者の侵入フェーズを順序立てて示すモデルです。理論上、いずれかのつながりを断てば攻撃を阻止できます
行動方針（COA）	キルチェーンの各フェーズに対応付けられた防御対応です。検知、拒否、妨害、劣化、欺瞞、破壊が含まれます
ビーコン通信	侵害されたホストから攻撃者のサーバーへの、定期的かつ一定間隔の C2 チェックインパターンです。頻度分析によって検知できます
フェーズ完了	攻撃者がキルチェーンのフェーズを正常に終え、次のフェーズに進むことです。多層防御では、これを防ぐことを目指します
インテリジェンスの獲得／損失	フェーズ 5 での検知が（フェーズ 3 での検知と比べて）、攻撃者の能力や意図に関する情報を減らしたかどうかの分析です

ツールとシステム

• MITRE ATT&CK Navigator：キルチェーンのフェーズに ATT&CK の手法のカバレッジを重ね合わせ、統合的な分析を行います
• Elastic Security EQL：Elastic SIEM で複数フェーズにわたる攻撃シーケンスをクエリするためのイベントクエリ言語です
• Splunk ES：キルチェーンのフェーズの順序を可視化するタイムラインと相関検索を提供します
• MISP：Galaxy クラスターを使ってキルチェーンのタグを付与し、インシデントイベントを体系的に記録します

よくある落とし穴

• 直線的な進行を前提とすること：攻撃者が常に直線的に進むとは限りません。フェーズを飛ばす（以前のキャンペーンですでに武器化が完了している）こともあれば、前のフェーズに戻る（検知後に C2 を再確立する）こともあります。
• フェーズ 1 と 2 を無視すること：偵察と武器化は、防御側が可視性を得る前に行われます。これらのフェーズに関するインテリジェンスの取得には、外部情報源（OSINT、脅威インテリジェンス）が必要です。
• 内部脅威を見落とすこと：キルチェーンは外部の攻撃者向けに設計されています。内部脅威は、以前のフェーズを経ずにフェーズ 7 に直接進む場合があります。
• ATT&CK の戦術と混同すること：7 フェーズのキルチェーンと 14 の ATT&CK 戦術は相補的ですが、直接対応するものではありません。分析上の混乱を防ぐため、両者を区別してください。