>
>
公開日
最終更新日
MITRE ATT&CK（マイター・アタック）とは、攻撃者の戦術・技術・手順を体系化し、自社の検知・防御の抜けを見つけるためのMITRE公式の知識ベースです。
企業の80%以上が脅威保護に利用する一方、45%が製品との相互運用性の欠如を課題に挙げています。これはUC Berkeley CLTCが公開した2020年調査による、グローバル企業のセキュリティ専門家・担当者を対象とした結果であり、現在は状況が変化している可能性があります。
対象読者：組織規模やログ基盤、委託範囲によって適切な運用形態は異なります。小規模組織では重点システムに絞った手動確認、中規模では定期的なマッピング、大規模ではSOCやCSIRTを含む運用設計が選択肢となります（自組織の資産数・脅威モデルに応じて判断してください）。
本記事のポイント
正式名称と読み方は初出時に押さえます。
対象資産、ログ、Navigator、対策の穴、優先順位の順に整理します。
ATT&CKの対応数だけで製品やSOCを評価しません。
2026年の市場動向：インプレスのIT Leadersは、矢野経済研究所の調査として、2026年度の国内サイバーセキュリティ市場規模の予測値を紹介しています（2兆1,220億円見込み。調査時点・条件の詳細は同記事および矢野経済研究所の原典を参照）。
MITRE ATT&CKとは
MITRE ATT&CKは、実際の攻撃に関する公開情報やインシデント報告を基に、攻撃者がどのような目的で、どのような行動を取るかを整理したナレッジベースです。攻撃者の行動パターンを共通の用語で捉えることで、組織のサイバーセキュリティ対策における検知範囲、防御範囲、可視性の不足を整理できます。MITRE Corporationは非営利法人としてATT&CKを開発・維持しており、ATT&CKの公式サイトでは、実環境で観測された攻撃者の戦術・技術に基づく知識ベースであると説明しています。MITRE ATT&CK公式サイト
このフレームワークを参照すると、攻撃者の行動を客観的に把握し、自社の対策に潜むギャップを技術単位で確認できます。技術やサブテクニックには固有のIDが割り当てられているため、脅威情報、検知ルール、インシデント記録を同じ粒度で比較できます。MITRE ATT&CKは、攻撃者の戦術、技術、サブテクニック、具体的な手順を体系的に整理しており、SOCの検知能力の評価、脅威分析、レッドチーム演習の計画に利用できます。
MITRE ATT&CKの読み方は「マイター・アタック」です。ATT&CKは「Adversarial Tactics, Techniques, and Common Knowledge」の略称で、現在はMITRE ATT&CKというプロジェクト名・知識ベース名として用いられています。ATT&CKの表記については、MITRE ATT&CK FAQで確認できます。
ATT&CKフレームワークの構造
ATT&CKが広く利用される理由の一つは、攻撃者の行動を階層的に整理できる点にあります。攻撃者の行動を戦術、技術、手順という単位で整理することで、複雑なサイバー攻撃を分解し、検知ルールやログの確認対象へ結び付けやすくなります。
戦術（Tactics）
戦術は、攻撃者が行動によって達成しようとする目標、すなわち「なぜその行動を取るのか」を表します。偵察、初期アクセス、実行、永続化、権限昇格などが該当します。戦術は攻撃ライフサイクルを理解する手がかりになりますが、厳密な時系列のフェーズを定義するものではありません。同じ技術が複数の戦術に関係する場合もあるため、マトリックスは固定的な攻撃手順書ではなく、攻撃者の目的と行動の対応表として扱います。
技術（Techniques）
技術は、戦術を達成するために攻撃者が用いる具体的な行動や手法です。例えば、初期アクセスに関係する技術にはT1566（Phishing、フィッシング）があります。多くの技術はより具体的なサブテクニックに細分化されており、確認すべきログや検知ロジックを詳細化する際に利用できます。各技術・サブテクニックには固有のIDが割り当てられ、ATT&CK公式サイトで説明、関連するデータソース、検知戦略、手順例を参照できます。T1566: Phishing
手順（Procedures）
手順は、特定の攻撃グループやマルウェアが、技術またはサブテクニックをどのように使用したかを示す具体例です。技術IDだけで「検知済み」と判断せず、手順例にある実行方法と、自社で取得しているテレメトリを照合します。たとえばプロセス名だけを取得していてコマンドライン、親子プロセス、通信先を追えない場合、同じ技術に対する検知の確度は下がります。
▲ ATT&CKフレームワークにおける「戦術・技術・手順」の3階層構造
ATT&CKのマトリックス
ATT&CKの代表的な表示形式がマトリックスです。マトリックスでは戦術が列見出しとして並び、各列に関連する技術が配置されます。攻撃者の行動を一覧で確認できるため、脅威シナリオ、ログソース、検知ルール、防御機能を同じ画面上で対応付ける用途に向いています。
Enterprise Matrixの全体像
ATT&CKの中心となるのがEnterprise Matrixです。Windows、macOS、Linux、ネットワーク機器、コンテナ、クラウドサービスなど、企業で利用されるIT環境が対象です。列見出しに戦術が並び、各列の中に対応する技術が配置されています。セキュリティ担当者は、このマトリックスに自社の検知・防御能力を重ねることで、重要な脅威シナリオに対する対策の穴を視覚的に整理できます。Enterprise Matrix
Enterprise以外のマトリックス
ATT&CKはエンタープライズ環境だけでなく、モバイルデバイスを対象としたMobile、産業用制御システムを対象としたICSのドメインも提供しています。対象資産にスマートフォン、製造設備、監視制御環境が含まれる場合は、Enterpriseだけで評価を完結させず、該当するドメインを分けて扱います。MITREの公式案内では、Enterprise、Mobile、ICSを異なる技術ドメインとして整理しています。MITRE ATT&CK Get Started
ATT&CK Navigatorで可視化する方法
ATT&CK Navigatorは、ATT&CKマトリックスに注釈や色分けを加えるWebベースのツールです。例えば、検知済みの技術を緑、防御済みだが検知ログを確認していない技術を黄、ログがなく未可視の技術を赤としてレイヤー化すると、製品の対応数ではなく運用上の状態を比較できます。MITREはNavigatorを、防御カバレッジ、レッドチーム・ブルーチームの計画、検知した技術の頻度の可視化に利用できるツールとして案内しています。ATT&CK Data & Tools
ATT&CKとサイバーキルチェーンの違い
ATT&CKとしばしば比較される概念に、サイバーキルチェーンがあります。
視点の違い
サイバーキルチェーンは、攻撃の一連の流れを高い抽象度で捉えるモデルです。偵察から目的達成までの流れを大まかに共有する場面に向いています。
一方、ATT&CKは、攻撃者がどのような目的で、どの技術を使い得るかを技術レベルまで掘り下げます。サイバーキルチェーンが攻撃の流れを説明するのに対し、ATT&CKは攻撃者の行動の選択肢と、その行動を観測・分析するための共通言語を提供します。ただし、ATT&CKの戦術は厳密な順序を示すものではないため、キルチェーンの段階と1対1に対応付けるのではなく、脅威シナリオに沿って参照します。
2つのフレームワークを組み合わせた防御
2つは対立するものではなく、用途が異なる補完的なフレームワークです。サイバーキルチェーンで攻撃全体の流れを把握し、ATT&CKで各場面における具体的な攻撃技術、必要なログ、検知・防御策を検討する方法があります。
例えば、初期アクセスから外部通信までのシナリオをキルチェーンで整理した後、ATT&CKでT1566（Phishing）、T1059（Command and Scripting Interpreter）、T1071（Application Layer Protocol）などの候補を確認します。その上で、メールセキュリティ、EDR、プロキシ、DNS、SIEMのどこに観測記録が残るかを対応付けると、対策と運用の担当範囲を分けて整理できます。
▲ サイバーキルチェーンとMITRE ATT&CKの視点・特徴の比較
▲ サイバーキルチェーンとATT&CKを組み合わせた防御計画の4ステップ
MITRE ATT&CKの具体的な活用事例
ATT&CKは理論的なフレームワークにとどまらず、セキュリティ業務の様々な場面で活用できます。ここでは、評価・分析・演習・人材育成における代表的な使い方を紹介します。
セキュリティ製品・SOCの評価
自社が導入しているセキュリティ製品や、SOC（Security Operation Center）のサービスが、どの攻撃技術を検知・防御できるのかをATT&CKのマトリックスに照らして評価できます。このときは、技術ごとに「防御済み」「検知済み」「ログはあるが分析未実装」「ログがなく未可視」を分けます。例えば、EDRが端末上の不審な実行を防御できても、コマンドラインやプロセスツリーがSOCへ連携されなければ、調査と検知改善に使える可視性は限定されます。ATT&CKのマトリックスを使うと、組織のセキュリティ評価と対策の見直しを、製品名ではなく攻撃技術と運用状態の単位で進められます。
脅威インテリジェンスの分析
日々報告されるサイバー攻撃の情報を、ATT&CKのフレームワークで整理・分析できます。例えば、脅威レポートでフィッシング、PowerShell実行、Web通信が記載されている場合、それぞれの記述をT1566、T1059、T1071などの候補へマッピングします。T1055（Process Injection、プロセスインジェクション）は、Defense EvasionやPrivilege Escalationなど複数の戦術に関係し得る技術であり、特定の攻撃グループがどの目的で使ったかは、ATT&CKのProcedure Examplesや脅威レポートの記述で判断します。技術IDだけから用途を一律に断定しないことで、自組織に関係する検知条件を絞り込めます。T1055: Process Injection
インシデント対応と分析の高度化
セキュリティインシデントが発生した際、観測された事象がATT&CKのどの技術に該当するかを特定すると、インシデントの全体像を整理しやすくなります。例えば、特定のマルウェアの活動がT1059（Command and Scripting Interpreter）とT1071（Application Layer Protocol）にマッピングされた場合、スクリプト実行とアプリケーション層の通信が確認対象になります。実際の判断では、対象ホスト、コマンド内容、プロセスツリー、認証記録、通信先、通信量を相関させます。
Windows端末の調査では、EDRのプロセスツリーとコマンドライン、Windowsイベントログ、PowerShellの記録、プロキシやDNSの通信記録を対応付けると、技術IDの推定根拠を残せます。プロセスツリーと通信先を取得できるなら、対象端末を限定した検証で検知条件を調整します。どちらかを取得できない場合は、未可視としてNavigatorのレイヤーに記録し、ログ設定または収集経路の見直しを優先します。
レッドチーム演習やペネトレーションテストの計画
攻撃者の視点でシステムの脆弱性を評価するレッドチーム演習やペネトレーションテストでは、ATT&CKを攻撃シナリオの設計に利用できます。実際に観測された技術をベースに、対象資産、実行を許可する技術、取得したいログ、演習停止条件を事前に定義します。演習後は、実行した技術ごとに防御、検知、調査可能性を分けて記録すると、単に侵入の成否だけでは把握できない運用上の差分を確認できます。
セキュリティ人材の育成と共通言語の確立
ATT&CKは、セキュリティチーム内や経営層を含む他部署とのコミュニケーションにおいて、サイバー攻撃に関する共通言語として機能します。チームメンバーがATT&CKの技術ID、根拠ログ、検知状態を基準に議論すると、「対策済み」という抽象的な表現を避けられます。研修では、技術名を暗記するだけでなく、技術ごとにどのログで観測し、どの担当が一次分析し、どの条件でエスカレーションするかを演習の成果物として残します。
ATT&CKを使った活用手順
ATT&CKの導入では、マトリックス上のすべての技術を埋めることを目標にしません。MITREの公式案内でも、すべての組織にすべての技術が当てはまるわけではないため、自組織に関係する脅威を優先する考え方が示されています。重要資産、想定する侵入経路、既存のログと対策を起点に、対象を絞ってレイヤーを作成します。MITRE ATT&CK Get Started
重要資産と脅威シナリオを決めます。例えば、管理者権限を持つ端末、ID基盤、メール、クラウドストレージを対象にし、フィッシング起点、認証情報の悪用、外部通信といったシナリオを設定します。
対象ログを棚卸しします。端末、ID、メール、DNS、プロキシ、クラウド監査ログについて、取得場所、保存期間、検索できる担当者を記録します。
シナリオ内の行動をATT&CKの技術・サブテクニックへ対応付けます。技術ID、根拠となった脅威情報、関連ログ、担当チームを1行ずつ管理表へ記載します。
各技術を「検知」「防御」「可視性」に分けて評価します。防御機能があるだけでは検知済みとは扱わず、検知ルール、アラート、調査手順まで存在するかを区別します。
Navigatorで状態を色分けします。優先度は、対象資産の重要度、攻撃の起こりやすさ、影響、現在の可視性の低さを基準に決めます。
限定検証と定期見直しを行います。ログから技術の根拠を再現できれば検知条件を改善し、再現できなければログ収集・保存・連携の不足として扱います。
優先順位の判断例として、重要なID基盤に関係し、攻撃シナリオ上も発生可能性が高く、かつログが取得できない技術は、まず可視性の改善対象になります。一方で、ログとアラートがあり、調査担当と手順も明確な技術は、検知の精度や誤検知率を見直す対象です。こうした区分を月次または四半期ごとに更新すると、製品追加やログ設定の変更がカバレッジへ与えた影響を追跡できます。
ATT&CKを日本語で学ぶ方法
ATT&CKは英語圏で生まれたフレームワークであり、MITRE ATT&CKの公式サイトの主要コンテンツは英語で提供されています。技術ID、戦術名、手順例、データソースの最新情報は、英語版の公式サイトを基準に確認します。日本語の解説や翻訳資料を利用する場合は、公式情報そのものか、国内機関・民間組織・有志による二次資料かを区別して扱います。
公式サイトは英語版を参照する
MITRE ATT&CKの公式サイトには、トップページや概要説明を含め、主要コンテンツの公式な日本語版はありません。技術IDやマトリックスの内容を確認する場面では、公式サイトの英語ページ、公式FAQ、公式のData & Toolsを参照します。国内資料と表記が異なる場合は、技術IDを基準に照合すると、翻訳語の違いによる混同を抑えられます。MITRE ATT&CK公式サイト
国内セキュリティ機関の資料
国内機関の資料は、日本の制度、組織体制、制御システムなどの文脈を補うために利用できます。例えばIPAは「制御システムのセキュリティリスク分析ガイド 第2版」で、MITRE CorporationのATT&CK for Industrial Control Systemsに言及しています。Enterprise、Mobile、ICSのどのドメインを扱うかを先に決めると、参照する国内資料と公式の技術ページを結び付けやすくなります。IPA「制御システムのセキュリティリスク分析ガイド 第2版」
非公式の日本語訳や解説は、概念の入口として利用できますが、技術名、サブテクニック、データソース、手順例は更新されることがあります。参照した日本語資料の公開日と対象バージョンが確認できれば、社内説明や学習用の補助資料として使えます。確認できなければ、技術IDと公式サイトの英語ページを併記した管理表を作り、運用判断は公式の技術IDと自社ログに基づいて行います。
まとめ
MITRE ATT&CKは、攻撃者の行動を戦術・技術・手順の組み合わせで理解するための共通言語です。セキュリティ製品やSOCの評価、脅威インテリジェンスの分析、インシデント対応、レッドチーム演習などで利用できます。ただし、技術IDの対応数だけでは運用上の防御力を判断できません。防御できるか、検知できるか、調査に必要なログを取得できるかを分けて評価します。
活用の起点は、重要資産と脅威シナリオを決め、対象ログを棚卸しし、ATT&CK技術へ対応付けることです。プロセスツリー、コマンドライン、認証、通信先などの根拠ログを取得できる技術は限定検証へ進め、根拠ログを取得できない技術は可視性のギャップとして記録します。ATT&CK Navigatorで状態と優先度を可視化し、ログ設定、検知ルール、演習結果の変化に合わせて定期的にレイヤーを更新します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
