脅威、手法、手順（TTPs）は脅威アクターの行動を記述します。本ガイドでは、サイバー脅威の理解とセキュリティ対策強化におけるTTPsの重要性を探ります。
リスクの特定と軽減における脅威インテリジェンスの重要性について学びましょう。組織がサイバーセキュリティ戦略を強化するには、TTP の理解が不可欠です。TTPを分析することで、組織は脅威インテリジェンスを強化し、より効果的に対応できます。
TTPの概要
TTPは多面的な枠組みを構成し、サイバー脅威の高度化に応じて進化してきました。これらを理解し、対抗し、効果的に対応するための包括的な戦略の必要性は、サイバーセキュリティ実務者にとって依然として最優先事項です。
起源と進化
TTPsの起源は、サイバー攻撃者と防御者との絶え間ない駆け引きにあります。サイバー脅威が基本的なウイルスやワームから複雑な標的型攻撃へと進化する中、サイバーセキュリティ専門家は脅威アクターが用いる戦術を分類し理解する必要性を認識しました。これにより、サイバー脅威を体系的に分類・分析するための枠組みとして、TTP が開発されることになった。
重要性と現代的な活用
今日、TTP はサイバーセキュリティ戦略の策定において極めて重要な役割を果たしている。脅威は、マルウェアやフィッシング攻撃から 高度な持続的脅威 (APTs) まで、幅広いリスクを包含しています。手法とは、脅威アクターが採用する具体的な方法を指し、ソーシャルエンジニアリング、ゼロデイ攻撃、暗号化などが含まれます。手順は、偵察、侵入、データ流出など、敵対者が従う段階的なプロセスを概説しています。この包括的なフレームワークにより、サイバーセキュリティの専門家は脅威アクターの犯行手口（MO）を分析し、対策を考案することができます。
TTP は、さまざまなアクターによって採用されています。国家レベルのアクターは、サイバースパイ活動やサイバー戦争のために高度な TTP を活用し、一方、サイバー犯罪者は、ランサムウェア攻撃などの活動を通じて金銭的な利益を得るためにそれらを利用しています。ハクティビストはイデオロギーや政治的主張を推進するためにTTPを活用し、一方、内部脅威は内部破壊活動のためにこれらの手法を悪用します。サイバーセキュリティ専門家や組織は、TTP分析を活用してセキュリティ態勢を強化し、新たな脅威を検知し、インシデント対応能力を向上させます。
TTPの仕組みを理解する
TTPの技術的視点では、これらの要素の基盤となる仕組みを掘り下げ、その機能に関する洞察を提供します。
- 脅威 — 脅威とは、システムやネットワークを侵害する可能性のある様々なリスクや潜在的な攻撃を指します。これには、ウイルスやトロイの木馬といった一般的なマルウェアから、APT（高度な持続的脅威）のような高度な脅威までが含まれます。技術的な分析には、脅威インテリジェンスフィード、マルウェア分析、既知の脅威シグネチャに対するネットワークトラフィックの監視などが含まれます。
- 手法 – 手法とは、敵対者が攻撃を実行するために採用する具体的な方法やメカニズムを指します。これには、エクスプロイト開発、ソーシャルエンジニアリング、回避戦術など、さまざまな技術的行動が含まれます。技術的な調査には、マルウェアのリバースエンジニアリング、攻撃ベクトルの研究、ソフトウェアやシステムの脆弱性の分析などが含まれます。
- 手順 – 手順とは、脅威アクターが目標を達成するために従う段階的なプロセスを概説したものです。これには偵察、侵入、権限昇格、データ窃取、隠蔽活動が含まれます。技術分析には、これらの手順の兆候をネットワークトラフィックで監視すること、ログファイルを調査して不審な行動を確認すること、コマンドアンドコントロール(C2)インフラの特定などが含まれます。
技術的な観点では、プロセスは侵入検知システム（IDS）や拡張検知・対応（XDR）ソリューション、脅威インテリジェンスフィードなどによる潜在的な脅威の特定から始まります。脅威が特定されると、その手法と手順が精査されます。
例えば、マルウェア脅威が検出された場合、リバースエンジニアリングを用いてコードを解析し、その動作や悪用する潜在的な脆弱性を明らかにします。脅威アナリストは、制御された環境でマルウェアの動作を観察するためにサンドボックス技術を使用することもあります。攻撃が進行中の場合、攻撃者の戦術を理解し、侵害の兆候（IoCs）を特定する上で不可欠です。
脅威インテリジェンスの強化TTPS よくある質問
TTPsはTactics（戦術）、Techniques（技術）、Procedures（手順）の略称です。戦術とは、攻撃者が追求する高レベルの目標（例：初期アクセスの取得）を指します。テクニックとは、フィッシングやポートスキャンなど、それらの目標を達成するために使用される具体的な手法です。手順とは、各テクニックを実行するための詳細な段階的な指示です。
TTPをマッピングすることで、敵対者がどのように活動し、どこで活動を監視すべきかについての明確なモデルを得ることができます。
TTPは、IPアドレスのような孤立した指標ではなく、攻撃者の行動パターンを認識するのに役立ちます。攻撃者が好む手法（例：認証情報のダンプ）を把握すれば、検知ルールを調整し、それらの行動を監視し、被害が拡大する前にアラートを発動できます。
これに対応して、標的を絞った対策を実施し、特定のツールをブロックし、影響を受けたシステムを強化します。TTPベースの防御は、ファイルやドメインが変更されても有効性を維持します。
CTIでは、アナリストが実際のインシデントから観察されたTTPを収集・共有します。各侵入をMITRE ATT&CKなどのフレームワークにマッピングすることで、組織は既知の攻撃手法と自社の対策と比較できます。
このインテリジェンスはリスク評価を推進し、セキュリティ投資を導き、プレイブックに情報を提供します。脅威アクターのTTPの変化を追跡することで、CTIチームは最新の敵対者行動を反映したルールとシナリオを更新します。
まず、エンドポイント、ネットワーク、クラウドサービスにロギング機能を実装し、詳細なイベントを捕捉します。脅威ハンティングを活用して、横方向の移動やプロセスインジェクションなどの行動を検索します。SentinelOneのEDRまたはXDRツールを導入し、不審な手法をリアルタイムで検知します。
防御策として、危険なツールのブロック、アプリケーションホワイトリストの有効化、最小権限の適用、ネットワークのセグメンテーションを実施します。これらのTTPを模擬したレッドチーム演習で、検知ルールを定期的にテストしてください。
SentinelOneのようなEDRおよびXDRプラットフォームは、プロセス実行、ファイル変更、ネットワーク通信を追跡し、攻撃者のTTPをタイムラインとして再構築します。SIEMシステムは、ファイアウォール、プロキシ、エンドポイントからのログを取り込み、分析を実行して技術パターンを特定します。脅威インテリジェンスプラットフォームは、MITRE ATT&CKにマッピングされた既知のTTPとアラートを相関させます。