サイバーキルチェーンとは、サイバー犯罪者が攻撃を実行する際に頻繁に行う一連の手順を指します。ロッキード・マーティンが導入したフレームワークであるサイバーキルチェーンは、これらの手順をマッピングすることで、組織がサイバー攻撃を理解し、その過程で阻止するのに役立ちます。
目次
このモデルは、マルウェア、ランサムウェア、トロイの木馬、スプーフィング、ソーシャルエンジニアリングなどの戦術を組み合わせたAPT（Advanced Persistent Threat）や高度な攻撃を分析するのに特に有効です。
サイバーキルチェーンフレームワーク
ロッキード・マーティンは当初、軍事における「キルチェーン」の考え方をサイバーセキュリティに応用する手段として、サイバーキルチェーンフレームワークを開発しました。軍事戦略において、キルチェーンとは、敵が標的を特定し攻撃するために取る構造化された手順と、防御側がそれらを阻止する機会を指します。
同様に、サイバーキルチェーンフレームワークは攻撃を明確な段階に分解し、防御側がどこでどのように介入すべきかを明確に把握できるようにします。セキュリティチームは現在、このモデルを使用して脅威を特定の段階にマッピングし、防御の優先順位付けや脆弱性の特定に役立てています。
サイバーキルチェーンの各フェーズ
サイバーキルチェーンモデルは、サイバー攻撃者が実行する7つのステップを特定します。
偵察：攻撃者は、開いているポートや従業員のメールなど、標的に関する情報を収集します。
武器化：多くの場合、エクスプロイトを悪意のあるファイルやリンクに結び付けて、マルウェアのペイロードを準備します。
配信：通常はフィッシングメールまたはドライブバイダウンロード攻撃を介してペイロードを送信します。
攻撃：悪意のあるコードがターゲットシステム上で実行され、脆弱性を悪用します。
インストール：マルウェアは、バックドアまたはトロイの木馬をインストールすることで永続性を確立します。
C2（コマンド アンド コントロール）：攻撃者は侵害されたシステムと通信してコマンドを発行します。
目的の実行：データの盗難、ファイルの暗号化、サービスの妨害など、攻撃者は目的を達成します。
サイバーキルチェーンモデルが攻撃を可視化する方法
このモデルは、サイバー攻撃が単発の出来事ではなく、相互に関連した一連のステップであることを示しています。この連鎖のたった一つのステップを妨害するだけで、セキュリティチームは攻撃者が目的を達成するのを阻止し、侵害による全体的な影響を軽減できます。
たとえば、脅威インテリジェンスを展開して偵察活動を検出したり、サンドボックスを使用して武器化されたマルウェアを捕捉したり、疑わしいC2接続がないかネットワークトラフィックを監視したりすることが考えられます。
サイバーキルチェーンとMITRE ATT&CK
サイバーキルチェーンは攻撃を直線的かつ高水準な視点で捉える一方、MITRE ATT&CKフレームワークは攻撃者の戦術と技術の詳細なマトリクスを提供します。両者を併用することで、検知能力、インシデント対応、そしてサイバーセキュリティの継続的改善が強化されます。
統合サイバーキルチェーンとその他のモデル
統合サイバーキルチェーンは、ロッキード・マーティンのモデルとMITRE ATT&CKの戦術を統合し、現代の攻撃、特にAPTの複雑さをより的確に捉えます。キルチェーンを初期の侵害だけでなく、エクスプロイト後のラテラルムーブメントや認証情報の窃取まで拡張することで、侵入を検知・阻止するためのより包括的なロードマップを防御側に提供します。
サイバーキルチェーンと他のモデルの比較表
フレームワーク
焦点
強み
サイバーキルチェーン
攻撃の線形段階
理解しやすく、攻撃を早期に阻止
MITRE ATT&CK
戦術とテクニックのマトリックス
非常に詳細で脅威ハンティングをサポート
統合サイバーキルチェーン
両方のアプローチを組み合わせる
APTライフサイクルを捕捉し、フルスペクトル防御をサポート
サイバーキルチェーンのプロセスを断ち切る方法
サイバー攻撃を阻止するには、キルチェーンの1つ以上のステップを特定し、阻止することが重要です。この階層的なアプローチは、攻撃者の成功率を低減し、初期防御を突破した場合でも被害を最小限に抑えます。
サイバーキルチェーンの戦術と予防
キルチェーンのステージ
一般的な攻撃/戦術
推奨される予防策
脆弱性の悪用
ソフトウエアの脆弱性を悪用した認証情報攻撃
悪意のあるアクションを検出してブロックするEPP/EDR（エンドポイント保護）
インストール
マルウェアはバックドア、ランサムウェア、トロイの木馬をインストール
アプリケーション制御とサンドボックスにより、不明または疑わしいインストールを阻止
実際のサイバーキルチェーンの例
LockBitとBlackCat（ALPHV）ランサムウェア
2024年、LockBit攻撃者は、配信および脆弱性攻撃の段階でQakBotトロイの木馬を利用してアクセスを取得し、その後Cobalt Strikeを使用してC2を奪取しました。最終的に、彼らは重要なシステムを暗号化し、数百万ドルの身代金を要求しました。これはサイバー攻撃のキルチェーン初期段階における検知回避の代償を如実に示しています。
Clopランサムウェア
Clopは、安全なファイル転送アプリケーションを悪用してアクセス権限を取得する手口で知られています。配信後、彼らは速やかにデータ窃取（インストールと目的の実行）へと移行し、暗号化と公開データ流出を組み合わせ、二重の脅迫を行います。
サイバーセキュリティにおけるサイバーキルチェーンの活用メリット
侵害コストの削減：早期検出により、攻撃が拡大する前に阻止し、復旧と法的コストを節約できます。
規制コンプライアンスをサポート：GDPR、NIS2、および同様の規制に基づく積極的な対策の実証に役立ちます。
SOCとIRの準備態勢を強化：セキュリティチームに、脅威ハンティングとインシデント対応のための体系的なアプローチを提供します。これがゼロトラスト・ネットワーキングとどのように連携するかをご覧ください。
サイバーキルチェーン全体にわたって防御を強化
サイバーキルチェーンを理解することで、初期偵察からデータ窃取に至るまで、攻撃の各段階を予測し、阻止することができます。しかし、戦術を理解するだけでは、リアルタイムで検知、対応、適応する能力がなければ十分ではありません。
Trend Vision One™ は、環境全体にわたる統合的な可視性、強力な分析機能、そしてXDR（Extended Detection and Response）を提供します。キルチェーンの各フェーズにおけるアクティビティの相関分析により、脅威を早期に阻止し、滞留時間を短縮し、重要な資産を確実に保護できます。
Jon Clayは、29年以上にわたってサイバーセキュリティ分野の経験を持ちます。Jonは業界での知見を活かして、トレンドマイクロが外部に公開する脅威調査とインテリジェンスに関する教育と情報共有を担っています。