TTPとは何か、そしてTTPを理解することが次の事件を防ぐことにどう役立つのか。

戦術、技術、手順（TTP）とは何か？

TTP 分析は、脅威行為者の活動方法を理解することで、セキュリティチームが攻撃を検知し、軽減するのに役立ちます。以下では、TTP の 3 つの要素（戦術、技術、手順）を定義します。

戦術

一般的に戦術とは、サイバー犯罪者が攻撃を実行するために使用する活動の種類を指します。例えば、機密データへの不正アクセス、ネットワーク内での横の動き、ウェブサイトの侵害などです。

テクニック

スキルとは、攻撃者が目的を達成するために用いる一般的な手法のことである。例えば、ウェブサイトを侵害することが目的であれば、テクニックはSQLインジェクションかもしれない。各戦術は複数のテクニックで構成されることもある。

手続き

手順とは、サイバー犯罪者が攻撃を実行するために使用できる特定の一連のステップのことである。SQLインジェクションを例にとると、標的のウェブサイトの脆弱性をスキャンし、悪意のあるコードを含むSQLクエリを書き、それをウェブサイト上の安全でないフォームに送信してサーバーを制御する、という手順が考えられます。

---

サイバー犯罪から身を守るためにTTP分析をどのように活用できるか？

TTPの様々な組み合わせを理解することは、サイバー犯罪に対処するための素晴らしい方法である。いくつかの研究機関から入手できる詳細な指示に従うだけで、自動化された行動と人間による検証に基づいた対応を考案することができる。

例えば、MITRE ATT&CK ® Matrixは、サイバーセキュリティチームが遭遇する TTP を特定し、対処するのに役立ちます。このマトリックスでは、セキュリティ担当者が IT システムのアクティビティを継続的に監視し、既知の TTP に関連する異常な動作を検出して、本格的な攻撃に発展する前に阻止する方法を定義しています。MITRE ATT&CKマトリクスは、実際の侵入を検知する際にも、攻撃の計画段階や偵察段階にある行為者を特定する際にも役立ちます。

新たなTTPへの対処に役立つ取り組みは他にもある：

• オープン・ウェブ・アプリケーション・セキュリティ・プロジェクト（OWASP）- ウェブ・アプリケーションに影響を及ぼす一般的な脆弱性に関するオープン・リサーチと、それらを修正するためのベスト・プラクティスを提供する。
• Cyber Threat Alliance (CTA)- サイバーセキュリティに関する知識を共有し、すべての人にとってより安全な環境を構築する多数の企業間の協定。

同時に、ユーザーとエンティティの行動分析（UEBA）や脅威インテリジェンスなどのテクノロジーは、これらの研究機関からのデータを補完することができます。行動分析を活用して異常な行動を特定し、脅威インテリジェンス・フィードを活用して既知の攻撃パターンと脅威アクターを多数提供することで、ネットワーク・トラフィック内の TTP を特定することができます。

TTPは本質的に "ハッキング活動 "であるため、通常の行動というレンズを通して活動を見るUEBAは、それを自然に補完するものである。

サイバー犯罪者がTTPを更新し、新たなTTPを考案し続ける中、セキュリティ・ソリューションは新たなテクニックを迅速に発見し、適応しなければなりません。TTPに関するデータは、セキュリティ・オペレーション・センター（SOC）における日々の活動に不可欠であり、セキュリティ・アナリストが攻撃者の一歩先を行くのに役立ちます。

---

TTPを利用しているのは誰か

サイバーセキュリティの分野では、TTPは攻撃側と防御側の双方によって利用されています。

攻撃者（単独のハッカーから組織的な脅威グループに至るまで）は、確実に攻撃を成功させるためにTTPを開発・再利用している。これらの手法は時間の経過とともに進化することが多いが、中核となるパターンは複数の攻撃キャンペーンにまたがって再利用されている。 例えば、高度持続的脅威（APT）グループは、標的に合わせて調整されたスピアフィッシング（手法）、認証情報のダンプ（手法）、および持続性メカニズム（手順）の特定の組み合わせに依存する場合がある。

防御側は、TTP分析を活用して脅威の特定、帰属の特定、および対策を行っています。セキュリティアナリスト、脅威ハンター、インシデント対応チームは、MITRE ATT&CKなどのフレームワークを活用し、実環境で観測されたTTPを分類し、既知の脅威アクターと照合しています。法執行機関や情報機関も、サイバー犯罪組織の行動を把握し、帰属の特定を行うためにTTPを追跡しています。

TTPは、脅威インテリジェンスや検知エンジニアリングにおいて特に有用です。TTPを活用することで、ブルーチームは静的な指標ではなく、観測された行動パターンに基づいて防御策の優先順位を決定できるようになり、既知の脅威の未知の亜種を検知しやすくなります。

TTPs 対 IOCs DATE による 2 本の記事のコンテンツ更新内容をご確認ください

TTPと侵害の兆候（IOC）は、いずれもサイバー脅威の検知と分析に用いられますが、攻撃の異なる側面に焦点を当てています。

IOCは、潜在的な侵害を示す特定の指標です。これには、既知の悪意のある活動に関連付けられたIPアドレス、ファイルハッシュ、ドメイン名、またはレジストリキーなどが含まれます。これらは自動検知システムでの利用が容易ですが、攻撃者にとっても変更しやすいという特徴があります。IOCが特定されてブロックされると、攻撃者は多くの場合、それを新しいものに置き換えることができます。

TTPs TTPは、攻撃によってどのような痕跡が残されるかというよりも、攻撃がどのように行われるかを記述するものです。これらは、権限昇格の手法や横方向の移動の手法といった行動パターンを捉えています。個々の指標よりも行動パターンを変えることは難しいため、TTPは攻撃者の活動についてより持続的な洞察を提供します。

IOCは迅速な検知と対応に有用である一方、TTPは長期的な防御や脅威ハンティングに適しています。セキュリティチームは、多くの場合、これらを組み合わせて使用します。すなわち、IOCを用いて既知の脅威を特定し、TTPを用いて、既知の手法を流用した新規または進化する攻撃を検知するのです。

行動分析でTTPを検知する

TTP分析は、攻撃がどのように発生したかを分析者が理解するのに役立ちます。しかし、TTPに一致するデジタル証拠が本当に悪意のある活動によるものなのか、それともネットワーク上のユーザーが実行した通常の操作に過ぎないのかを判断するのは難しい場合があります。

例えば、アナリストは、攻撃者がアカウント作成、画面共有アクティビティ、リモートデスクトップアクセスを悪意を持って利用する方法をよく知っている。しかし、これらは企業のIT部門が合法的な意図を持って毎日行っている日常的な作業です。

SOCアナリストが利用できるツールは、通常のアカウント作成と悪意のあるアカウント作成を区別し、悪意のあるアクティビティと思われる場合にのみアラートを発するのに十分でなければならない。そうでなければ、多数の誤検知が発生し、セキュリティチームに過度の負担をかけることになる。

行動分析では、機械学習を使用して、すべてのユーザーと資産の行動を監視し、理解します。行動ベースラインを確立し、通常の行動からの逸脱を特定することで、悪意のあるTTPを正確に検出します。

TTPを特定するための行動分析の例

Exabeamは、ユーザーおよびエンティティの行動分析（UEBA）機能を備えた次世代セキュリティ情報・イベント管理（SIEM）プラットフォームを提供しています。ExabeamのUEBAは、MITRE ATT&CK フレームワークで定義されているTTPを使用して、攻撃を示す可能性のある行動を特定します。また、正常な行動と異常な行動を区別することができるため、セキュリティ・アナリストが脅威を発見しやすくなります。

攻撃者がTelnet、SSH、VNCなどのリモート接続を許可するように設計されたサービスにログインすることを考えてみましょう。攻撃者は通常、このベクターを使ってネットワークに侵入し、その後、横方向に移動して価値の高い資産を攻撃します。

この方法は、MITRE ATT&CK フレームワークで「リモートサービス」として定義されている TTP である。既存の SOC ツールでは、静的相関ルールを使用して TTP 検出を行う。静的相関ルールは、リモート接続に関連する可能性のある通常の動作状態を判断できないため、ルールがトリガーするリモート接続はすべて、リモート接続に関連する可能性があります。

その結果、このルールは多数の偽陽性を生成し、アナリストがルールによって生成されたアラートを無視する原因となる。しかし、MITRE ATT&CKの情報をユーザー分析および行動分析と組み合わせることで、アナリストは、実際の脅威である可能性が高い、環境で発生する異常な行動に焦点を当てることができる。

---

TTPの利用における課題

絶えず変化し続ける攻撃者の行動

攻撃者は、検知を回避するために、手口や手順を頻繁に変更します。たとえ戦術そのものが同じであっても、その実装方法は変化することがあり、静的な検知ルールだけに頼ることは難しくなります。例えば、フィッシング攻撃では、認証情報の窃取を目的としながらも、配信方法やペイロードの形式を変更する場合があります。

これにより、セキュリティチームはシグネチャベースの検知から脱却し、行動ベースの監視に投資せざるを得なくなります。しかし、こうした検知機能の構築と維持には、継続的な取り組み、脅威インテリジェンスの更新、そして新たな攻撃パターンに対する定期的な検証が必要となります。継続的な調整を行わなければ、検知機能はすぐに時代遅れになってしまいます。

帰属の難しさ

観測されたTTPを特定の脅威アクターに結びつけることは、必ずしも容易ではありません。異なるグループが類似した手法を用いる場合があり、また、調査担当者を惑わすために、既知のアクターを意図的に模倣するケースもあります。MITRE ATT&CKに掲載されているような、公開されているTTPは、防御側と攻撃側の双方がアクセスできるため、こうした重複がさらに増大しています。

犯行の帰属を特定するには、TTP分析を、インフラストラクチャのパターン、マルウェアのシグネチャ、地政学的状況といった他のデータソースと組み合わせる必要がある場合が多い。それでもなお、結論は決定的なものではなく、あくまで確率的なものにとどまることがある。この不確実性は、対応策の決定や長期的な防御計画の策定を複雑にする可能性がある。

誤検知

TTPに基づく検知は、多くの場合、行動パターンの特定に依存していますが、そのパターンは正当な活動と重複する可能性があります。例えば、PowerShell のような管理ツールやリモートデスクトッププロトコルは、通常の運用と攻撃の両方で一般的に使用されています。このため、悪意のある意図と日常的なタスクとを区別することが困難になります。

誤検知を減らすには、ユーザーの役割、資産の機密性、ベースラインとなる行動など、確固たるコンテキストが必要です。また、適切に調整された検知ルールや、複数のシグナル間の相関分析も重要となります。これらが欠けていると、アナリストは「アラート疲労」に陥る恐れがあり、無害なアラートが大量に発生することで、真の脅威をタイムリーに特定することが難しくなります。

SIEMとUEBAの統合ソリューション

ネットワーク上で発見されたTTPを特定し、防御するには、企業全体からデータを集約し、行動分析にかける必要があります。

これはSIEMとUEBAを統合したソリューションによって実現できる。SIEMの幅広いデータと最先端のUEBAエンジンが可能にする深い分析を組み合わせたシステムが、現場でいくつか展開されています。

統合システムの一例として、Exabeam SOC Platformがある。Exabeamは、最新のデータレイク・テクノロジーに基づいた完全なSIEMソリューションです。さらに、次のようなUEBA機能を提供します：

• 行動分析に基づくインシデント検知 -Exabeamは、高度な分析により、事前に定義された相関ルールや脅威パターンによらず、異常で危険な行動を特定します。高度な設定や微調整を必要とせず、誤検知を抑えながら、意味のあるアラートを提供します。
• セキュリティ・インシデントのタイムラインを自動作成 -Exabeamは、関連するセキュリティ・イベントをタイムラインに集約し、複数のユーザー、IPアドレス、ITシステムにまたがるセキュリティ・インシデントを表示します。
• 動的なピアグループ化 -Exabeamは、個々のエンティティの行動ベースライン化を行うだけでなく、類似のエンティティ（同じ部署のユーザーや同じクラスのIoTデバイスなど）を動的にグループ化し、グループ全体の正常な集団行動を分析し、危険な行動を示す個人を検出します。
• 横方向の移動検知 -Exabeamは、機密データや重要な資産を狙って、異なるIPアドレス、認証情報、マシンを使用してネットワーク内を移動する攻撃者を検知します。複数のソースからのデータを結びつけ、点と点を結んで攻撃者がネットワーク内を移動する過程を表示します。