攻撃を基に防御を最大化する考え方　MITRE ATT＆CKについて理解する

# はじめに
本記事ではセキュリティフレームワークの一つであるMITRE ATT＆CKについて記載しています。

MITRE ATT&CK フレームワークは、MITREのプロジェクトとして2013年に開始されました。

ATT＆CKを知る前に、まずはMITREについて知りましょう。

## MITRE
[MITRE](https://www.mitre.org/)はアメリカの非営利団体です。

安全な世界のために問題を解決することをミッションとし、連邦政府が資金提供する研究開発センター（FFRDC）の管理や、航空、防衛、ヘルスケア、国土安全保障、サイバーセキュリティなどの分野で公益のために活動しています。

[Corporate Overview](https://www.mitre.org/about/corporate-overview)より、公益のために設立された会社として、「業界と競争しないこと、商業的な利益相反の欠如は私たちの客観性の基礎を形成する」など、利潤の追求が目的ではなく、各分野にて本質的な課題解決を行うことなどその崇高なマインドが伝わります。

>As a company chartered to work in the public interest, we have no owners or shareholders, and we don't compete with industry. This lack of commercial conflicts of interest forms the basis for our objectivity. We can acquire sensitive and proprietary information from the government, industry, and other partners to inform our work. Organizations are willing and able to share data because they know we won't use it for a competitive advantage.

## 用語
セキュリティフレームワークによく登場する用語について、以下に記載します。

- APT  
**Advanced Persistent Threat**の略語です。
サイバー攻撃の一種である標的型攻撃の内、持続的に潜伏して行われる標的型攻撃を[APT攻撃](https://ja.wikipedia.org/wiki/APT%E6%94%BB%E6%92%83)と呼びます。

~~アメリカに本社を置くサイバーセキュリティ企業として、[ファイア・アイ(FireEye)](https://ja.wikipedia.org/wiki/%E3%83%95%E3%82%A1%E3%82%A4%E3%82%A2%E3%83%BB%E3%82%A2%E3%82%A4)がレポートしているAPTグループのリストは[Advanced Persistent Threat Groups](https://www.mandiant.com/resources/apt-groups)から確認できます。~~
 <font color="Red">※本記事執筆後、McAfeeのエンタープライズ事業とFireEyeはTrellixに統合されました。また、2022年3月にGoogleはMandiant社を54億ドルで買収して、現在はVirusTotalとMandiantの両製品を統合したGoogle Threat Intelligenceを展開しています。従って上記のリンクはGoogle社に変わりましたが、APTグループに関する情報は、MITREの[Groups](https://attack.mitre.org/groups/)からも確認できます。</font>
 
 APTグループは、`APT + 数字`で識別されています。

- TTP
TTPは**Tactics、Techniques、Procedures**の略語で、それぞれの意味は以下の通りです。

    - Tacticは**戦術**として、敵の目標や目的を意味する
    - Techniqueは**テクニック**として、敵が目標や目的を達成する方法のこと
    - Procedureは**手順**となり、文字通りどのように実行されるかについて

- adversary
adversaryは敵のことです。攻撃者であるクラッカー (Cracker)のことを指し、adversary'sと複数形で表現されることが多いです。

## ATT&CK® framework
### 概要
[MITER ATT＆CK ®(Adversarial Tactics, Techniques, and Common Knowledge)](https://attack.mitre.org/)は実世界の観察に基づいて整理された、敵の戦術と技術に関わるグローバルアクセス可能なナレッジベースです。

セキュリティフレームワークとして表現され、ATT&CKをベースにしてセキュリティモデルを構築することができます。

元々、ATT＆CKはFMX（ Fort Meade Experiment ）として知られる内部プロジェクトから始まりました。[Getting Started](https://attack.mitre.org/resources/getting-started/)から、ATT＆CKとは何か？何故作成されたのか？その理由などを知ることができます。また、[MITRE ATT&CK™ : DESIGN AND PHILOSOPHY](https://www.mitre.org/publications/technical-papers/mitre-attack-design-and-philosophy)を読むことで、設計哲学を理解できます。

[ATT&CK 101 Blog Post](https://medium.com/mitre-attack/att-ck-101-17074d3bc62)　より、ATT＆CKが作成された理由として、4つの課題に対処するためのフレームワークが必要であると判断されたと書かれています。

- 敵対者の行動。
- 適合しなかったライフサイクルモデル。
- 実際の環境への適用性。
- 一般的な分類法。

要約すると、敵のライフサイクルにおける行動パターンと、サイバーキルチェーン[^1]の概念を突合させた際に、**サイバーキルチェーンは構造的に抽象度が高く、TTPを充分に補完できなかった**のが課題だったとのことです。

[^1]: アメリカのロッキードマーティン社が唱えた、軍事用語で使われていた[キルチェーン（英語：Kill Chain）](https://ja.wikipedia.org/wiki/%E3%82%AD%E3%83%AB%E3%83%81%E3%82%A7%E3%83%BC%E3%83%B3)の造語

### MATRICES
ATT&CKはEnterprise、Mobile、ICSを包含しています。また、戦術とテクニックはMATRICESとして構造化されています。

[Enterprise Matrix](https://attack.mitre.org/matrices/enterprise/)を例にすると、Matrixの上部には14のカテゴリがあり、各カテゴリには敵が戦術を実行するために使用できる手法が含まれています。また、カテゴリは7段階のサイバー攻撃ライフサイクル（サイバーキルチェーン）をカバーしています。

上記、[Enterprise Matrix](https://attack.mitre.org/matrices/enterprise/)で公開されている情報は、ツールとして[MITRE ATT&CK® Navigator](https://mitre-attack.github.io/attack-navigator//#layerURL=https%3A%2F%2Fattack.mitre.org%2Fgroups%2FG0008%2FG0008-enterprise-layer.json)が提供されています。

![スクリーンショット 2022-01-16 21.04.33.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/221759/1d552d03-cc4c-c45b-8f9d-8f6f91f3c0c4.png)

:::note
ATT＆CKマトリックスを活用することで、脅威を持つAPTグループと戦術・手法をマッピングしたり、WindowsやLinuxなどプラットフォームに対してマッピングすることができます。
:::

ATT＆CKの導入に関して、具体的な考え方を知りたい場合、[Getting Started with ATT&CK: Threat Intelligence](https://medium.com/mitre-attack/getting-started-with-attack-cti-4eb205be4b2f)の記事が参考になります。記事の中でレベル分けされているので、組織の成熟度に応じて適用することができます。

### Adversary Emulation Plans
[Adversary Emulation Plans](https://attack.mitre.org/resources/adversary-emulation-plans/)は攻撃と、防御に関してATT＆CKの実用的な使用法を表現するためのドキュメントです。

３つのフェーズから構成されていて、GitHubでライブラリも公開されいてます。

- [Adversary Emulation Library](https://github.com/center-for-threat-informed-defense/adversary_emulation_library)

### Threat matrix for Kubernetes
Microsoftより、MITRE ATT&CK フレームワークをベースとした、Kubernetesの脅威Matrixとして[Threat matrix for Kubernetes](https://www.microsoft.com/security/blog/2020/04/02/attack-matrix-kubernetes/)が公開されています。

このKubernetesの脅威Matrixは、コンテナオーケストレーションのセキュリティに関連する主要な手法を含むATT＆CKのようなMatrixとなっているため、Kubernetesに対する攻撃手法の分析ができます。

現在の最新版は[Secure containerized environments with updated threat matrix for Kubernetes](https://www.microsoft.com/security/blog/2021/03/23/secure-containerized-environments-with-updated-threat-matrix-for-kubernetes/)になります。最新版より、いくつかのTechniqueは廃止になったり、新しいTechniqueが追加されています。

現在は10の戦術が含まれています。それぞれに、攻撃者がさまざまな目標を達成するために使用できるいくつかの手法が含まれています。

### Adversary Playbooks
ネットワークセキュリティ商品として次世代ファイアウォールなどを販売する[Palo Alto Networks社](https://www.paloaltonetworks.com/)では、[Unit42](https://unit42.paloaltonetworks.jp/about-unit-42/)というグローバルに活動する脅威インテリジェンスチームが存在します。

Unit42はMITRE ATT&CK フレームワークを活用した[Adversary Playbooks](https://pan-unit42.github.io/playbook_viewer/)を公開しています。

このツールは攻撃者グループのインテリジェンスが時間軸で整理されているため、時間の経過とともにどのように行動を変えたかを比較できます。

## CAR Knowledge Base
[MITRE Cyber Analytics Repository (CAR)](https://car.mitre.org/) は、敵対モデルに基づいてMITREによって開発された分析のナレッジベースです。

ATT＆CKとCARは、それぞれ別々のプロジェクトとなり、[MITRE Cyber Analytics Repository](https://car.mitre.org/analytics/)から、全ての分析を確認できます。

# おわりに
よくセキュリティはイタチごっこと言われますが、ATT&CKを知ることで、攻撃を基に防御を最大化する考え方が理解できた気がしました。また、脆弱性に対して**攻撃者（アタッカー、クラッカー）の視点で考える**ことの重要性がよく分かります。