MITRE D3FEND（マイター・ディフェンド）とは、米国の非営利団体The MITRE Corporationが公開している、サイバー防御技術を体系化したナレッジグラフです。
「ナレッジグラフ（Knowledge Graph）」とは、簡単に言うと「“関係性”を重視したナレッジベース、知識のつながり」で、MITRE D3FENDの基本思想の一つです。
攻撃テクニックを整理した「MITRE ATT&CK」の防御版に位置づけられ、2021年のプレリリースを経て2025年1月に正式版が公開されました。防御を「モデル化・堅牢化・検知・分離・欺瞞・排除・復元」の7つの戦術に整理している点が特徴です。

1. はじめに：なぜ防御の体系化が必要か

近年、日本の多くの企業ではEDRやSIEM、IAM、ASMなど、多種多様なセキュリティ製品を導入しています。しかし、その結果として「自社はどの脅威に対して、どの技術的対策を実施できているか、どこが不足しているのか」を体系的に説明することが難しくなっています。
また、セキュリティ対策は単体製品の導入から、ゼロトラストや侵害を前提とした防御設計へと重心が移りつつあります。しかし、この変化の中で、MITRE ATT&CKは攻撃者の行動を理解する上で非常に有効ですが、「自社はどのような防御能力を備えるべきか」を整理するには別の視点が必要です。そこで注目されるのが、防御技術を体系化したMITRE D3FENDです。MITRE D3FENDはセキュリティ製品やセキュリティサービスを起点に考えるのではなく、「どの対象を、どのような技術によって保護・監視・分離・復元するのか」という観点で防御を整理できます。
本コラムでは、MITRE D3FENDを、複雑化したセキュリティ対策を整理し、攻撃手法と防御技術を結び付けながら実装レベルに具体化するための考え方として解説します。

2. MITRE D3FENDとは何か？

1）MITRE D3FENDの基本と7つの戦術

MITRE D3FENDの「D3FEND」は「Detection, Denial, and Disruption Framework Empowering Network Defense」の略とされています（直訳では「ネットワーク防御強化のための検知、拒否、および妨害フレームワーク」）。MITRE D3FENDの基本構造は7つの戦術（Tactics）およびその下位に属する防御テクニックです。

図1：MITRE D3FENDの戦術

MITRE D3FENDの各戦術の定義は表1の通りです。

2）MITRE ATT&CKとD3FENDの違いは何か？

MITRE D3FENDとMITRE ATT&CKは、2つの点で関連づけられています。
一つ目は「攻撃テクニックと防御テクニックの対応」です（一部、未対応あり）。MITRE D3FENDのリソースページには、ATT&CK mitigationsとD3FEND techniquesの対応付けが収録されており、両者の補完関係が示されています。
二つ目はMITRE ATT&CKの攻撃テクニックおよびMITRE D3FENDの防御テクニックの両方が作用する対象である「アーティファクト」です。これらの詳細は第2回で解説します。
以下の表2はMITRE ATT&CKとMITRE D3FENDの違いをナレッジの性質の軸で整理したものです（本コラムはMITRE D3FEND Version 1.5.0時点）。「攻めの視点」と「守りの視点」の対になっていることが分かります。

表2：MITRE ATT&CKとMITRE D3FENDの比較

3）NIST CSFとD3FENDの違いは何か？

国際的にも知名度が高いサイバーセキュリティのフレームワーク NIST CSFは、セキュリティを大きくGovern（ガバナンス）、Identify（特定）、Protect（防御）、Detect（検知）、Respond（対応）、Recover（復旧）6つの機能に分けてリスク管理上の成果を整理する上位フレームワークです。技術的対策だけでなく、ガバナンスや管理、リスク評価も含めた広範な領域をカバーしています。これに対して、MITRE D3FENDはサイバーセキュリティ対策技術に関するナレッジで、技術的対策が主体です。そのため、管理的対策、物理的対策は一部を除いて対象外となっています。
以下の表はNIST CSFとMITRE D3FENDの違いを防御アプローチの軸で整理したものです。そもそもレイヤが異なる両者は、互いに欠かせない補完関係にあると言えるでしょう。

表3：NIST CSFとMITRE D3FENDの比較

なお、MITRE D3FENDの戦術はNIST CSFの機能と大枠で対応しており、サイバー防衛には防御だけでなく、その後の検知～復旧までが含まれることを技術レベルでも示しています。これは侵入を前提とする近年のランサムウェア対策の設計思想とも合致します。
図2はMITRE D3FENDの戦術をNIST CSFの機能の軸で整理したものです。

図2：NIST CSFベースのMITRE D3FENDの対応イメージ

3. MITRE D3FENDの7つの戦術に対応するセキュリティ製品は？

これらの戦術に該当するセキュリティ製品にはどのようなものがあるのでしょうか？MITRE D3FENDはあくまで防御に必要な技術を示すことが目的であり、それを実現する実装方法は組織やベンダーが選択するもの、という前提に立っているため、対応するセキュリティ製品は示していません。そのため、防御技術に対応する製品はこれ、と一対一で断定するのは適切ではありません。実務では、一つの製品が複数の戦術にまたがることも珍しくありません。たとえばEDRはDetectだけでなくEvictにも関与し、IAMはHarden・Isolate・Evict・Restoreの複数局面に関係します。
その前提で、セキュリティ製品検討における代表的な対応関係は次のように整理します（MITRE D3FENDは対応製品を規定していないため、本稿で独自に対応関係を整理しました）。

3.1 Model（モデル化）の製品カテゴリ

Modelは、資産や構成、依存関係、活動を把握するための戦術です。技術だけでなく人手を介する部分が多いですが、一部はセキュリティ製品を活用できます。セキュリティサービスの観点では、脆弱性診断サービスやペネトレーションテストなどが該当します。

3.2 Harden（堅牢化）の製品カテゴリ

Hardenは、システムを侵害されにくくするための戦術です。予防策となるセキュリティ製品の多くはこの中に位置づけられます。セキュリティサービスの観点では、セキュリティ診断サービスなどが該当します。

3.3 Detect（検知）の製品カテゴリ

Detectは、侵害や異常の早期発見を担う戦術です。セキュリティ製品の中でも検知がメインの製品はここに位置づけられます。SIEM（Security Information and Event Management）も関係します。セキュリティサービスの観点では、SOC監視サービス／MDRや脅威インテリジェンスサービスなどが該当します。

3.4 Isolate（分離）の製品カテゴリ

Isolateは、侵害の横展開や無用な到達性を制限する戦術です。既に初期侵入が行われており、その後の侵入拡大を止めるための製品がここに位置づけられます。

3.5 Deceive（欺瞞）の製品カテゴリ

Deceiveは、おとり環境やおとり情報を用いて攻撃者を誘導・観測する戦術です。ハニーポットやおとりファイル（デコイファイル）など日本では一部の高度なSOCや研究用途で限定的に導入されている防御策です。日本企業では専用製品の導入は限定的ですが、近年はEDRやXDRの付加機能として利用が広がりつつあります。

3.6 Evict（排除）の製品カテゴリ

Evictは、侵害後に悪性要素や不正アクセス手段を除去する戦術です。既に侵入されたシステムから攻撃者の次のアクセスをさせないためのセキュリティ製品がここに位置づけられます。セキュリティサービスの観点では、インシデントレスポンス支援サービスなどが該当します。

3.7 Restore（復元）の製品カテゴリ

Restoreは、被害後に業務やシステムを正常状態へ戻す戦術です。被害を受けたシステムの状況を元に戻すためのセキュリティ製品がここに位置づけられます。セキュリティサービスの観点では、インシデントレスポンス支援サービスなどが該当します。

4. まとめ

MITRE D3FENDは、複雑化したセキュリティ対策を技術的観点で再構造化できることが大きな特徴の一つです。MITRE ATT&CKが「攻撃者は何をするか」を理解するための基盤だとすれば、MITRE D3FENDは「それに対して、こちらは何をどう備えるか」を技術要素で整理するための基盤だと言えます。

ただし、MITRE D3FENDを万能視するのは適切ではありません。MITRE D3FENDは主に技術的対策を扱うナレッジベースであり、ガバナンスやルール、優先順位付けまで含めるにはNIST CSFなどの上位かつ広範なフレームワークと組み合わせることが推奨されます。

次回は、MITRE D3FENDの特徴である「アーティファクト（Artifacts）」に焦点を当て、MITRE ATT&CKとMITRE D3FENDをどう組み合わせると技術的セキュリティ対策が具体化できるのかを解説します。

資料ダウンロード

MITRE D3FENDに関連するセキュリティ製品の例を以下の資料にて公開しています（一例を示した参考資料であることをご了承ください。本資料に関する質問は受け付けません）。
MITRE D3FENDに関連するソリューションの例（NTTデータ先端技術のセキュリティ）

参考文献