MITRE D3FENDの大きな特徴として、デジタルアーティファクト（Digital Artifact、以下、アーティファクト）があります。本コラム第2回ではアーティファクトを中心にMITRE ATT&CKとMITRE D3FENDを使ったセキュリティ対策の検討方法を見ていきます。

1. はじめに：なぜ攻撃と防御だけでは不十分なのか

第1回ではMITRE D3FEND（マイター・ディフェンド）の7つの戦術を中心に見ていきました。しかし、実務上セキュリティ対策を具体化するには、MITRE ATT&CKの攻撃テクニックやMITRE D3FENDの防御テクニックだけでは、守るべき対象が曖昧なままになりがちです。特に、MITRE ATT&CKでは対策が攻撃テクニックごとに分散しやすいです。ここでカギになるのが、MITRE D3FENDに収録されているアーティファクトです。

2. アーティファクトとは何か

1）攻撃と防御をつなぐ接点「アーティファクト」

「アーティファクト（Artifact）」とは、簡単にいうと「攻撃と防御の双方が作用する対象物」です。攻撃者が作用する対象であると同時に、防御側が監視・保護する対象となるシステム内の観測可能な要素です。アーティファクトは、MITRE ATT&CKの攻撃テクニックおよびMITRE D3FENDの防御テクニックが関連づけられた、いわば「攻撃と防御をつなぐ接点」です。

例えば、「電子メール（Email）」というアーティファクトを見てみましょう。電子メールは、「ファイル（Files）」の下位に位置づけられているアーティファクトです。攻撃側の視点では、いわゆるフィッシングメール／標的型メール攻撃を行うために電子メールを作成、送信します。逆に防御側の視点では、受信した電子メールが不審かどうかを判断するために電子メールを分析・検知し、防御に使用します。このように、電子メールが攻撃と防御の接点となっており、「攻撃が作用する対象は何か？」を明確にして防御に役立てるのがMITRE D3FENDの設計思想です。

図1：アーティファクト「電子メール」の攻撃テクニックと防御テクニック

注意点としては、アーティファクトに直接関連付けられた対策でなくては実効性が不十分というわけではありません。セキュリティ対策案の選択肢に含めることが重要で、システムや組織の事情によっては別の策を採用するケースもあり得ます。

このようなアーティファクトは、最上位が「High-Level Artifacts」、「Files」、「Network Traffic」、「Software」の4分類の階層構造になっており、MITRE D3FENDには全922件が収録されています（Version 1.5.0）。

2）EDR無効化のアーティファクトは「OS上で動くプロセス」

多くのランサムウェア攻撃グループが多く用いるテクニックとして、「T1562.001.Disable or Modify Tools」（ツールの無効化／改変：MITRE ATT&CK v19.2ではT1685）があります。これはEDRなどのセキュリティツールの機能を停止・改変することで無効化してしまう巧妙な攻撃テクニックです。

Disable or Modify Toolsは、EDRなどのセキュリティツールを主な標的としていますが、その実現手段としてOSのプロセスやサービス（例えば、EDRエージェントのプロセス）の停止・改ざんを狙います。Disable or Modify Toolsの具体的な実行方法には、プロセス停止、サービス設定変更、ログ設定変更、監視エージェントやセンサーの妨害などありますが、本コラムでは一例として、EDRエージェントなどに関係する「Operating System Process」（OS上で実行されるプロセス）を取り上げます。Operating System Processは、「高レベルアーティファクト（High-Level Artifacts）」の下位に位置づけられているアーティファクトです。

このアーティファクトに対し、MITRE D3FENDの防御策で例えば「D3-SDM. System Daemon Monitoring」（システムサービスの監視）が挙げられます。これはOS上で動作するシステムサービスやプロセスの状態変化や設定変更（レジストリ変更やサービス構成の変更など）を監視することで、不審な挙動やセキュリティツールの無効化を検知する防御テクニックです。この防御テクニックを使うことで、例えばEDRエージェントなどのセキュリティ関連のプロセスやサービスがOS上で無効化・改変される挙動や、起動設定が変更されるような挙動を検知することが可能です。

図2：アーティファクト「OS上で実行されるプロセス」の攻撃テクニックと防御テクニック

このように、アーティファクトとは、単なる攻撃の痕跡ではなく、攻撃者が操作する「対象」であり、同時に防御側が監視・検知の対象とするべき「要素」となります。MITRE D3FENDの防御テクニックは個々の実装方法までは詳細に規定していないものの、どのアーティファクトに対してどのような防御が有効かという対応関係を示すことで、実装に落とし込むための指針を提供している点が特徴的です。

3. セキュリティ対策比較　MITRE D3FEND vs MITRE ATT&CK

1）攻撃テクニック「Disable or Modify Tools」への対策

ここでは、MITRE D3FENDおよびMITRE ATT&CKそれぞれに収録されているセキュリティ対策を比較してみます。単純比較では少し分かりづらいので、本コラムでは独自にNIST CSF（NISTサイバーセキュリティフレームワーク）の6つの機能を基準として、攻撃テクニックに対するセキュリティ対策を関連付けてみます。なお、本比較でNIST CSFの各機能にMITRE D3FENDの戦術を割り当てるにあたっては、第1回で示したMITRE D3FENDの7戦術とNIST CSFの6機能の対応関係を基準としています。

例として前述の攻撃テクニック「Disable or Modify Tools」（MITRE ATT&CK v19.2ではT1685（MITRE D3FEND v1.5.0では旧IDのT1562.001））を用います。Disable or Modify Toolsとは、前述のとおりEDRなどのセキュリティツールを無効化／改変することで検知や防御を無効化することです。主なアーティファクトは「Operating System Process（OS上で実行されるプロセス）」です。結果は表1の通りです。

注記：MITRE ATT&CKの対策はv19.2のT1685、MITRE D3FEND対策はv1.5.0（旧ID T1562.001）に基づく。

MITRE ATT&CKでは攻撃の防止と検知を主体として「何を実施するか」が書かれています。ここでの「Audit」は、監査のためにログを取得することも含みます。MITRE D3FENDでは侵害後も含めて主に「どう実施するか」の技術的実装手法が書かれています。Disable or Modify Toolsに対する主な製品カテゴリの例としては、EDR（改ざん防止・自己保護機能を有効化したもの）、SIEM、PAMなどが挙げられます。

なお、MITRE ATT&CKの検知策「Detection of Defense Impairment through Disabled or Modified Tools across OS Platforms」には、Windows、Linux、macOS、IaaS、コンテナ、ネットワーク機器、ESXiそれぞれの場合のログソースが明示されています。収録されている実績情報はMITRE ATT&CKのほうが豊富です。

2）攻撃テクニック「Valid Accounts」への対策

もう一つ例を見てみましょう。多くのランサムウェア攻撃グループが最初の侵入に用いるテクニックとして「T1078. Valid Accounts（正規アカウントの悪用）」が挙げられます。「Valid Accounts」とは、何らかの手段で攻撃者が入手した正規アカウントを悪用することでシステムに侵入されてしまうことです。

Valid Accountsの主なアーティファクトは「ユーザーアカウント」です。ユーザーアカウントは、その下位にローカルユーザーアカウント、ドメインユーザーアカウント、デフォルトユーザーアカウント、クラウドユーザーアカウント、サービスアカウントなど、複数の種類のアカウントを含みます。そのため、対策の実装にあたっては、これらを含むあらゆる種類のアカウントを対象とする必要があります。

図3：アーティファクト「ユーザーアカウント」に含まれるアカウント

Valid Accountsに対するMITRE ATT&CK とMITRE D3FENDの対策を見てみましょう。すべてのユーザーアカウントに等しく対策を適用するのは難しいと思いますが、ユーザーアカウントの種類ごとに適用の是非を検討することは重要です。Valid Accountsに対する主な製品カテゴリ例としては、IAM、MFA、ITDR、PAMなどが挙げられます。

2つの対策比較から、MITRE ATT&CKとMITRE D3FENDの違いが読み取れます。MITRE ATT&CKではProtect（防御）とDetect（検知）に対策が集中し、Respond（対応）・Recover（復旧）にはほとんど記載がありません。これに対してMITRE D3FENDは、Evict（排除）やRestore（復元）に相当する防御テクニックも示しています。

4. MITRE D3FENDおよびMITRE ATT&CKの活用方法

ここまでの流れから、MITRE D3FENDとMITRE ATT&CKを組み合わせた技術的セキュリティ対策の検討方法は、「アーティファクト」を中心に以下の流れが推奨されます。

＜アーティファクトを中心とした技術的セキュリティ対策の検討プロセス＞

5. まとめ

MITRE D3FENDは、技術的セキュリティ対策のレビューやランサムウェア対策評価など、対策を棚卸しし、抜け漏れを確認するのに有効と考えられます。海外では防御テクニックを示す共通言語としてMITRE D3FENDを製品評価やギャップ分析に用いる事例が出始めており、防御テクニックを構造的に整理したナレッジと認知されつつあります。

一方で、MITRE D3FENDは実装手順や検知ロジック、製品選定を直接サポートするものではありません。また、対策の優先度までは示しません。導出した防御テクニックをそのまま対策案として採用するのではなく、脅威シナリオやシステム構成、既存の対策状況等を考慮して選別する必要があります。

実務で活用する際は、まず自組織が重視する攻撃テクニックを一つ選び、関連するアーティファクトや既存の対策を棚卸しするところから始めるのが現実的です。MITRE ATT&CKで攻撃を具体化し、MITRE D3FENDで防御の観点を構造化することが、現場で両者を活用するうえでの実践的な位置づけとなります。