変更要約: 初版
5.2デジタルフォレンジックと攻撃の帰属
攻撃を時系列の段階で捉えるCyber Kill Chain、攻撃者の手口をカタログ化したMITRE ATT&CK、事象を4要素で整理するDiamond Modelという帰属の枠組み、攻撃者の戦術・技術・手順を指すTTP、証拠源としてのアーティファクト、そして証拠の真正性を守る証拠保全とchain of custodyを、入門レベルで学びます。
事件が起きたあと、「誰が・どうやって・どこまで」を明らかにするのがデジタルフォレンジックと攻撃の帰属です。ここでは、攻撃を段階で捉えるCyber Kill Chain、手口をカタログ化したMITRE ATT&CK、事象を4要素で描くDiamond Modelという3つの見方と、攻撃者のやり口を指すTTP、証拠源となるアーティファクト、そして証拠が法廷でも通用するよう真正性を守る証拠保全とchain of custodyを、入門レベルで学びます。CCSTでは深い解析よりも、これらの枠組みが「何を整理するためのものか」を識別できることを目指します。
5.2.1攻撃を整理する3つの枠組みとTTP
- Cyber Kill Chain（Lockheed Martin）＝攻撃を時系列の段階で捉える7段階モデル：偵察→武器化→デリバリ→エクスプロイト→インストール→C2（遠隔操作）→目的の実行。「攻撃が今どの段階か」を共通言語で語り、早い段階で断ち切る発想に使う。
- MITRE ATT&CK＝実際に観測された攻撃者の手口（戦術と技術）をマトリクスにカタログ化した知識ベース。Kill Chainが「時系列の流れ」なのに対し、ATT&CKは各フェーズで使われる具体的な手口の辞書。「この痕跡はどの技術に当たるか」を照合するのに使う。
- Diamond Model＝一つの侵入事象を4つの頂点＝敵（Adversary）／能力（Capability）／インフラ（Infrastructure）／被害者（Victim）で整理する分析モデル。TTP＝攻撃者の戦術（Tactics）・技術（Techniques）・手順（Procedures）の総称で、帰属（誰の仕業か）の手がかりになる「やり口の特徴」。
5.2.2証拠源（アーティファクト）と証拠の取り扱い
- アーティファクト＝調査の証拠源となる痕跡。ログ、メモリダンプ、ディスクイメージ、レジストリ、実行ファイル、通信キャプチャなど。フォレンジックはこれらを集めて「何が起きたか」を再構成する。入門ではどこに証拠が残るかを識別できれば十分。
- 証拠保全＝証拠が改ざん・破壊されないよう元の状態を保ったまま取得・保存すること。原本を直接いじらず複製（イメージ）を取り、ハッシュ値で同一性を担保するのが基本。順序も重要で、揮発性の高いもの（メモリ等）から先に確保する考え方がある。
- chain of custody（証拠の連鎖保全）＝証拠を「誰が・いつ・どこで・どう扱ったか」を切れ目なく記録した管理の鎖。これが途切れると、証拠が途中ですり替えられていないと証明できず法的な証拠能力が失われかねない。技術より手続きの厳格さが問われる部分。
「Kill Chain＝攻撃の時系列7段階／ATT&CK＝手口（戦術・技術）のマトリクス辞書／Diamond Model＝敵・能力・インフラ・被害者の4要素」「TTP＝戦術/技術/手順」「chain of custody＝証拠の取り扱いを切れ目なく記録し証拠能力を守る」が頻出です。Kill ChainとATT&CKの「流れ」対「手口辞書」の違いを取り違えないことが要点です。
ある侵入インシデントの初期調査を任されたとします。感染が疑われる端末が目の前にあり、「まず何をすべきか」を判断しなければなりません。ここで焦って端末を再起動したり、感染ファイルを直接開いて中身を確認したりするのは、入門者がやりがちな誤りです。再起動すればメモリ上のアーティファクト（実行中プロセスやネットワーク接続の情報）は消え、原本を直接いじれば証拠の状態が変わってしまうからです。正しい入口は証拠保全——原本には極力触れず、ディスクの複製（イメージ）を取り、ハッシュ値で同一性を記録し、揮発性の高いメモリなどから優先して確保します。そして、誰がいつどの証拠をどう扱ったかを一件ずつ記録に残すchain of custodyを最初から回します。これを怠ると、後で「その証拠は途中で改ざんされたのでは」と問われたときに反証できず、せっかくの証拠が使えなくなります。証拠がそろってきたら、次は整理と帰属です。時系列で「攻撃が偵察からC2、目的実行のどこまで進んだか」を見るにはCyber Kill Chainが、観測された個々の痕跡が「どの手口（技術）に当たるか」を照合するにはMITRE ATT&CKが役立ちます。さらに「敵・能力・インフラ・被害者」の4要素で事象を俯瞰するのがDiamond Modelで、これらのTTP（やり口の特徴）が過去の攻撃と一致すれば、帰属の手がかりになります。ここでの学びは、フォレンジックは「解析の技術」の前にまず「証拠を壊さない手続き」があり、枠組みは集めた証拠を整理・帰属するための道具だ、という順序感覚です。
| 枠組み | 捉え方 | 主な用途 |
|---|---|---|
| Cyber Kill Chain | 攻撃を時系列の7段階で捉える | 攻撃が今どの段階か・どこで断ち切るか |
| MITRE ATT&CK | 手口（戦術・技術）をマトリクス辞書化 | 観測した痕跡がどの技術かを照合 |
| Diamond Model | 敵・能力・インフラ・被害者の4要素 | 一つの侵入事象を俯瞰し関連づける |
| chain of custody | 証拠の取り扱いを切れ目なく記録 | 証拠の真正性・証拠能力を守る |
ひっかけ： 「Cyber Kill ChainとMITRE ATT&CKは同じもので、どちらも攻撃の時系列を並べただけ」は誤りです——Cyber Kill Chainは攻撃の時系列の段階を表すモデル、MITRE ATT&CKは各フェーズの具体的な手口（戦術・技術）をカタログ化した辞書で、粒度も用途も異なります。また「感染端末はまず再起動して状態をリセットしてから調べる」も誤り＝再起動でメモリ上のアーティファクトが消え、証拠保全とchain of custodyが崩れます。
5.2.3この節のまとめ
- Cyber Kill Chainは攻撃の時系列7段階、MITRE ATT&CKは手口の辞書、Diamond Modelは敵/能力/インフラ/被害者の4要素。TTPは帰属の手がかり
- アーティファクト（ログ・メモリ・ディスク等）が証拠源。原本を壊さず複製とハッシュで証拠保全する
- chain of custodyは証拠の取り扱いを切れ目なく記録し、証拠能力を守る手続き。技術より手順の厳格さが要
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 「攻撃を偵察→武器化→デリバリ→エクスプロイト→インストール→C2→目的の実行という時系列の段階で捉え、どこで断ち切るかを考える」ためのモデルはどれか。
Q2. 感染が疑われる端末の初期対応として、収集した証拠が後で法的にも通用するために最も適切な行動はどれか。
Q3. MITRE ATT&CKとCyber Kill Chainの違いについての説明として最も正確なものはどれか。