第5章 · インシデント対応·v1.0.0·更新 2026/7/17·読了目安 約15分
変更要約: 初版
5.2デジタルフォレンジックと攻撃の帰属
この節の要点
攻撃を時系列の段階で捉えるCyber Kill Chain、攻撃者の手口をカタログ化したMITRE ATT&CK、事象を4要素で整理するDiamond Modelという帰属の枠組み、攻撃者の戦術・技術・手順を指すTTP、証拠源としてのアーティファクト、そして証拠の真正性を守る証拠保全とchain of custodyを、入門レベルで学びます。
事件が起きたあと、「誰が・どうやって・どこまで」を明らかにするのがデジタルフォレンジックと攻撃の帰属です。ここでは、攻撃を段階で捉えるCyber Kill Chain、手口をカタログ化したMITRE ATT&CK、事象を4要素で描くDiamond Modelという3つの見方と、攻撃者のやり口を指すTTP、証拠源となるアーティファクト、そして証拠が法廷でも通用するよう真正性を守る証拠保全とchain of custodyを、入門レベルで学びます。CCSTでは深い解析よりも、これらの枠組みが「何を整理するためのものか」を識別できることを目指します。
5.2.1攻撃を整理する3つの枠組みとTTP
- Cyber Kill Chain（Lockheed Martin）＝攻撃を時系列の段階で捉える7段階モデル：偵察→武器化→デリバリ→エクスプロイト→インストール→C2（遠隔操作）→目的の実行。「攻撃が今どの段階か」を共通言語で語り、早い段階で断ち切る発想に使う。
- MITRE ATT&CK＝実際に観測された攻撃者の手口（戦術と技術）をマトリクスにカタログ化した知識ベース。Kill Chainが「時系列の流れ」なのに対し、ATT&CKは各フェーズで使われる具体的な手口の辞書。「この痕跡はどの技術に当たるか」を照合するのに使う。
- Diamond Model＝一つの侵入事象を4つの頂点＝敵（Adversary）／能力（Capability）／インフラ（Infrastructure）／被害者（Victim）で整理する分析モデル。TTP＝攻撃者の戦術（Tactics）・技術（Techniques）・手順（Procedures）の総称で、帰属（誰の仕業か）の手がかりになる「やり口の特徴」。