MITRE ATT&CK
MITRE ATT&CK（マイター アタック、Adversarial Tactics, Techniques, and Common Knowledge）は、米国の非営利組織 MITRE が公開している、**実際に観測された攻撃者の行動**の知識ベースです。攻撃を「何のために（戦術）」「どうやって（技術）」の2段で整理していて、防御側が「自分たちはどの行動を見つけられて、どれを見逃すか」を点検する共通の言葉になっています。
- 現行版：v20（2026年10月13日公開）。直前の v19 は2026年4月28日公開
- 対象ごとに3つの体系（マトリクス）がある：Enterprise（PC・サーバ・クラウドなど）、Mobile、ICS（産業制御システム）。戦術の数は Enterprise 15、Mobile 12、ICS 12
用語
| 用語 |
意味 |
例 |
| 戦術（Tactic） |
攻撃者がその段階で達成したい目的。「なぜ」 |
初期アクセス（侵入したい） |
| 技術（Technique） |
目的を達成する手段。「どうやって」 |
T1566 フィッシング |
| サブ技術（Sub-technique） |
技術をさらに細かく分けたもの |
T1566.001 添付ファイルによるスピアフィッシング |
| 手順（Procedure） |
特定の攻撃者・マルウェアが実際に使ったやり方の記録 |
あるグループが偽のソフト更新の広告でマルウェアを配った、など |
Enterprise の戦術（15個、v20）
| ID |
戦術 |
攻撃者の目的 |
| TA0043 |
Reconnaissance（偵察） |
次の作戦に使える情報を集める |
| TA0042 |
Resource Development（リソース開発） |
作戦を支えるインフラやアカウントを用意する |
| TA0001 |
Initial Access（初期アクセス） |
ネットワークに入り込む |
| TA0002 |
Execution（実行） |
悪意のあるコードや命令を動かす |
| TA0003 |
Persistence（永続化） |
足場を保つ |
| TA0004 |
Privilege Escalation（権限昇格） |
より高い権限を得る |
| TA0005 |
Stealth（隠蔽） |
痕跡を隠し、正常な動作に見せかける |
| TA0112 |
Defense Impairment（防御の妨害） |
セキュリティの仕組みやツールを壊し、防御側が状況を把握・信頼できないようにする |
| TA0006 |
Credential Access（認証情報へのアクセス） |
アカウント名やパスワードを盗む |
| TA0007 |
Discovery（探索） |
環境の構成を把握する |
| TA0008 |
Lateral Movement（横展開） |
環境の中を移動する |
| TA0009 |
Collection（収集） |
目的のデータを集める |
| TA0011 |
Command and Control（C2） |
侵害したシステムと通信して操る |
| TA0010 |
Exfiltration（持ち出し） |
データを盗み出す |
| TA0040 |
Impact（影響） |
システムやデータを操作・妨害・破壊する |
2026年4月28日公開の v19 で、それまでの ''Defense Evasion（
防御回避）'' が
Stealth と ''Defense Impairment'' の2つに分かれました（
防御回避 のページは分割前の意味で書かれています）。
技術の例
| ID |
技術 |
戦術 |
このwikiのページ |
| T1566 |
Phishing |
初期アクセス |
フィッシング |
| T1566.001 |
Spearphishing Attachment |
初期アクセス |
スピアフィッシングアタッチメント |
| T1566.002 |
Spearphishing Link |
初期アクセス |
スピアフィッシングリンク |
| T1189 |
Drive-by Compromise |
初期アクセス |
ドライブバイダウンロード |
| T1190 |
Exploit Public-Facing Application |
初期アクセス |
脆弱性の悪用 |
| T1059 |
Command and Scripting Interpreter |
実行 |
実行 |
| T1027 |
Obfuscated Files or Information |
隠蔽 |
コード難読化 |
| T1070 |
Indicator Removal |
隠蔽 |
― |
| T1218 |
System Binary Proxy Execution |
隠蔽 |
― |
| T1685 |
Disable or Modify Tools |
防御の妨害 |
― |
防御側の使い方
- 緩和策を引く：技術ごとに緩和策（Mitigation、M で始まる ID）が載っている。例として T1027（難読化）には、M1049 アンチウイルス・アンチマルウェア、M1040 エンドポイントでの振る舞いの防止などが挙がっている
- 検知の考え方を引く：技術ごとに検知の戦略（Detection Strategy、DET で始まる ID）が載っている。例として T1027 には、難読化されたファイルの作成と、不審なスクリプトの実行を結びつけて見る、といった分析が挙がっている
- 見えないものを知る：偵察やリソース開発は組織の外で行われるので、ほとんど検知できない。たとえばマルバタイジング（T1583.008）について ATT&CK は、検知の重点を、ドライブバイ侵害（初期アクセス）やクライアント側の実行の悪用といった後の段階に置くことができる、としている（マルバタイジング）
- 穴を見つける：自分たちの検知ルールが、どの戦術・技術を拾えるかを表にすると、見逃している領域が見える
- 相手を知る：攻撃者グループ（G で始まる ID）ごとに、使った技術がまとめられている。自社の業界を狙うグループの技術から優先して備える
- 言葉をそろえる：インシデントの報告や脅威情報の共有で技術の ID を使うと、組織をまたいで同じものを指せる
関連するページ
出典
確認日：2026年10月14日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（
Terms of Use）
最終更新：2026年10月17日 08:02
