MITRE ATT&CK チートシート
MITRE ATT&CKフレームワークのクイックリファレンス。初期アクセス、実行、永続化、権限昇格、防御回避、認証情報アクセス、探索、横展開、収集、持出しを網羅
50 件のコマンド
T1566 - フィッシングメール添付やリンクで悪意あるコンテンツを配信
検知: メールゲートウェイでSPF/DKIM/DMARC検証T1190 - 公開アプリの悪用公開されたWebアプリの脆弱性を悪用
検知: WAFルール + パッチ管理の徹底T1133 - 外部リモートサービスVPNやRDPなどの外部向けリモートサービスを悪用
対策: MFA必須 + VPNログ監視T1078 - 有効なアカウント正規の認証情報を使用して初期アクセスを取得
検知: 異常なログイン時間帯・場所をアラートT1195 - サプライチェーン攻撃ソフトウェアサプライチェーンを介して侵入
対策: SBOMの管理 + 依存関係の署名検証T1059 - コマンド/スクリプト実行PowerShell/Bash/Pythonなどでコマンドを実行
検知: Sysmon Event ID 1 でプロセス作成を監視T1059.001 - PowerShellPowerShellスクリプトやコマンドを悪用
対策: Constrained Language Mode + ScriptBlock LoggingT1047 - WMIWindows Management Instrumentationでリモート実行
検知: wmic process call create をログ監視T1053 - スケジュールタスクタスクスケジューラやcronでコード実行をスケジュール
検知: schtasks /create をSIEMで監視T1204 - ユーザー実行ユーザーに悪意あるファイルやリンクを実行させる
対策: セキュリティ意識向上トレーニングT1547 - ブート/ログオン自動起動レジストリやスタートアップフォルダで自動起動を設定
検知: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 監視T1053 - スケジュールタスク/cron永続化のためタスクスケジューラやcronジョブを作成
検知: crontab -l / schtasks /query で定期チェックT1136 - アカウント作成永続アクセスのため新規アカウントを作成
検知: net user /add のイベントログ監視T1543 - サービス作成/変更システムサービスを作成または変更して永続化
検知: sc create / systemctl enable の監視T1505.003 - WebシェルWebサーバーにバックドアシェルを設置
検知: Webルート内の新規/変更ファイルを監視T1548 - 権限制御メカニズムの悪用sudo/UAC等の権限制御メカニズムを回避
検知: sudo -l の実行 + UACバイパスパターン監視T1068 - 脆弱性の悪用カーネルやソフトウェアの脆弱性で権限昇格
対策: カーネルとソフトウェアを最新に保つT1055 - プロセスインジェクション正規プロセスにコードを注入して権限を取得
検知: Sysmon Event ID 8 (CreateRemoteThread) 監視T1574 - DLLハイジャックDLL検索順序を悪用して悪意あるDLLを読み込ませる
検知: 不正なDLLパスからのロードをプロセスモニターで監視T1134 - アクセストークン操作Windowsアクセストークンを操作して権限を取得
検知: Token impersonation APIコールの監視T1070 - ホスト上の痕跡削除ログやファイルを削除して活動の痕跡を消去
検知: イベントログ消去イベント (Event ID 1102) 監視T1027 - 難読化されたファイル/情報マルウェアや通信を難読化して検出を回避
検知: エントロピー分析 + サンドボックス実行T1562 - 防御機能の無効化ウイルス対策やファイアウォールを無効化
検知: Windows Defender無効化イベントを監視T1036 - マスカレード正規のファイルやサービスに偽装
検知: 署名検証 + ファイルハッシュのホワイトリストT1218 - LOLBins実行Living Off the Land Binaries (正規ツール)を悪用
検知: mshta, certutil, rundll32 の不審な使用を監視T1003 - OS資格情報ダンプSAM/LSASS/etc.から認証情報をダンプ
検知: LSASS.exeへのアクセスを監視 (Sysmon Event ID 10)T1110 - ブルートフォースパスワードの総当たり攻撃を実行
対策: アカウントロックアウト + レート制限T1555 - パスワードストアからの取得ブラウザやキーチェーンからパスワードを取得
検知: ブラウザのCredentialファイルへのアクセス監視T1558 - KerberoastingKerberosチケットをオフラインで解析して認証情報を取得
検知: TGSリクエストの異常な増加を監視T1557 - 中間者攻撃ネットワーク通信を傍受して認証情報を取得
対策: ネットワーク暗号化 (TLS) + 証明書ピンニングT1082 - システム情報の探索OS、ハードウェア、パッチ情報を収集
検知: systeminfo / uname -a の実行を監視T1083 - ファイル/ディレクトリの探索重要なファイルやディレクトリを列挙
検知: dir /s / find / ls -la の大量実行を監視T1046 - ネットワークサービスの探索ネットワーク上のサービスをスキャン
検知: 内部ネットワークのポートスキャンをIDS/IPSで検出T1087 - アカウントの探索ローカル/ドメインアカウントの一覧を取得
検知: net user / net group の実行を監視T1016 - ネットワーク設定の探索ネットワークインターフェースやルーティング情報を収集
検知: ipconfig / ifconfig / route の実行を監視T1021.001 - RDPリモートデスクトッププロトコルで水平移動
検知: RDP接続ログ (Event ID 4624, Logon Type 10) 監視T1021.002 - SMB/Windows共有SMBファイル共有を利用して水平移動
検知: SMBログオンイベント + 異常な共有アクセス監視T1021.004 - SSHSSH接続で水平移動
検知: SSH認証ログ + 鍵ベース認証の強制T1570 - ツールの転送攻撃ツールを水平移動先に転送
検知: 内部ファイル転送の異常パターンを監視T1550 - 代替認証の使用Pass-the-Hash/Ticketで認証情報なしに移動
対策: Credential Guard有効化 + NTLM制限T1005 - ローカルシステムのデータローカルファイルシステムから機密データを収集
検知: 大量ファイル読み取りのパターンを監視T1114 - メール収集メールボックスからデータを収集
検知: Exchange/M365のメールアクセスログ監視T1056 - キーロギングキーストロークを記録して機密情報を取得
検知: SetWindowsHookEx APIコールの監視T1113 - スクリーンキャプチャ画面のスクリーンショットを撮影して情報を収集
検知: BitBlt API / スクリーンキャプチャツールの監視T1560 - データの圧縮・暗号化持ち出し前にデータを圧縮・暗号化
検知: 7z / rar / tar の不審な実行を監視T1041 - C2チャネル経由の持ち出し既存のC2チャネル経由でデータを持ち出し
検知: C2通信の帯域異常をネットワーク監視T1048 - 代替プロトコルでの持ち出しDNS/ICMP等の代替プロトコルでデータを持ち出し
検知: DNSトンネリングパターンの検出T1567 - Webサービス経由の持ち出しクラウドストレージや正規Webサービスにデータを送信
検知: 大量アップロードをプロキシログで監視T1029 - スケジュールされた転送スケジュールに従ってデータを定期的に持ち出し
検知: 定期的な大量アウトバウンド通信パターンを検出T1537 - クラウドアカウントへの転送攻撃者管理のクラウドアカウントにデータを転送
検知: 新規外部クラウドサービスへの通信を監視