TTP（戦術・技術・手順）とは？意味や活用方法、ATT&CKとの関係性などを具体例と併せて解説

脅威アクターの行動を説明する「TTP（戦術・技術・手順）」は、サイバーセキュリティ、特にサイバー脅威インテリジェンスにおいて重要な概念です。TTPを通じて攻撃者の行動目的や攻撃手法を理解することができ、将来想定される攻撃シナリオを検討したり、より適切な防御策を講じたりできるようになります。

本記事では、TTPの構成要素であるTactics／戦術（T）、Techniques／技術（T）、Procedurs／手順（P）の概要や具体例を紹介するとともに、TTPが重視される理由や活用方法、MITRE ATT&CKとの関係性、TTP情報の収集から活用までの流れなどについてわかりやすく解説します。

TTPとは？概要をわかりやすく

冒頭で触れたように、TTPとは脅威アクターの行動や攻撃パターンを理解・分析するための概念です。

ここでは、Tactics／戦術（T）、Techniques／技術（T）、Procedures／手順（P）のそれぞれについて、詳しい意味や違い、具体例を見ながら、TTPについての理解を深めていきましょう。

TTPの意味

TTP（※）とは、脅威アクターがサイバー攻撃を実行する際の目的・手法・実施手順を表す「Tactics（戦術）」「Techniques（技術）」「Procedures（手順）」の総称です。英語の「Tactics, Techniques and Procedures」の頭文字を取った略称で、日本語では「ティーティーピー」と呼ばれています。

     ※「TTPs」という表記が用いられることもあります。

TTPは、攻撃者がどのような目的を持ち、どのような方法で攻撃を実行するのかを理解するための重要な概念です。サイバー脅威インテリジェンスや脅威ハンティング、インシデント対応など、さまざまなセキュリティ活動で活用されています。

TTPを構成する3つの要素は以下の通りです。

• Tactics（戦術）：攻撃者（脅威アクター）が達成しようとする目的や目標
• Techniques（技術）：目的を達成するために使用する具体的な手法
• Procedures（手順）：技術を実際に実行するための詳細な方法

Tactics・Techniques・Proceduresの違いと具体例

TTPを理解するためには、それぞれの要素の正確な意味と違いを把握しておく必要があります。

ここでは例として、「脅威アクターが企業の認証情報を窃取してネットワークへ侵入しようとしている」というケースを考えてみましょう。

まず、脅威アクターがこの行為において達成しようとする目的が「Tactics（戦術）」です。例えば、「認証情報の取得」や「データ窃取」などが戦術に該当します。Tacticsは攻撃者の行動目的や攻撃の段階を表すものであり、「なぜ（Why）」その行動を行うのかを示します。

次に、その目的を達成するための具体的な方法が「Techniques（技術）」です。例えば認証情報を取得するために利用される「フィッシング」や「ブルートフォース攻撃」などがTechniquesに該当します。Techniquesは、「どのように（How）」目的を達成するかを表します。

そして、Techniquesを実際にどう実行するのかを示すのが「Procedures（手順）」です。例えばフィッシングの場合、「Microsoft 365のログイン画面を模倣した偽サイトを作成する」「経理部門の従業員を標的にメールを送信する」「窃取した認証情報を用いてVPNへログインする」といった、より具体的な実施内容が手順に該当します。「具体的に何を（What）」を表す要素と言えます。

＜図：TTPの各構成要素の意味と例＞

このように、Tacticsは攻撃者の目的を示すハイレベルな概念であり、Techniquesはその目的を達成するための方法、Proceduresはその方法を実際にどのように実行するかを示す具体的な内容です。

多数の脅威アクターが共通して使用するTTPもあれば、特定の脅威アクターや攻撃キャンペーンに特徴的なTTPも存在します。

TTPがサイバーセキュリティで重要な理由

では、なぜTTPはサイバーセキュリティやサイバー脅威インテリジェンスにおいて重要視されているのでしょうか？

TTPが重要視される主な理由としては、以下が挙げられます。

• 攻撃者の目的や行動パターンを理解するのに役立つから
• TTPが把握できれば、将来の攻撃を予測しやすくなるから
• TTPを分析することは、IoCだけでは検知しにくい脅威の発見につながるから

サイバー攻撃の検知というと、マルウェアやツール、ドメイン名、IPアドレスなどのIoC（Indicators of Compromise）が注目されがちです。しかし、こうしたツール類やインフラは攻撃者によって頻繁に変更される上、攻撃者の目的や行動パターンを直接的に理解するための情報ではありません。そのため、新たな攻撃キャンペーンの予測や攻撃者の継続的な追跡といった活動には限界があります。

一方でTTPは、IoCほど容易かつ頻繁に変更できるものではありません。また前述の通り、TTPを把握することで、攻撃者がどのような手法で侵入し、どのように権限を拡大し、最終的にどのような目的を達成しようとしているのかを理解できます。これにより、攻撃の兆候の早期発見や将来の攻撃の予測など、IoCだけでは把握しにくい領域を補完できるようになり、より効果的な検知・防御・対応の実現につながります。

TTPの具体的な活用方法については後述しますが、ここではまず、TTPとIoCの違いや、「ピラミッドオブペイン（Pyramid of Pain）」という概念モデルを通じて、TTPの重要性についてさらに詳しく見ていきましょう。

関連記事：プロアクティブなサイバーセキュリティとは？インテリジェンスを活用して攻撃に備えるアプローチを解説

TTPとIoCの違い

IoC（Indicators of Compromise）とは、サイバー攻撃による侵害の発生を示唆する痕跡情報のことです。例えば、マルウェアのファイルハッシュ値や攻撃で利用されたIPアドレス、ドメイン名などがIoCに該当します。

こうした情報は、自組織の環境内に侵害の痕跡が存在しないかを調査したり、セキュリティ製品へ取り込んで既知の脅威を検知したりするために活用されています。

IoCとTTPはどちらも脅威分析において重要な情報ですが、その性質や活用方法には違いがあります。

＜表：IoCとTTPの違い＞

IoCは特定の脅威の検知やブロックに役立ちますが、上記の表にある通り、攻撃者にとっては比較的変更が容易である点がネックです。例えば、攻撃者が利用していたドメインやIPアドレスを特定してブロックしたとしても、新しいドメインやサーバーへインフラが移行されれば、その対策は無効になってしまう可能性があります。

一方で、攻撃者が利用するTTPを理解していれば、たとえ使用するインフラやマルウェアが変更されたとしても、共通する行動パターンを手掛かりに攻撃を発見できる可能性があります。例えばランサムウェア攻撃では、攻撃者が利用するIPアドレスやドメインは頻繁に変更されますが、権限昇格や認証情報窃取、ラテラルムーブメントといったTTPには、一定の共通点が見られることがあります。

とは言えIoCが不要というわけではなく、実際の検知やブロックにおいてはIoCが重要な役割を果たします。しかし、より長期的かつ戦略的な防御を実現するためには、IoCだけでなくTTPも理解しておくことが不可欠です。

ピラミッドオブペイン

TTPの重要性やIoCとの違いをより深く理解するために役立つ概念として、「ピラミッドオブペイン（Pyramid of Pain）」というものがあります。

ピラミッドオブペインとは、情報セキュリティの専門家であるDavid J Bianco氏によって提唱された概念モデルです。攻撃者が利用するハッシュ値やIPアドレス、ドメイン名、ツール、TTPなどを階層構造で整理し、防御側がそれらを無効化した際に攻撃者が受ける「痛手（Pain）」の大きさを表現しています。

上図のように、ピラミッドの下層に行けば行くほど、攻撃者側の「痛手」が大きくなります。下層に位置するハッシュ値やIPアドレス、ドメイン名などは、防御側にとって比較的取得しやすい情報である一方、攻撃者からしても変更が容易であるため、これらをブロックされても比較的小さな痛手しか生じません。

一方で、上層に位置するツールやTTPは、攻撃者の運用方法や技術力、組織的なノウハウと深く結び付いています。そのため、ドメイン名やIPアドレスを変更するほど容易には変更できません。それなりの時間や手間がかかります。

特に、ピラミッドの頂点に位置するTTPに基づいた検知や防御を実装されると、攻撃者は単にインフラを変更するだけでは検出を回避できなくなります。場合によっては、攻撃手法そのものを見直したり、新たな運用方法を構築したりする必要が生じるため、防御側にとって大きな効果が期待できます。

このような理由から、近年のサイバーセキュリティ／インテリジェンスでは、IoCだけでなくTTPに基づいた分析や検知の重要性が高まっています。TTPを理解することで、組織はより戦略的かつ効果的なセキュリティ対策を検討・実施できるようになるからです。

関連記事：「ピラミッドオブペイン」とは？　脅威情報をもっと有効活用するための考え方

TTPとMITRE ATT&CKの関係

TTPを理解・活用するために欠かせないフレームワークの1つに、「MITRE ATT&CK」というものがあります。

MITRE ATT&CKとは、実際のサイバー攻撃で観測された攻撃者の行動パターン（TTP）を体系的に整理したナレッジベースです。世界中のセキュリティベンダーや企業、政府機関などで広く利用されており、脅威アクターの分析や脅威ハンティング、検知ルールの作成などに活用されています。

ATT&CKでは、攻撃者の行動を「Initial Access（初期アクセス）」「Execution（実行）」「Persistence（永続化）」「Privilege Escalation（権限昇格）」など15のTactics（戦術）に分類し、それぞれの戦術を実現するためのTechniques（テクニック／技術）やSub-techniques（サブテクニック）をまとめています。

例えば、「Credential Access（認証情報を取得する）」というTacticに対しては、「Brute Force（ブルートフォース攻撃）」や「OS Credential Dumping（OSクレデンシャルダンピング）」といったTechniquesが関連付けられています。このようにATT&CKを利用することで、攻撃者の行動を共通のフレームワークで分析し、構造的に把握できるようになります。

また、脅威アクターのTTPをATT&CKへマッピングすることで、自組織がどのような攻撃手法で攻撃される可能性があるのかを可視化することができます。さらに、それぞれのTechniqueに対して適切な検知ルールや緩和策を検討できるため、防御体制の強化やセキュリティ投資の優先順位付けにも役立ちます。

近年のサイバー脅威インテリジェンスでは、特定のIoCだけでなく、ATT&CKを活用して脅威アクターのTTPを分析することが一般的になっています。ATT&CKは、TTPを実践的に活用するための共通言語の役割を果たしています。

ATT&CKに掲載されたTTPの具体例：Lazarusのケース

ATT&CKには、既知の脅威アクターが実際に攻撃で使用したTacticsやTechniquesが掲載されており、各TacticやTechniqueには、それぞれ「TA」か「T」で始まるIDが割り当てられています。例えば「Reconnaissance（偵察）」というTacticのIDは「TA0043」、「Exploitation of Remote Services（リモートサービスの悪用）」というTechniqueのIDは「T1210」といった具合です。

例として、北朝鮮との関連が疑われるAPTグループ「Lazarus」が使用した戦術・テクニックとしてATT&CKに掲載されているものの一部には、以下があります。

同様に、APTグループだけでなくPlayやAkiraといったランサムウェアグループなど、さまざまな脅威グループに関するTTPがATT&CK上で整理されており、防御側はこれを参考に攻撃者ごとの特徴的な行動パターンを分析することができます。

このように、ATT&CKを活用することで、脅威アクターがどのような目的で、どのような手法を用いて攻撃を行うのかを構造的に把握しやすくなります。

Procedure（手順）の例も

また、以下のスクリーンショットが示すように、ATT&CKでは各Techinqueについて、どの脅威アクターやマルウェアが利用しているのか、どの攻撃キャンペーンで使用されたのか、といった情報も確認できます。そのため、テクニックだけでなく、攻撃者が実際にどのようなProcedures（手順）を使って攻撃を実行しているのかを理解する上でも有用です。

こうした情報を活用することで、自組織に関連する脅威アクターの行動を予測し、優先的に監視すべき攻撃手法や強化すべき防御策を洗い出すことができるようになります。

関連記事：「MITRE ATT&CKとは？概要や活用事例などを概説」

TTPの活用方法

TTPは、単に脅威アクターの特徴を理解するためだけに存在するわけではありません。実際のセキュリティ運用においては、脅威アクターの分析やインテリジェンスレポートの作成、脅威ハンティング、インシデント対応など、さまざまな場面でTTPが活用されています。

また、MITRE ATT&CKなどのフレームワークと組み合わせることで、自組織が直面する可能性のある攻撃を体系的に分析し、より効果的な検知・防御体制を構築することもできるようになります。

ここでは、TTPの代表的な活用方法をいくつか紹介します。

• 脅威アクターの分析
• MITRE ATT&CKへのマッピング
• プロアクティブな脅威検知
• リスクベースの脆弱性管理
• 脅威ハンティング
• インシデント対応

脅威アクターの分析

近年では、ランサムウェアグループや国家支援型APTグループなど、さまざまな脅威アクターが独自のTTPを用いて攻撃を行っています。こうしたTTPを分析することで、攻撃者の目的や活動傾向を把握し、自組織に関連する脅威をより正確に評価できるようになります。

＜図：アクター分析のイメージ＞

例えば、金銭目的のサイバー犯罪グループと国家支援型のAPTグループでは、標的や攻撃手法が異なる場合があり、TTPにも違いがみられることがあります。こうした相違点を理解することで、自組織にとって現実的な脅威は何なのかを特定し、優先的に対策すべきリスクを判断しやすくなります。

また、脅威アクターごとに特徴的なTTPが存在する一方で、複数のアクターに共通して見られるTTPもあります。例えば、フィッシングによる初期侵入や認証情報の窃取、ラテラルムーブメントといった手法は多くの攻撃者に利用されています。そのため、特定の脅威アクターだけでなく、広く利用されるTTPを理解することも、効果的な検知や防御体制の構築において重要になります。

MITRE ATT&CKへのマッピング

前述のように、TTPをMITRE ATT&CKへマッピングすることで、攻撃者の行動を共通のフレームワークで整理・理解できるようになります。これにより、自組織がどのような攻撃手法に対してなら十分な検知・防御能力を持っていて、逆に対策が不十分な部分がどこなのかを可視化することができます。またこの作業は、セキュリティ対策の優先順位付けや、検知ルールの整備にも役立ちます。

加えて、ATT&CKは多くのセキュリティベンダーや組織で利用されているため、脅威情報や検知ルールを共通のフレームワークで共有できるというメリットもあります。

＜図：MITRE ATT&CKマッピングのイメージ＞

プロアクティブな脅威検知

TTPは、攻撃者の行動パターンに着目した検知の実現に役立ちます。例えば、特定のマルウェアやIPアドレスではなく、「認証情報のダンピング」や「異常なPowerShellの実行」といった攻撃手法そのものを監視対象とすることで、IoCが変化した場合でも攻撃を発見できる可能性があります。これは、より長期的かつ効果的な防御につながります。

なお、近年ではEDRやSIEMの検知ルールをATT&CKのテクニックに対応付けて管理する組織も増えています。これにより、どの攻撃手法を検知できているのかを可視化しやすくなります。

関連記事：プロアクティブなサイバーセキュリティとは？インテリジェンスを活用して攻撃に備えるアプローチを解説

リスクベースの脆弱性管理

企業や組織が保有する脆弱性の数は膨大であり、すべてに同じ優先度で対応することは現実的ではありません。しかし、脅威アクターが実際に利用しているTTPを参考にすることで、悪用される可能性の高い脆弱性、つまり優先的に対処すべき脆弱性がどれなのかを特定できる場合があります。

例えば、特定の脅威アクターがインターネットに公開されたシステムにおける脆弱性の悪用や認証情報の窃取といったテクニックを頻繁に利用していることが理解できていれば、それらに関連する脆弱性や設定不備への対応の優先度を上げる、という意思決定ができるようになります。

このように、TTPを理解することで、CVSSスコアだけでは判断できない現実的なリスクを可視化し、効率的に脆弱性対応を実施できるようになる可能性があります。

脅威ハンティング

一般的な監視がアラートを起点に調査を行うのに対し、脅威ハンティングでは「攻撃者が既に侵入している可能性がある」という仮説のもとでログやエンドポイントデータを調査します。TTPは、その仮説を立てる際の重要な判断材料となります。

例えば、「特定のAPTグループが認証情報ダンピングを利用する」というTTP情報があれば、その痕跡を探すことで既存のアラートでは検出されていない侵害を発見できる可能性があります。

このように、TTPは脅威ハンティングの重要な出発点となります。

インシデント対応

インシデント発生時には、観測されたTTPを分析することで攻撃の全体像を把握しやすくなります。攻撃者がどのような手法で侵入し、どのような行動を取ったのかを理解することで影響範囲を特定しやすくなるほか、こうした情報は再発防止策を検討する際にも役立ちます。

また、インシデント対応を通じて得られたTTP情報は、検知ルールやインシデント対応手順の改善にも活用できることから、同様の攻撃が再び発生した場合でもより迅速かつ効果的に対応することが可能になります。

TTP情報の収集とサイバーインテリジェンス

このように、TTPにはさまざまな活用方法があります。では、そもそもTTP情報はどこから、どのように収集すれば良いのでしょうか？

セキュリティベンダーの脅威レポートや政府機関のアドバイザリ、オープンソースの脅威情報などには、攻撃キャンペーンや脅威アクターに関する詳細な情報が掲載されることがあります。こうした情報を収集・分析することで、脅威アクターのTTPを整理し、その行動パターンを理解できるようになります。

ただし、TTPに関する情報は複数の情報源に分散しており、その量も膨大になる場合があります。効率的に情報を収集・分析するためには、サイバー脅威インテリジェンス（※）の考え方を取り入れ、事前に必要な情報の要件を定義した上で体系的に進めることが重要です。

ここでは、TTPを実際に収集し、活用するまでの大まかな流れを、インテリジェンスサイクルに沿って見ていきましょう。

＜図：インテリジェンスサイクル＞

※インテリジェンスの詳しい解説については、以下の記事もご覧ください。

• 脅威インテリジェンスとは？種類や必要性をわかりやすく解説
• 脅威インテリジェンスの国内における活用例と活用のヒント
• 「サイバーインテリジェンス」と「脅威インテリジェンス」の違いとは？

TTP情報の収集・活用プロセス

TTPを収集して実際のセキュリティ活動へ活用するまでの流れは、一般的に以下のようなプロセスで進められます。

＜TTP活用のためのインテリジェンスサイクル＞

• ①計画・方向性の決定：まず、自組織にとってどのような脅威アクターや攻撃手法が重要なのかを明確にします。また、収集したTTP情報をどのような目的で活用するのかといった要件も定義します。
• ②収集：定義した要件に基づき、脅威インテリジェンスベンダーのレポートや政府機関のアドバイザリ、OSINTなどの情報源から必要な情報を収集します。
• ③処理：収集したデータを整理・構造化し、分析しやすい形へ変換します。例えば、脅威アクター名やATT&CKのテクニックごとに分類することで、後続の分析を効率化することができます。
• ④分析・生産：整理されたデータを分析し、脅威アクターのTTPや攻撃傾向を明らかにします。その結果をインテリジェンスレポートや脅威プロファイルなどの成果物としてまとめます。
• ⑤共有・フィードバック：作成した成果物をSOCやCSIRT、経営層などの関係者へ共有し、検知ルールの改善や脅威ハンティング、インシデント対応などに活用します。また、利用者からのフィードバックを収集し、次回以降のインテリジェンス活動の改善につなげます。

このサイクルを継続的に回すことで、自組織に関連する脅威アクターや攻撃手法への理解を深め、より効果的なセキュリティ対策につなげることができます。

関連記事：サイバーインテリジェンスサイクルとは？要件定義から情報収集や分析、配布までの流れを解説

最後に

TTPは、脅威アクターの目的や行動パターンを理解するための重要な概念です。IoCのような個別の痕跡情報とは異なり、攻撃者がどのような目的で、どのような手法を用いて攻撃を実行するのかを示す情報であることから、今後想定される攻撃を予測したり、特定の脅威アクターを継続的に追跡したりする際の助けとなります。

実際のセキュリティ運用においては、TTPは脅威アクターの分析やMITRE ATT&CKへのマッピング、脅威ハンティング、インシデント対応など、さまざまな場面で活用されています。また、サイバー脅威インテリジェンスの取り組みを通じて継続的にTTPを収集・分析することで、自組織に関連する脅威への理解が深まり、より効果的な検知・防御体制の構築を目指せるようになります。

企業は、IPAの公開資料「脅威インテリジェンス導入・運用ガイドライン」などを参考にインテリジェンス体制を確立し、インテリジェンスサイクルに沿って運用を進めていくことでTTPを活用できるようになります。ただ、担当者が足りていない、ノウハウがないなどの課題がある場合には、自社単体でのインテリジェンス導入が難しいかもしれません。

そのようなケースでは、外部のセキュリティベンダーやインテリジェンスベンダーのインテリジェンスサービスを利用することも手段の1つとなります。弊社マキナレコードでも、各種インテリジェンスツールの提供はもちろん、アナリストがインテリジェンスレポートの作成をお手伝いするマネージドサービスも提供しています。

これからインテリジェンスを始めたいが何から始めればいいのかわからない、そもそもインテリジェンスが何なのかを理解できていない、といった場合でもイチからサポート可能です。まずは弊社ホームページをご覧いただくか、以下のボタンよりお気軽にお問い合わせください。