サイバーキルチェーンとは？攻撃者の7段階プロセスと各フェーズへの防御マッピング実践ガイド

「うちは大企業じゃないから狙われない」という思い込みは、残念ながら攻撃者には通用しません。ランサムウェア感染や情報漏洩の事後報告書を読むたびに「どこかのタイミングで止められたはずなのに」という悔恨が漏れてきます。

この記事では、攻撃者が侵害を完了するまでのプロセスを7段階で体系化した「サイバーキルチェーン」フレームワークを解説します。概念の理解だけでなく、情シス1人でも実践できる防御マッピングと、各フェーズで攻撃を止めるための具体的な手立てまで詳しく紹介します。

サイバーキルチェーンとは？

サイバーキルチェーン（Cyber Kill Chain）は、米Lockheed Martinが2011年に発表したサイバー攻撃分析フレームワークです。軍事用語の「キルチェーン（攻撃実施の連鎖プロセス）」をサイバー攻撃に応用したもので、攻撃者が標的への侵害を完了するまでに必ず経由する7つのフェーズを定義しています。

このフレームワークの本質は「攻撃者はどんなに高度な手口を使っても、この7段階を省略できない」という前提にあります。裏を返せば、防御側はどこか1つのフェーズで攻撃者を止めれば、被害を最小化できるということです。

100%の防御は現実的ではありませんが、「攻撃者のプロセスをどこかで断ち切る」は十分に達成可能な目標です。サイバーキルチェーンは防御策の優先度を設計するための思考ツールとして、SOCチーム・情シス担当者・セキュリティコンサルタントに広く活用されています。

7つのフェーズ：攻撃者が辿る道筋

各フェーズを順番に見ていきましょう。攻撃者の視点から理解することで、防御側として何を重視すべきかが自然と見えてきます。

フェーズ1：偵察（Reconnaissance）

攻撃者がまず行うのは「標的の調査」です。公開情報を収集し、攻撃の糸口を探します。

・パッシブ偵察: 企業のウェブサイト、求人情報、LinkedInやSNSのプロフィールなどから情報収集する。攻撃者には一切の痕跡が残らない
・アクティブ偵察: ポートスキャン（nmap等）やWHOIS検索でシステム構成・メールサーバー情報を収集する。ログに痕跡が残る場合がある
・OSINT（公開情報収集）: Shodanなどのサービスで、外部から見えるサーバー・機器を探索する

この段階で攻撃者は「どこから侵入できるか」の仮説を立てています。求人票に書かれた技術スタックや、エンジニアがSNSで無意識に投稿した社内ネットワーク情報も、偵察の材料になります。

フェーズ2：武器化（Weaponization）

収集した情報をもとに、実際に使う攻撃ツール（武器）を準備するフェーズです。標的のシステムに合わせてカスタマイズしたマルウェア（悪意あるソフトウェア）や、フィッシングメールに添付する悪意ある文書ファイルを作成します。

このフェーズは攻撃者の内部作業であるため、防御側から直接観測するのは困難です。ただし、後のフェーズで使われる武器の特徴（ファイルタイプ・エクスプロイトの種類など）をもとに、遡って分析することはできます。

フェーズ3：配送（Delivery）

武器を標的に届けるフェーズです。代表的な配送手段は以下のとおりです。

・フィッシングメール: 最も多用される手段。添付ファイルや悪意あるURLをクリックさせる
・ドライブバイダウンロード: 攻撃者が改ざんしたウェブサイトを閲覧するだけでマルウェアが実行される
・USBメモリ等の物理媒体: 社員が拾ったUSBを接続するシナリオ（水飲み場攻撃の変形）
・サプライチェーン経由: ソフトウェアのアップデート機能を悪用する（SolarWinds事案が代表例）

配送フェーズは、防御側が攻撃を検知・遮断できる最初の大きな機会です。メールフィルタリング・URLフィルタリング・エンドポイント保護が主な防御手段になります。

フェーズ4：エクスプロイト（Exploitation）

配送された武器が実際に動作するフェーズです。ソフトウェアやOSの脆弱性（セキュリティ上の欠陥）を突いてコードを実行します。

代表的なエクスプロイト手法には、既知の脆弱性（CVEが割り当てられたもの）の悪用と、ゼロデイ（まだ公表・修正されていない脆弱性）の悪用があります。中小企業が狙われる場合、多くは既知の脆弱性を悪用されるケースです。定期的なパッチ適用がいかに重要かがわかります。

フェーズ5：インストール（Installation）

エクスプロイトに成功した攻撃者は、次にバックドア（裏口）やリモートアクセスツール（RAT）をシステムにインストールします。これにより、初回の侵入経路が塞がれても、攻撃者は継続的にシステムへアクセスできます。

このフェーズで設置されるマルウェアは、正規のシステムファイルに偽装したり、スタートアップに登録されて起動のたびに再実行されるよう設計されています。ファイルシステムの整合性監視（AIDE等）が有効な検知手段です。

フェーズ6：C&C（Command and Control）

バックドアが設置されると、攻撃者はインターネット上の指令サーバー（C2サーバー：Command and Controlサーバー）を通じて、感染したシステムを遠隔操作します。

攻撃者はファイアウォールの通信制限を回避するために、HTTPS（443番ポート）などの正規の通信プロトコルを悪用することがあります。また、DNSの名前解決を悪用するDNSトンネリングという手法も知られています。

C&C通信を検知・遮断するには、外部への通信を監視し、不審な宛先へのアクセスをブロックするプロキシや脅威インテリジェンス連携が効果的です。

フェーズ7：目的の実行（Actions on Objectives）

ここまで辿り着いた攻撃者は、当初の目的を実行します。目的は攻撃者によって異なります。

・データ窃取: 顧客情報・機密文書・認証情報を外部に持ち出す
・ランサムウェア展開: ファイルを暗号化して身代金を要求する
・サービス妨害: 業務システムを停止させる
・内部からの横展開: 侵入したシステムを踏み台にして、同一ネットワーク内のより重要なシステムへ侵入を拡大する

この段階まで到達されてしまうと、被害の封じ込めにはインシデント対応（IR）の専門知識が必要になります。後述の防御マッピングで、ここまで到達させないことを目標に設計しましょう。

フェーズ別防御マッピング：どこで止めるか

サイバーキルチェーンの真の価値は、フェーズごとに「自組織はどこで攻撃を止められるか」を整理できる点にあります。

フェーズ4（エクスプロイト）と7（目的実行）は特に重要です。パッチ管理の徹底と、データの適切な保護・バックアップは、すべての組織が最優先で取り組むべき対策です。

中小企業でも今日からできること

「フレームワークはわかったけど、人手も予算も限られている」という情シス1人体制の方向けに、すぐ着手できる施策を整理します。

1. メールフィルタリングの強化（配送フェーズ対策）

フィッシングメールは依然として攻撃の主要な入口です。SPF・DKIM・DMARCの設定を確認し、なりすましメールが社内に届かない状態を作ります。多くのメールサービスでは管理コンソールから設定できます。

DMARCポリシーが「p=none」のままになっていないかを確認してください。「p=quarantine」もしくは「p=reject」に設定することで、なりすましメールを確実にブロックできます。

# DMARCレコードの確認（自社ドメインの設定状況をチェック）
dig TXT _dmarc.example.com

# 以下のような応答が返れば設定済み
# _dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

# p=none は無効に近い。p=quarantine 以上に設定することを推奨

2. パッチ適用サイクルの確立（エクスプロイトフェーズ対策）

OSとアプリケーションのアップデートを月1回以上、確実に実施します。WindowsであればWindows Update、LinuxではAnsible等を活用した自動パッチ管理が有効です。EOL（サポート終了）の製品は優先して更新してください。

# Debian/Ubuntu系 — 自動セキュリティアップデートの有効化
apt install unattended-upgrades
dpkg-reconfigure --priority=low unattended-upgrades

# /etc/apt/apt.conf.d/50unattended-upgrades を開いて
# Unattended-Upgrade::Allowed-Origins に
# "${distro_id}:${distro_codename}-security" が含まれていることを確認

3. EDRの導入（インストール・C&Cフェーズ対策）

従来のアンチウイルスはシグネチャ（既知の脅威パターン）ベースで、未知のマルウェアに弱い面があります。EDR（Endpoint Detection and Response）は振る舞い検知でゼロデイ脅威にも対応でき、C2通信の検知にも有効です。Microsoft Defender for EndpointはWindowsに標準搭載されており、追加コストなしで有効化できます。

4. バックアップの3-2-1ルール実践（目的実行フェーズ対策）

ランサムウェア対策の根幹はバックアップです。3-2-1ルール（3箇所にコピー・2種類の媒体・1箇所は外部）を守り、かつバックアップは本番システムから切り離して保管します。接続したまま（マウントしたまま）のバックアップはランサムウェアに一緒に暗号化されてしまうため要注意です。

サイバーキルチェーンのよくある誤解と注意点

【注意1】「7段階すべてに均等な対策が必要」は誤り

すべてのフェーズに均等なリソースを投じる必要はありません。フェーズ2（武器化）は攻撃者の内部作業で、防御側がコントロールできない領域です。自組織のリスク状況と対策コストを照らし合わせ、優先度の高いフェーズに集中する方が現実的です。

【注意2】内部脅威への適用には限界がある

サイバーキルチェーンは外部からの侵入を想定したフレームワークです。内部の悪意ある社員や、フェーズ3以降から始まる内部脅威（例：既にアクセス権を持つ退職予定者の悪用）には対応しにくい面があります。内部不正対策には、最小権限の原則・アクセスログの監視・退職者アカウントの即時無効化を別途実装する必要があります。

【注意3】MITRE ATT&CKとは別物

より詳細な攻撃戦術のフレームワークとして「MITRE ATT&CK」があります。こちらは攻撃者の具体的な技術（テクニック）を200以上列挙しており、より精緻なSOC分析や脅威インテリジェンスの活用に適しています。サイバーキルチェーンは概念の把握と防御設計の入口、MITRE ATT&CKはより高度な分析の段階で使うもの、と使い分けると良いでしょう。

本記事のまとめ

サイバーキルチェーンは、攻撃者の行動プロセスを7段階で可視化し、「どこで防御を厚くすればよいか」を考えるための実践的なフレームワークです。

フレームワークは知識として持つだけでなく、自組織の現状と照らし合わせて「どのフェーズが手薄か」を定期的に点検することが重要です。攻撃者は常に最も弱い箇所を狙います。今日できることから1つずつ確実に積み上げていきましょう。

Linuxサーバーのファイアウォール設定や権限管理の詳細については、姉妹サイトLinuxMaster.JPで実践的なコマンドを交えて解説しています。