サイバーキルチェーンとは？7段階の攻撃モデルとフェーズ別対策を徹底解説

サイバーキルチェーン（Cyber Kill Chain）とは、米国のロッキード・マーティン社が提唱した、サイバー攻撃のプロセスを7つの段階にモデル化したフレームワークです。攻撃者が目的を達成するまでの一連の流れを可視化することで、防御側はどの段階で攻撃を検知・阻止すべきかを戦略的に検討できます。

インシデントレスポンスにおいて、このキルチェーンの概念は極めて重要です。なぜなら、攻撃の一連の鎖（チェーン）のどこか一箇所でも断ち切れば、最終的な被害を防ぎ、最小限に抑えることが可能になるからです。

このモデルを理解することで、SOC（Security Operation Center）やCSIRT（Computer Security Incident Response Team）は、検知したアラートが攻撃のどの段階にあるかを即座に判断し、適切な対応を迅速に実行できます。

また、最近ではMITRE ATT&CK®フレームワークも広く利用されています。キルチェーンが攻撃の「流れ（フェーズ）」を示すのに対し、MITRE ATT&CKは各フェーズで攻撃者が使う具体的な「戦術・技術（TTPs）」を詳細に分類します。この二つを組み合わせることで、より精度の高い脅威検出と防御策の立案が可能になります。

キルチェーンに基づいた効果的なインシデントレスポンスを実現するには、攻撃の各段階で発生する事象を正確に捉える必要があります。その鍵となるのが、多様なソースから収集される「テレメトリ」データ、すなわちログの監視と分析です。ネットワーク機器、サーバー、エンドポイントなど、組織内のあらゆるIT資産から生成されるログを一元管理・相関分析することで、単一のログでは見逃す攻撃の兆候を早期発見できます。

インシデントレスポンスのライフサイクルは、NISTのモデルによれば「準備」「検知・分析」「封じ込め・根絶・復旧」「事後対応」で構成されます。キルチェーンの考え方は、特に「検知・分析」から「封じ込め・根絶・復旧」のフェーズで強力な指針となります。

この一連の流れを、キルチェーンの段階に応じて体系的に実行することが、迅速かつ的確なサイバーセキュリティ対応の要です。

ここからは、サイバーキルチェーンの7段階それぞれで、具体的に「何を監視し（ログ）」「何をすべきか（アクション）」を詳細に解説します。自社のインシデントレスポンス計画を見直す際のチェックリストとしてご活用ください。

攻撃者がターゲット組織のネットワーク構成や公開サーバー、従業員情報などを外部から調査する段階です。ポートスキャンや脆弱性スキャンが典型的手法であり、早期発見が非常に効果的です。

攻撃者が偵察情報を基に、マルウェアやスピアフィッシングメールのペイロードを作成する準備段階です。防御側から直接観測は困難ですが、想定した対策が可能です。

作成された「武器」をターゲットに送り込む段階です。フィッシングメールが最も一般的ですが、Webサイト経由（水飲み場攻撃）など経路は多様化しており、入口対策が重要です。

配送された武器が実行され、ソフトウェアやOSの脆弱性を悪用してコードを実行させる段階です。Officeマクロの有効化や、ブラウザの脆弱性を突く攻撃がこれにあたります。

攻撃者がシステムへのアクセスを維持するため、マルウェアやバックドアを常駐させる（永続化する）段階です。これにより、システム再起動後もアクセスが可能になります。

インストールされたマルウェアが、外部の攻撃者の指令サーバー（C2サーバー）と通信を確立する段階です。この通信を検知・遮断することは、被害を最終段階で食い止める重要な機会です。

攻撃者が当初の目的を達成しようとする最終段階です。機密情報の窃取（データ漏洩）、ランサムウェアによる暗号化、他のシステムへの侵入拡大（横展開）など目的は多岐にわたります。

キルチェーンの各段階に対応するには、適切なツールの導入とSOCの運用体制が不可欠です。

• SIEM (Security Information and Event Management) SOCの中心として各種ログを集約し、キルチェーンの段階をまたぐ相関分析ルールを実装します。例えば「段階3：配送で不審メールを開封」と「段階4：攻撃でEDRが異常を検知」を組み合わせ、高優先度のアラートを自動発報させます。
• EDR (Endpoint Detection and Response) 「攻撃」「インストール」「C2通信」といったエンドポイント内部の活動を可視化する上で中心的な役割を担います。プロセスの親子関係やネットワーク接続などの詳細なテレメトリは、インシデント調査で極めて価値の高い情報源となります。
• SOAR (Security Orchestration, Automation and Response) インシデントレスポンスのアクションを自動化・効率化します。C2通信検知時に、SOARが自動でファイアウォールに遮断ルールを追加し、EDRに端末隔離を指示する、といった対応の迅速化と人的ミス削減が期待できます。

これらのツールと運用プロセスを脅威インテリジェンスと連携させることで、サイバー攻撃への防御・検出・対応能力を継続的に強化できます。

本記事では、サイバーキルチェーンの7つの段階に沿って、監視すべきログと具体的な対応手順を解説しました。キルチェーンは、日々のセキュリティ運用やインシデントレスポンスを体系化し、実践的なアクションに落とし込むための強力なフレームワークです。

重要なのは、攻撃の連鎖をできるだけ早い段階で断ち切ることです。そのためには、多様なテレメトリを収集・分析し、攻撃の兆候を早期に検出する仕組みが欠かせません。そして、脅威を検出した際には、本記事で示したアクションを迅速かつ的確に実行する手順をあらかじめ定めておくことが重要です。

まずはこの記事を参考に、自社のインシデントレスポンス計画やログ管理体制を見直し、どこに弱点があるかを把握することから始めてみてください。サイバー攻撃に対し、受け身ではなく、攻撃者の行動を予測したプロアクティブなセキュリティ対策を構築していきましょう。

Q1: キルチェーンとMITRE ATT&CKの違いは何ですか？

A1: サイバーキルチェーンは、攻撃全体の「時系列のフェーズ（流れ）」を大局的に捉えるモデルです。一方、MITRE ATT&CKは、各フェーズで攻撃者が使う具体的な「戦術や技術（TTPs）」を網羅したナレッジベースです。キルチェーンで「攻撃がどの段階か」を把握し、ATT&CKで「具体的に何をされたか」を分析するなど、両者は相互に補完し合う関係にあります。

Q2: すべてのログを収集する必要はありますか？優先順位は？

A2: 理想は多くのログを収集することですが、コストや管理の観点から優先順位付けが重要です。優先度が高いのは、①インターネット境界のファイアウォール/プロキシログ、②認証の要であるActive Directoryログ、③攻撃の最終標的となるエンドポイントログ（特にEDRのテレメトリ）です。これらを基盤とし、徐々にWebサーバーやデータベースログに対象を広げるのが効果的です。

Q3: 中小企業でもキルチェーンに基づいた対策は可能ですか？

A3: 可能です。高価なツールがなくても、キルチェーンの考え方は応用できます。例えば、OS標準のイベントログ設定を強化する、オープンソースのIDSを導入する、UTM（統合脅威管理）のログを定期的に確認するなど、低コストで始められる対策は多くあります。重要なのは、自社の重要資産を把握し、そこへの攻撃経路をキルチェーンに沿って想定し、限られたリソースを効果的な監視ポイントに集中させることです。