サイバーキルチェーンとは？7つの段階や欠点、活用する際のポイントを解説

偵察

標的となる組織の弱点を探るため、攻撃者が入念な下調べを行う最初のフェーズです。企業の公式サイトやプレスリリース、求人情報などから組織構造や使用技術を収集します。

SNSでは従業員の投稿から内部情報が漏れることも多く、FacebookやX（旧Twitter）が格好の情報源となっているのが現状です。

技術的な偵察では、DNSレコードの調査やポートスキャンを実施し、ネットワーク構成やサービスの稼働状況を把握しようとします。

武器化

収集した情報を基に、標的環境に最適化された攻撃ツールの準備が進められます。

既知の脆弱性を突くエクスプロイトコードや、検出を回避するよう改造されたマルウェアが作成される段階です。

最近では、攻撃ツールがダークウェブで取引されており、技術力の低い攻撃者でも高度な武器を入手できる状況となっています。

デリバリー

作成した武器を標的に送り届ける、攻撃の実行段階への移行ポイントといえます。

最も一般的な手口はフィッシングメールで、業務連絡や請求書を装って悪意のある添付ファイルを開かせようとするのです。

USBメモリを駐車場に落としておき、拾った従業員が社内PCに接続することを狙う物理的な手法も存在します。フィルタリングの強化により、この段階での攻撃遮断率を高めることが重要です。

エクスプロイト

届けられた攻撃コードが実際に動作し、システムへの侵入を開始する決定的な瞬間です。ゼロデイ脆弱性の悪用や、パッチ未適用のセキュリティホールを突いて管理者権限を奪取します。

ブラウザやプラグインの脆弱性は特に狙われやすく、JavaScriptやFlashの実行により感染が成立してしまいます。

インストール

侵入に成功した攻撃者が、継続的なアクセスを確保するための足場を構築していきます。

具体的には、バックドアやリモートアクセスツールをシステムの奥深くに埋め込み、再起動後も動作し続けるよう設定するのです。

レジストリの改変やスケジュールタスクの追加により、マルウェアの永続性が確保されます。

コマンド＆コントロール

マルウェアと攻撃者の指令サーバー間で通信チャネルが確立され、遠隔操作が可能になる段階です。

HTTPSやDNS、さらには正規のクラウドサービスを隠れ蓑にして、セキュリティの検知を回避しながら攻撃の機会を伺います。通常の業務通信との区別がつきにくくなっているのが現状です。

目的の実行

長い準備期間を経て、ついに攻撃者が本来の目的を達成する最終段階に到達します。

機密情報の窃取では、圧縮・暗号化したデータを少しずつ外部に送信し、大量のデータ流出を目立たなくする工夫がされています。

ランサムウェアの展開やシステムの破壊など、より破壊的な活動が実行される場合もあります。

一方通行

このモデルは攻撃が順序立てて進行することを前提としており、実際の攻撃の複雑さを十分に表現できません。

現実の攻撃者は段階を飛ばしたり、前の段階に戻ったりします。例えば、すでに内部ネットワークに侵入している協力者がいる場合、初期の偵察やデリバリー段階をスキップして、直接エクスプロイトから始めることがあります。

複数の攻撃ベクトルを同時並行で試みる手法や、失敗した段階から別のルートで再挑戦する柔軟な攻撃パターンもあり、一方通行のサイバーキルチェーンでは対応が困難となるのです。

この欠点を補うには、より動的で多次元的な脅威モデルとの併用が推奨されます。

継続的な見直しが必要

新たな攻撃手法の出現や既存手法の進化により、フレームワークの定期的な更新が不可欠です。

AIを活用した自動化攻撃や、サプライチェーンを狙った間接的な侵入経路など、想定外の手法への対応が求められます。

組織は最新の脅威インテリジェンスを収集し、自社のキルチェーンモデルを少なくとも四半期ごとに見直す必要があります。また、専門家による評価や外部監査を通じて、モデルの有効性を継続的に検証することも重要です。

対象が限定的

サイバーキルチェーンは標的型攻撃を前提としたモデルであるため、無差別型のマルウェア攻撃やDDoS攻撃への適用は困難です。

ランサムウェアのような金銭目的の攻撃は、必ずしも7段階すべてを経由しません。ソーシャルエンジニアリングによる心理的操作や物理的な侵入を伴う攻撃も、このフレームワークではカバーしきれない領域となっています。

複数の脅威モデルを組み合わせ、より包括的なセキュリティ戦略を構築する必要があります。

柔軟性が足りない

厳格な7段階の分類は、実際の攻撃の流動性や創造性を十分に反映できません。攻撃者は予期せぬ方法で段階を組み合わせたり、まったく新しいアプローチを開発したりします。

ゼロトラストアーキテクチャのような新しい防御概念に対しても、従来のキルチェーンモデルでは対応が難しくなっています。

段階間の境界が不明確な攻撃や、複数の段階が同時進行する高度な手法には適用が困難です。

内部脅威を検出できない

外部からの侵入を前提としているため、最初から内部にいる悪意ある従業員や協力者による攻撃は検出が難しいという欠点があります。

正当な権限を持つユーザーの不正行為は、偵察やデリバリーの段階を経ずに直接実行されます。

例えば、退職予定者による機密情報の持ち出しや、不満を持つ従業員による破壊活動など、内部脅威特有のパターンには対応できません。

攻撃者の視点を意識する

防御側が攻撃者の思考プロセスを理解することで、より効果的な対策の立案が可能となります。

レッドチーム演習やペネトレーションテストを通じて、実際の攻撃シナリオを体験することが重要です。

攻撃者がどの段階に最も時間とリソースを投資するか、どのタイミングで攻撃を仕掛けるか、どこで諦めるかを分析することで、防御の優先順位が明確になります。

業界や組織規模によって狙われやすい攻撃パターンは異なるため、自社特有のリスクプロファイルを作成し、対策を進める必要があります。

ペネトレーションテストのやり方や詳細について知りたい場合は以下の記事をご確認ください。

【関連記事】ペネトレーションテスト（侵入テスト）とは？種類・やり方・導入の流れを徹底解説

自社のセキュリティ状況を考慮する

現在のセキュリティ成熟度のレベルを正確に把握し、段階的な改善計画を立てることが成功の鍵となります。

すべての段階に同時に対応するのは現実的ではないため、リスクアセスメントに基づいた優先順位付けが必要です。

定期的な成熟度評価により進捗を測定し、継続的な改善サイクルを確立することが大切です。

全社的にセキュリティ対策を行う

技術部門だけでなく、経営層から現場まですべての部門がセキュリティの重要性を理解し、協力する体制が不可欠です。経営層の強いコミットメントにより、必要な予算と権限が確保されます。

従業員1人ひとりがセキュリティの最前線であることを認識し、フィッシングメールの見分け方など基本的な知識を身につける必要があります。

部門間の情報共有体制を構築し、インシデント発生時の迅速な対応を可能にすることも重要です。

【関連記事】企業が取り組むべきセキュリティ対策とは？重要性や対策内容を解説

入口対策

攻撃の初期段階である偵察からデリバリーまでを阻止する防御方法です。メールゲートウェイでの添付ファイルスキャンやサンドボックス解析により、悪意のあるコンテンツを検出・隔離します。

従業員向けのセキュリティ意識向上トレーニングも、人的要因による侵入を防ぐ重要な対策となります。攻撃者に悪用される前にセキュリティホールを塞ぐことも欠かせません。

内部対策

システム内部での異常な活動を早期に検知し、攻撃の進行を食い止める重要な防御層となります。主に以下のような対策方法が挙げられます。

EDR（Endpoint Detection and Response）を導入し、デバイスやサーバーのエンドポイントを監視することも重要な対策方法です。EDRの詳細は以下の記事で解説しています。

【関連記事】EDRとは？EPPとの違いや機能・製品選びのポイントをわかりやすく解説

出口対策

最終防衛ラインとして、機密情報の流出や攻撃者との通信を阻止する役割を担います。

ファイアウォールの出力ルールを厳格に管理し、不要な外部通信を制限することで、攻撃者の遠隔操作サーバーとの接続を遮断できます。

プロキシサーバーでのSSL/TLS通信の復号検査により、暗号化された悪意のある通信も見逃しません。潜伏する攻撃者を早期発見するためにも、定期的な通信ログの分析と異常検知を徹底しましょう。