ATT&CKだけでは見えない攻撃の文脈：Attack Flowによる攻撃プロセスの構造化

1. はじめに：攻撃を「点」ではなく「線」で捉える

MITRE ATT&CKは、サイバー攻撃に用いられる戦術・技術・手順（Tactics, Techniques, and Procedures：TTPs）を体系化したフレームワークとして、脅威インテリジェンス、SOC（Security Operation Center）、CSIRT（Computer Security Incident Response Team）、レッドチーム演習など幅広い実務で活用されています。攻撃者の振る舞いを共通言語で表現できる点において、ATT&CKが果たしてきた役割は非常に大きいと言えます。

一方で、ATT&CKを実務で活用する際にはある課題に直面します。個々のテクニックは整理できても、それらがどのような順序で実行され、どの行為が次の行為を可能にし、どこで攻撃者が判断を分岐させたのかを表現しにくい、という課題です。あるインシデントに「フィッシング」「認証情報の窃取」「権限昇格」「データ持ち出し」といったテクニックをマッピングできても、それだけでは攻撃の全体像を説明したことにはなりません。重要なのは、テクニック同士がどうつながり、攻撃者がどのような前提条件に基づいて次の行動を選択したのかを理解することです。

攻撃を流れとして捉える視点は、攻撃者によるAIの悪用を分析する上でも重要です。昨今、AIの悪用はフィッシングメールやコードの生成にとどまらず、攻撃準備から侵害後の活動まで及び、一部では人間の承認を挟みながら、AIが攻撃工程の多くを自律的に実行し始めています。こうした攻撃の実態を評価し、防御側が検知・対応すべきポイントを見極めるには、AIが攻撃プロセスのどの段階に関与し、どの判断や遷移を担い、攻撃全体がどの程度自律的に進められていたのかを把握する必要があります。

本稿では、この「攻撃の流れ」を構造化・可視化するためのフレームワークとして、MITRE Center for Threat-Informed Defense（CTID）が開発・公開しているAttack Flowを解説します。

2. Attack Flowとは何か

Attack Flowは、攻撃者の行動を単なるテクニックの一覧ではなく、順序・因果関係・分岐を持つ「フロー」として記述するためのフレームワークです。開発元のCTIDは、MITREが運営する非営利の研究開発組織であり、グローバルの金融機関やセキュリティベンダーなど民間企業の参画のもと、脅威情報に基づく防御（Threat-Informed Defense）のための研究成果をオープンソースで公開しています。Attack Flowは2022年に初版が公開されて以降、改良が重ねられ、2025年7月にはフローの可視化・共有機能やトレーニング、ドキュメントを大幅に拡充したバージョン3がリリースされています¹。

Attack Flowの設計思想を象徴するのが、公式ドキュメント²の冒頭にも引用されている、Microsoftのジョン・ランバート（John Lambert）氏の次の言葉です。

"Defenders think in lists. Attackers think in graphs. As long as this is true, attackers will win."（防御者はリストで考え、攻撃者はグラフで考える。これが続く限り、攻撃者が勝つ）

防御側が資産や検知ルールを個別の「リスト」として管理する一方、攻撃者はそれらの連結関係——どの認証情報がどのサーバーへの足がかりになるか——という「グラフ」を辿って侵入します。Attack Flowは、この「グラフで考える」視点を防御側にもたらすための方法論です（図表1）

図表1：Attack Flowによる攻撃プロセスの可視化の例

ここで強調すべきは、Attack FlowはATT&CKを置き換えるものではないという点です。ATT&CKが攻撃者の行動を分類・参照するためのナレッジベースであるのに対し、Attack Flowはそれらの行動をつなぎ、攻撃プロセス全体として表現するための補完的な仕組みです。ATT&CKが「攻撃者は何をしたのか（What）」を語る辞書だとすれば、Attack Flowは「それをどの順序で行い、なぜ次の行動に進めたのか（How）」を語る文法に相当します。

この考え方は、近年の攻撃動向とも整合します。正規ツールの悪用（Living off the land）、アイデンティティを起点とした横展開、クラウドやSaaSをまたぐ攻撃においては、個々のイベント単体では異常性が低く見えることが少なくありません。それらを因果関係でつないだとき、初めて攻撃の意図と全体像が浮かび上がります。Attack Flowは、この「点を線にする」ための共通言語なのです。

3. Attack Flowの構成要素

Attack Flowは、脅威情報を機械可読なJSON形式で表現する業界標準であるSTIX 2.1（Structured Threat Information Expression）の拡張として定義されています。つまり、Attack Flowで記述した攻撃プロセスは人が見る「図」であると同時に、ツール間・組織間で交換・比較・再利用できる「データ」でもあります。攻撃の流れがフリーフォーマットの文章やスライドでしか表現できない、という従来の課題に対する直接の回答がここにあります。

フローを構成する主要なオブジェクトは次の4つです³。

Action（アクション）は、攻撃者が実行する個別の行動を表します。多くの場合、ATT&CKのテクニックやサブテクニックと紐付けられ、フローの背骨となります。なお、ATT&CK以外の分類体系や独自定義の行動も記述できる柔軟性を備えています。

Asset（アセット）は、攻撃行為の対象や依存先を表します。サーバー、端末、認証情報、クラウドアカウントといった技術的資産に限らず、人や業務プロセス、物理システムも扱えます。Assetを明示することで、攻撃が「どの対象に依存し、どの対象の状態を変化させたのか」を表現できます。

Condition（コンディション）は、攻撃の前提条件や分岐点を表します。あるActionが成功すれば次へ進み、失敗すれば別の手段を試す、といった攻撃者の意思決定を記述するための要素です。

Operator（オペレーター）は、複数の攻撃経路を論理的に接続します。複数の前提が全て満たされた場合に進む「AND」、いずれかが成功すれば進む「OR」を表現でき、単純な一本道ではない複数経路の攻撃シナリオを記述できます（図表2）。

図表2：Attack Flowの主要オブジェクトの例

これらに加えて理解しておきたいのが Effect（エフェクト）という概念です。Effectは独立したオブジェクトではなく、ActionやOperatorの「結果」として生じる状態変化——認証情報を得た、コード実行に成功した、外部通信経路を確立したものを指します。Attack Flowにおいてアクション間を結ぶ矢印は、単なる時系列の前後関係ではありません。「先行するActionが成功し、その結果（Effect）が後続のActionの前提条件を作り出した」という依存関係を意味します。「Aの次にBが起きた」ではなく「Aの結果としてXという状態が生じ、Xを前提としてBが可能になった」と説明できる点こそが、Attack Flowの本質的な特徴です。

4. Attack Flowが拓く実務上の活用可能性

Attack Flowの実務での活用例は、図表3のとおり大きく4つあります。まず活用できる場面は、脅威分析した結果の構造化と組織内での共有です。脅威レポートやインシデント報告では攻撃の経緯を文章で説明することが一般的ですが、これでは、どの行為が次の行為を可能にし、どこで分岐が生じたのかを読み手が理解しながら構造化しなければなりません。Attack Flowを用いれば攻撃プロセスを共通形式で記述でき、アナリスト間の解釈のばらつきを抑えることができます。攻撃プロセスに関する理解を個人の知見にとどめず、組織内で共有・蓄積しやすくなります。

次の活用場面は、検知シナリオの設計です。個々のテクニックを単独で検知するだけでは、正規ツールの悪用のように、単体では悪意の判定が難しい活動を十分に捉えられません。Attack Flowで攻撃の前後関係と成功条件を整理すれば、「どの段階で検知すべきか」「どのログを相関させるべきか」を検討しやすくなります。さらに、複数の攻撃経路が収束する地点、すなわち単一の対策で複数経路を同時に遮断できる「チョークポイント」を特定し、セキュリティ対策投資の優先順位付けに生かすこともできます。

脅威ハンティングにおいては、仮説構築を体系化する上でも有効です。観測された一部の行動を起点に、フロー上で次に起こり得るActionを整理することで、横展開、権限昇格、クラウド環境へのアクセスといった未観測の行動を、ハンティングで検証すべき仮説として整理できます。

最後に、レッドチーム演習では、シナリオ設計と事後評価の双方で活用できます。Attack Flowは分岐や代替経路を表現できるため、現実の攻撃に近い複数経路を持つ演習シナリオの設計に適しています。演習後に、想定したフローと実際に成功したフローを突き合わせることで、防御側の検知・対応能力をより具体的に評価できます。

これらはいずれも、MITREの公式ガイド⁴およびフレームワークの設計思想に沿った活用の方向性です。

図表3：Attack Flowの活用例

5. 導入する際の留意点

Attack Flowは有用なフレームワークですが、これは全ての分析において過度に詳細なフローを作成すべきという意味ではありません。公開レポートに基づく分析では、資産情報や時系列が十分に得られない場合もあります。その際は推定と事実を明確に区別し、情報の粒度に応じたフローを作成することが重要です。

また、Attack Flowの価値は見栄えの良い図を作ること自体にはありません。どの攻撃経路が最も現実的か、どの段階で検知できれば被害を抑えられるか、どの資産や認証情報が攻撃のボトルネックか——こうした防御上の意思決定に分析を接続することが、Attack Flowの本質的な価値です。

6. まとめ：Attack Flowを始める

Attack Flowを始める最も手軽な方法は、CTIDが公開するGUIツール「Attack Flow Builder」⁵です。ブラウザ上でドラッグ&ドロップによりフローを構築でき、作成したフローは再編集可読な.afb形式の他、STIX（.json）や画像（.png）形式への出力に対応しています。また、開発者向けのAttack Flow Libraryを使えば、GraphVizやMermaid形式への変換、ATT&CK Navigatorへのオーバーレイ表示も可能です。

学習の出発点としては、公式サイトに公開されている事例集（Example Flows）が有用です。著名なインシデントやランサムウェアを題材とした40件ほどのフローが公開されており、実例から記述の勘所を学べます。Attack FlowプロジェクトはApache 2.0ライセンスの下、無償で利用できます。まずは自組織で分析済みのインシデントや公開レポートを題材に、小さなフローを一つ描き起こしてみることをお勧めします。

次回は、本稿で解説したフレームワークを踏まえ、PwCの脅威インテリジェンスチームが実際の分析業務でAttack Flowをどのように活用しているかを、具体的な事例とともにご紹介します。攻撃を「点」から「線」へ——ATT&CK活用を次の段階へ進める第一歩として、Attack Flowは有力な選択肢となるはずです。

¹ MITRE CTID, “Vizualize, Understand, and Share with Attack Flow 3”, 8 Jul 2025,
https://ctid.mitre.org/blog/2025/07/08/mitre-ctid-releases-attack-flow-version-3/ （last accessed 16 Jun 2026）.

² MITRE CTID, “Attack Flow v3.2.0”, 2025,
https://center-for-threat-informed-defense.github.io/attack-flow/ （last accessed 16 Jun 2026）.

³ MITRE CTID, “Attack Flow v3.2.0: Introduction”, 2025,
https://center-for-threat-informed-defense.github.io/attack-flow/introduction/ （last accessed 16 Jun 2026）.

⁴ MITRE CTID, “Attack Flow v3.2.0: Usage Guides”, 2025,
https://center-for-threat-informed-defense.github.io/attack-flow/usage_guides/ （last accessed 16 Jun 2026）.

⁵ MITRE CTID, “Attack Flow Builder Version 3.2.0”,
https://center-for-threat-informed-defense.github.io/attack-flow/ui/ （last accessed 16 Jun 2026）.

⁶ MITRE CTID, “Attack Flow v3.2.0: Example Flows”,
https://center-for-threat-informed-defense.github.io/attack-flow/example_flows/ （last accessed 16 Jun 2026）.