(TTP)はじめにサイバー脅威から組織を守ることは難題です。攻撃者は新たな機会を捉え、検出を回避し、セキュリティチームの一歩先を行くために、攻撃ツールセットや活動を継続的に適応・進化させています。人間のオペレーターによる能動的な標的型攻撃においては、攻撃者が用いる最新のアプローチに防御側の組織が追いつくのは容易ではありません。詳しく説明しています。その目的は、攻撃時に何が実行されるのかを理解し、ネットワーク上のそのようなアクティビティを発見・防御できるように、セキュリティチームを支援することにあります。チームから寄せられたインシデントレポートと考察に基づいています。フレームワークに基づいて分類されています。セキュリティ製品のシグナルを最大限に活用するセキュリティ製品の検出結果は、攻撃の兆候を知る貴重な情報源です。何かがブロックされたからといって、脅威が完全に無力化されたわけではありません。検出されブロックされたとしても、検出されたという事実は、攻撃者がすでにサーバーに侵入しており、検出されない他の手法を試す可能性があることを意味します。ブロックされた脅威に対するアラートであっても、常に調査する価値があります。セキュリティ製品のテレメトリを最大限に活用するには、組織の運用環境を理解する必要があります。管理者やセキュリティ専門家が一般的に使用しているツールを利用するようになっており、不審なアクティビティの特定が難しくなっています。正規ツールが悪用された場合に顕著です。部門の日常業務に必要なものです。つの重要な質問を自問自答する必要があります。これらのユーティリティを全デバイスで実行する必要があるか?その答えに基づいて、そうしたツールの使用に関する例外ポリシーを適切に設定してください。不審な使用を発見しやすくなります。答えが「ノー」であれば、直ちに調査します。初期段階の戦術を検出することは、防御側にとって最も価値があります。攻撃が展開されて被害や混乱が引き起こされる前に検出してブロックできれば、攻撃を無力化して封じ込めることができるからです。したがって、調査のきっかけとなる可能性が最も高い攻撃者の戦術が、攻撃チェーンの初期段階で発生するアクティビティに大きく依存しているのは当然のことと言えます。「初期アクセス」の検出でした。一般的に、戦術はその達成のために用いられる手法によって特定されます。次の表は、詳細な調査のきっかけとなった、アクティブな脅威の兆候であると思われる手法の一覧です。占有率が圧倒的であるため、このリストから除外してあります。手法のほとんどがスクリプトによって達成可能です。この手法によるものでした。件のインシデントに基づいています。標的となっていました。