「高度化・複雑化するサイバー攻撃にどう対抗すればいいのかわからない」
「攻撃者の行動プロセスを理解して、効率的な防衛策を打ちたい」
標的型攻撃やランサムウェアなどの深刻なサイバー脅威に直面する中で、このようなお悩みを抱えるIT・情シス担当者様も多いのではないでしょうか。
サイバー攻撃を防ぐためには、相手の「一連の攻撃手順」を把握し、どの段階で防御線を張るべきかを戦略的に考えることが不可欠です。
そのための代表的なフレームワークが「サイバーキルチェーン（Cyber Kill Chain）」です。
本記事では、IT・情シス担当者様向けに、サイバーキルチェーンの基本概念から7つの攻撃フェーズ、各段階で企業が取るべき対策、そして記事を活用した効果的な防衛戦略をわかりやすく解説します。
1. サイバーキルチェーンとは？
サイバーキルチェーン（Cyber Kill Chain）とは、「サイバー攻撃者が標的となる組織へ侵入し、目的（データ奪取や破壊活動など）を達成するまでの一連の行動プロセスを構造化したフレームワーク」です。
もともとは軍事用語の「キルチェーン（標的の発見・補足から攻撃・破壊に至る軍事行動の連鎖）」に由来しており、2011年に米国の防衛大手ロッキード・マーティン（Lockheed Martin）社がサイバーセキュリティの領域に応用・提唱しました。
サイバー攻撃は、ある日突然単発で完結するものではなく、「事前準備」から「侵入」「目的遂行」へと段階を踏んで実行されます。
攻撃を構造化して捉えることで、「7つのチェーン（連鎖）のどこか1つでも遮断できれば、最終的な被害（攻撃の成功）を防ぐことができる」という防御側の戦略指針となる点が大きな特徴です。
2. サイバーキルチェーンの「7つの攻撃段階（フェーズ）」
ロッキード・マーティン社が提唱する標準的なサイバーキルチェーンは、以下の7つのフェーズで構成されています。崩れる図表は使用せず、文章形式でステップ順に整理します。
- 1. 偵察（Reconnaissance）
- 攻撃対象の企業・組織に関する情報（ドメイン情報、公開サーバーの脆弱性、社員のSNSやメールアドレスなど）を収集し、侵入の足がかりを探す準備段階です。
- 2. 武器化（Weaponization）
- 検出した脆弱性を突く攻撃コード（エクスプロイト）と、マルウェア（遠隔操作ツールなど）を組み合わせ、不正なファイルやメールなどの「攻撃ツール（武器）」を作成します。
- 3. 配信（Delivery）
- 作成した武器（攻撃ツール）を標的へ送信・設置します。代表的な手法として、標的型攻撃メールの送信や、改ざんされたWebサイトへの誘導などが挙げられます。
- 4. 攻撃（Exploitation）
- 標的ユーザーがメールの添付ファイルを開く、あるいは悪意あるリンクをクリックすることで攻撃コードが実行され、OSやアプリの脆弱性が突かれます。
- 5. インストール（Installation）
- 脆弱性の突破に成功した後、標的のPCやサーバー内部にマルウェア（バックドアやトロイの木馬など）を常駐・インストールさせます。
- 6. 遠隔制御（C2：Command and Control）
- インストールされたマルウェアが、攻撃者の所有する外部の「C2サーバー（命令・制御サーバー）」と秘密裏に通信を確立し、外部からの遠隔操作が可能な状態を作ります。
- 7. 目的の実行（Actions on Objectives）
- 攻撃者が遠隔操作によって社内ネットワーク内を横展開（ラテラルムーブメント）し、機密データの窃取、データの暗号化（ランサムウェア攻撃）、システムの破壊といった「最終目的」を実行します。
3. サイバーキルチェーンに基づいた段階別セキュリティ対策
サイバーキルチェーンの最大のメリットは、各段階に応じた「多層防御（Defense in Depth）」の対策を講じられる点です。
企業が準備すべき代表的な対策を整理します。
事前防衛策（段階1〜3への対策：侵入させない）
- 脆弱性管理とパッチ適用（段階1〜2）
- 公開サーバーや社内PCのOS・ソフトウェアを常に最新化し、攻撃の足がかりとなる脆弱性を塞ぎます。
- メール・Webセキュリティの強化（段階3）
- 危険なメールを検知・隔離するフィルタリングツールや、悪意あるWebサイトへのアクセスをブロックするSWG（Secure Web Gateway）を導入します。
侵入阻止・検知策（段階4〜6への対策：発動・定着させない）
- EDR（Endpoint Detection and Response）の導入（段階4〜5）
- 端末（エンドポイント）上の不審な挙動やマルウェアのインストール・実行をリアルタイムで検知・隔離します。
- C2通信の遮断・ネットワーク分離（段階6）
- ファイアウォールやプロキシサーバーで外部の悪質なIP・ドメインとの異常な通信を検知・遮断します。
被害極小化策（段階7への対策：目的を果たさせない）
- アクセス権限の最小化とゼロトラスト化（段階7）
- ネットワークのセグメンテーション（分離）や適切なアクセス権限設定を行い、侵入されても社内を自由に横展開できない構造を作ります。
4. 企業がサイバーキルチェーンを活用する際の実務手順
自社の防衛体制を見直し、サイバーキルチェーンを実務に落とし込むための標準的なステップをご紹介します。
1.1. 既存の防衛策を7つのフェーズに当てはめる:現状マッピング。
自社が現在導入しているセキュリティ製品やルールが、キルチェーンのどの段階に対応しているかを可視化します（例：メールフィルタ＝配送フェーズ、EDR＝インストールフェーズなど）。
2.2. 単一障害点（防御の「抜け穴」）の特定:ギャップ分析。
マッピング結果から、「特定のフェーズを破られたら一気に目的実行まで行かれてしまう」といった防御の弱点や盲点（ギャップ）を洗い出します。
3.3. 弱いフェーズへの重点投資と検知体制の確立:対策強化。
特定した弱点フェーズ（例：C2通信の検知が弱い、脆弱性管理が不十分など）に対して、補強するためのセキュリティソリューション導入や運用ルールの見直しを実施します。
5. よくある質問（FAQ）
Q1. サイバーキルチェーンと「ATT&CK（アタック）」の違いは何ですか？
A1. 抽象度の高さと網羅性が異なります。
サイバーキルチェーン（Lockheed Martin社）が攻撃の全体像を7つの大まかなフェーズで捉えるのに対し、MITRE社が提供する「MITRE ATT&CK（マイター・アタック）」は、攻撃者が使う具体的かつ詳細な攻撃手法（テクニック）を網羅したナレッジベースです。
概要把握にはキルチェーン、具体的な技術対策・分析にはATT&CKという使い分けが一般的です。
Q2. クラウド環境でもサイバーキルチェーンは有効ですか？
A2. 考え方として非常に有効ですが、プロセスの見直しが必要です。
SaaSやIaaSなどのクラウド環境では、フィッシングによるID/パスワードの奪取や設定ミス（公開ストレージ等）から一気に「目的の実行」へ到達するケースもあります。
そのため、クラウド環境では特に「ID管理（IAM）」や「設定監査（CASB/CSPM）」などの対策フェーズを重視してフレームワークを適用することが推奨されます。
まとめ：連鎖をどこかで断ち切り、組織の安全を守ろう
サイバーキルチェーンは、攻撃者の行動プロセスを構造化し、自社のセキュリティ対策の「抜け・漏れ」を発見するための強力なガイドラインです。
- 攻撃者の行動を「偵察」から「目的の実行」までの7段階に分けて整理する考え方。
- 7つの連鎖のうち、いずれか1つの段階で攻撃を遮断できれば被害を防ぐことが可能。
- 自社の防御策を各フェーズにマッピングし、バランスの取れた「多層防御」を構築することが重要。
単一の製品に依存するのではなく、攻撃の連鎖をどのポイントで食い止めるかを多角的に計画し、安全なセキュリティ基盤を整えていきましょう。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
