【初心者向け】セキュリティ界隈でよく聞く「MITRE」ってなに？にエンジニアが答えます

「あー、あのマトリックスのやつでしょ？」
「脆弱性のIDのやつ？」

はい、どちらも正解です！
でも、「MITREってなに？」と聞かれると、意外と言葉に詰まってしまったりしませんか？

実はこのMITRE、我々のようなSOC（Security Operation Center）やセキュリティ運用担当者にとっては、**「共通言語」**としてめちゃくちゃ重要な存在なんです。

今回は、今さら聞けない「MITRE」の正体と、なぜそれが運用に必要なのかを、エンジニア視点で解説していきます。

そもそもMITREって何者？

結論から言うと、MITRE（The MITRE Corporation）は、アメリカの非営利組織です。

政府の支援を受けて研究開発を行う組織（FFRDC）を運営していて、セキュリティだけでなく、航空システムや医療など、公共の利益になるような幅広い分野の研究をしています。
つまり、営利企業ではなく、 「世の中を良くするための研究機関」 というイメージが近いです。

セキュリティ業界で有名なのは、彼らが 「サイバー攻撃の情報を標準化・体系化」 してくれているからです。

皆さんが脆弱性情報を見るときに必ず目にする「CVE-2023-XXXX」みたいなIDありますよね？
あの CVE (Common Vulnerabilities and Exposures) を管理・運用しているのも、実はMITREなんです。

「このソフトにバグがあるよ！」という情報を、世界中で同じIDで呼べるようにしてくれているおかげで、私たちは混乱せずに情報を共有できているわけです。

さて、ここからが本題です。
SOCや運用担当者が「MITRE」と言うとき、十中八九この**「MITRE ATT&CK (Adversary Tactics, Techniques, and Common Knowledge)」**のことを指しています。

これは何かというと、 「攻撃者が実際に使う戦術と技術のカタログ」 です。

攻撃者が、

「敵を知り、己を知れば百戦危うからず」という言葉がありますが、ATT&CKはまさに 「敵の手口図鑑」 です。

これがあることで、私たち運用担当者は以下のようなメリットがあります。

攻撃の全体像が見える
単発のアラートだけだと「ウイルスが見つかった」で終わりですが、ATT&CKに当てはめると「これは侵入後の『横展開』のフェーズだな。ということは、すでに初期侵入は許しているかも？」と、攻撃のストーリーを推測できます。
共通言語で話せる
「なんか怪しい動きがありました」ではなく、「ATT&CKのT1059（コマンドラインインターフェース）を使った実行の痕跡があります」と言えば、専門家同士で誤解なく伝わります。
防御の穴が見つかる
「うちの対策製品は、この戦術には強いけど、こっちの戦術には無防備だな」という風に、対策の抜け漏れをチェックするのに使えます。