MITRE ATT&CK タクティクス
MITRE ATT&CK は、実在の攻撃者の行動を整理したオープンな知識ベース。タクティクス（なぜ：各ステップの目的、例「永続化」）とテクニック（どのように：具体的な手法、例「スケジュールタスク」）で構成され、攻撃行動の記述・対応付け・防御に使う共通言語となっている。
構造はこうだ。マトリクスの列がタクティクス（初期アクセス、実行、永続化、権限昇格、防御回避、認証情報アクセス、探索、横展開、収集、C2、持ち出し、影響）で、その下にID付きのテクニック（T1059 = コマンド／スクリプトインタプリタ）と、APTグループが実際に使った例が並ぶ。直線的で大づかみなキルチェーンとは違い、観測された行動に基づく詳細で非線形なカタログである。
用途は、検知したテクニックを既知の TTP に対応付けること、防御の穴（「どのテクニックを検知できていないか」）の洗い出し、脅威ハンティング、レッドチーム／パープルチーム演習など。現代の検知と脅威分析で事実上の標準言語だ。キルチェーンや脅威インテリジェンスとあわせて理解するとよい。