ITパスポート 2022年 問69

サイバーキルチェーンの説明として、適切なものはどれか。【ITパスポート 解説】

正解の理由

• 偵察（reconnaissance）：攻撃前に対象の情報を集めること。
• コマンド＆コントロール（Command and Control）：攻撃者が侵入した端末に命令を送る仕組み。

解法ステップ

1. 問題文のキーワードを確認：「攻撃段階」「偵察」「フェーズ」などがあるか。あればキルチェーンの説明を疑う。
2. 各選択肢の主題を判別：ネットワーク接続方式、分散台帳技術（ブロックチェーン）、迷惑メールの挙動など。
3. キーワードが「攻撃の段階」「フェーズ」に合致する選択肢を選ぶ。その他は別分野の説明なので除外する。
4. 迷いがある場合は「chain（チェーン）」という語だけで判断しない。文脈（攻撃の段階か、接続方式か）を見る。

選択肢別の誤答解説

• ア：正しい。攻撃のライフサイクルを複数のフェーズに分けたモデルで、防御やインシデント対応を考えるための枠組みです。
• イ：誤り。ハブやスイッチはネットワーク機器（ハブ：受信した信号をそのまま全ポートに送る装置、スイッチ：宛先を見て転送する装置）ですが、「数珠つなぎに接続していく接続方式」の説明は一般に「デイジーチェーン（daisy chaining：機器を直列に接続する方式）」を指します。サイバーキルチェーンとは無関係です。
• ウ：誤り。ブロックチェーン（blockchain：分散管理台帳技術）は、取引記録をブロック単位でつなげる技術です。「チェーン」は共通語ですが、対象は「台帳（取引記録）」であり攻撃フェーズのモデルではありません。
• エ：誤り。本文中の転送を促す迷惑メールが次々と転送されるのは「チェーンメール」や「スパム」に近い説明です。これもキルチェーンとは別概念です。

よくある誤解

1. 「チェーンという語があるからブロックチェーンと同じだ」と混同する。本質は全く別で、ブロックチェーンは台帳管理、キルチェーンは攻撃の段階モデルです。
2. 「キルチェーンは攻撃が必ずこの順で進む教科書通りの手順だ」と思う。実際の攻撃では順序や省略、並行処理があり得ます。モデルは理解と対策のための枠組みです。
3. 「キルチェーンは攻撃者だけが使う用語だ」と考えるのはもったいない。防御側（検知・対策）でも有用な考え方です。

補足コラム

• 起源と用途：サイバーキルチェーンは元々軍事的なコンセプトを踏まえ、Lockheed Martin（ロッキード・マーティン）などが電子戦や情報戦を説明するために使い始めたと言われます。現在はサイバーセキュリティの教育やインシデント対応で広く使われます。
• 実務での使い方：各フェーズごとに「どう検知するか」「どこで阻止できるか」を考えます。たとえば偵察段階なら外部からのスキャン検出、配送段階ならメールフィルタと添付ファイルの検査、C2段階なら異常な外部通信の検出、といった対策が考えられます。
• 他のモデルとの違い：MITRE ATT&CK（攻撃手法を体系化したフレームワーク）など、より詳細な技術や手口を列挙する資料もあり、キルチェーンはより大きな流れを示す「段階モデル」と考えると分かりやすいです。

FAQ