APTによる政府・組織侵入とは？攻撃の流れ・兆候・確認方法・初動対応を実務向けに解説

政府機関や企業へのサイバー攻撃では、侵入した端末をすぐに破壊せず、長期間潜伏して機密情報を収集する攻撃があります。

このような攻撃は、APTと呼ばれます。

APTは、特別なマルウェアだけを指す言葉ではありません。標的型メール、公開サーバーの脆弱性、VPN、盗まれたアカウントなどを組み合わせ、組織内へ継続的に侵入する一連の活動です。

本記事では、APTによる侵入の流れ、狙われやすい組織、確認すべきログ、初動対応、WAF・IPS・EDRを含む再発防止策を解説します。

結論・要点

APTへの対策では、入口となった端末だけを駆除しても不十分です。

重要なポイントは次のとおりです。

• APTは、長期間の潜伏と継続的な情報収集を目的とする攻撃活動である

• 標的型メールだけでなく、VPN、公開サーバー、クラウドアカウントも侵入口になる

• 正規アカウントを悪用されると、通常操作との区別が難しくなる

• 1台のマルウェア感染ではなく、ID・端末・サーバー・クラウドを横断して調査する

• 初動では、影響範囲の確認、証拠保全、隔離、認証情報の封じ込めを並行する

• WAF、IPS、EDRは有効だが、単独ではAPTを完全に防げない

• 集約ログ、フィッシング耐性MFA、ネットワーク分離、対応訓練が重要になる

JPCERT/CCは、APTでは長期間にわたって攻撃者が活動していても兆候を検出できなかった事例や、ログ不足によって侵入時期や攻撃手口を特定できなかった事例を報告しています。

この記事で分かること

• APTと一般的なマルウェア感染の違い

• 政府機関や組織が狙われる理由

• APTが内部へ侵入する流れ

• 侵入を疑うべき兆候

• Windows・Linuxでの確認方法

• インシデント発生時の初動対応

• WAF・IPS・EDRの推奨設定

• APTの再発を防ぐ組織的な対策

対象読者・前提環境

この記事は、次の担当者を対象としています。

• 政府機関、自治体、企業の情報システム担当者

• CSIRT、SOC、セキュリティ運用担当者

• Windows、Linux、Active Directoryの管理者

• クラウド、VPN、リモートアクセスの管理者

• 委託先や顧客環境を管理するMSP・SIer

• APTや標的型攻撃を学びたい人

製品固有の手順ではなく、一般的な組織環境を前提としています。

APTとは何か

APTは「Advanced Persistent Threat」の略称です。

簡単に表すと、建物へ侵入してすぐに物を盗むのではなく、合鍵や隠し通路を作り、長期間にわたって内部を調査する攻撃です。

Advanced：複数の手段を組み合わせる

攻撃者は、マルウェアだけを使用するとは限りません。

フィッシング、脆弱性、盗んだパスワード、正規の管理ツール、クラウドサービスなどを組み合わせます。

Persistent：侵入状態を維持する

Persistentは「持続的」という意味です。

攻撃者は、端末の再起動やパスワード変更が行われても侵入を継続できるように、複数のアカウントや自動実行設定を残すことがあります。

MITRE ATT&CKでは、再起動や認証情報の変更後もアクセスを維持する活動を「Persistence」と整理しています。

Threat：目的と能力を持つ攻撃者

APTは、単一のウイルス名ではありません。

特定の目的、資金、技術、運用能力を持つ攻撃者や、その攻撃活動を表します。

国家の支援が疑われる攻撃グループに使われることが多い言葉ですが、APTという名称だけで国家関与が確定するわけではありません。

政府機関や組織が狙われる理由

APTの目的は、金銭だけとは限りません。

主な目的には次のものがあります。

政府機関や重要インフラだけが対象になるわけではありません。

研究機関、大学、通信事業者、ITベンダー、委託先、MSPなどが、最終標的へ侵入するための経由地点として狙われる場合もあります。JPCERT/CCも、侵害された環境が他組織への攻撃の踏み台として利用される可能性を説明しています。

APTによる侵入の全体像

APTの活動は、次のように進みます。

flowchart LR
    A[標的の調査] --> B[初期侵入]
    B --> C[コード実行]
    C --> D[永続化]
    D --> E[認証情報の窃取]
    E --> F[内部環境の調査]
    F --> G[横展開]
    G --> H[情報収集]
    H --> I[C2通信]
    I --> J[情報持ち出し]
    J --> K[妨害・破壊・再侵入]

MITRE ATT&CKは、実際に観測された攻撃者の戦術と技術を整理した知識ベースです。初期侵入には、標的型フィッシングや公開Webサーバーの脆弱性悪用などが含まれます。

ただし、すべての攻撃が図の順番どおりに進むわけではありません。

攻撃者は複数の工程を並行したり、侵入経路へ戻ったりします。

初期侵入で使われる主な方法

標的型メールとフィッシング

攻撃者は、取引先、上司、採用担当者、行政機関などを装います。

メール本文のURL、添付ファイル、クラウド共有リンク、電話連絡を組み合わせることもあります。

MITRE ATT&CKでは、信頼できる送信者を装う手法や、電話で不正なURLや遠隔管理ツールの導入へ誘導する手法もPhishingとして整理されています。

公開サーバーの脆弱性

次のようなインターネット公開機器が狙われます。

• VPN装置

• ファイアウォール

• Webメール

• ファイル転送製品

• CMS

• 管理画面

• 仮想化基盤

• ネットワーク機器

公開アプリケーションの脆弱性悪用は、MITRE ATT&CKのInitial Accessに含まれる代表的な手法です。

盗まれた正規アカウント

攻撃者は、不正プログラムを使わずに正規アカウントでログインすることがあります。

対象には次のアカウントが含まれます。

• VPNアカウント

• メールアカウント

• Active Directoryアカウント

• クラウド管理者

• サービスアカウント

• APIキー

• SSH秘密鍵

正規アカウントは、本来許可された方法でシステムへアクセスします。そのため、単純なマルウェア検知だけでは発見が難しくなります。

外部リモート接続

VPN、RDP、SSH、Citrixなどの外部接続サービスも侵入口になります。

侵害された認証情報が残っていると、マルウェアを削除した後に再侵入される可能性があります。MITRE ATT&CKは、外部公開されたリモートサービスを初期侵入と永続化の両方に利用できる手法として整理しています。

委託先やMSPを経由した侵入

保守会社やMSPは、多数の顧客環境へ接続できる場合があります。

攻撃者にとっては、1社を侵害することで複数の組織へ到達できる可能性があります。

CISAなどの共同ガイダンスでは、MSP環境について、脆弱な機器、インターネット公開サービス、パスワード攻撃、フィッシングへの対策が推奨されています。

侵入後に何が起きるのか

永続化

攻撃者は、侵入経路を複数残そうとします。

代表例は次のとおりです。

• 新しいユーザーの作成

• 管理者権限の追加

• スケジュールタスク

• systemdサービス

• スタートアップ登録

• Webシェル

• OAuthアプリの追加

• APIキーやクラウド認証情報の発行

認証情報の窃取

攻撃者は、より強い権限を持つアカウントを探します。

一般利用者の端末から、サーバー管理者、ドメイン管理者、クラウド管理者へ権限を広げることがあります。

内部調査と横展開

攻撃者は、組織内の構成を調べます。

侵入端末
   │
   ├─ ファイルサーバー
   ├─ Active Directory
   ├─ バックアップサーバー
   ├─ 仮想化基盤
   ├─ クラウド管理画面
   └─ 他部門・委託先ネットワーク

JPCERT/CCは、外部公開機器の脆弱性や設定不備から侵入され、最終的にActive Directoryの管理者権限を侵害される事例が増えていると説明しています。

情報収集と持ち出し

攻撃者は、ファイルをすぐに持ち出すとは限りません。

複数の情報を圧縮し、通常のHTTPS通信やクラウドストレージを利用して、少量ずつ送信する場合があります。

APT侵入を疑うべき兆候

次の兆候が一つ見つかっただけで、APTと断定することはできません。

複数のログを時系列で関連付けることが重要です。

JPCERT/CCは、必要なログが存在しない、または保持期間が短いため、侵入の全容を解明できなかった事例を報告しています。

Windowsで認証ログを確認する

目的

成功ログオン、失敗ログオン、特権付きログオンを確認します。

実行場所

調査対象のWindows端末またはログ収集サーバーで、管理者権限のPowerShellを使用します。

$start = (Get-Date).AddDays(-7)

Get-WinEvent -FilterHashtable @{
    LogName  = 'Security'
    Id       = 4624, 4625, 4672
    StartTime = $start
} -ErrorAction Stop |
Select-Object TimeCreated, Id, ProviderName, Message

イベントの意味は次のとおりです。

正常例

• 登録済み利用者による勤務時間内のログオン

• 承認済みVPNや管理端末からの接続

• 定期バッチ用サービスアカウントの予定された実行

異常例

• 多数の4625の直後に4624が発生する

• 通常使用しない端末から管理者がログオンする

• 深夜に4672が発生する

• 退職済み利用者のアカウントが使用される

イベントが記録されていない場合でも、安全とは限りません。

監査ポリシーが無効、ログが上書き済み、収集対象外という可能性があります。Windowsログを使った初動調査については、JPCERT/CCも実践的な教材を公開しています。

LinuxでSSHログを確認する

目的

SSHの成功・失敗ログインと接続元を確認します。

実行場所

対象のLinuxサーバーで、sudo権限を持つアカウントから実行します。

sudo journalctl -u sshd --since "7 days ago" --no-pager

Ubuntuなどでサービス名がsshの場合は、次を使用します。

sudo journalctl -u ssh --since "7 days ago" --no-pager

最近のログイン履歴も確認します。

last -ai | head -50

正常例

• 管理台帳に登録された接続元IP

• 踏み台サーバーからの管理接続

• 予定された保守時間内のログイン

異常例

• 知らないIPアドレスからのログイン成功

• 使用していないアカウントによる接続

• 短時間に多数の失敗が発生した後の成功

• 通常と異なる時間帯のrootログイン

判断方法

接続元IPだけで判断せず、VPNログ、踏み台ログ、操作履歴、変更管理記録と照合します。

Windowsのスケジュールタスクを確認する

目的

不審な自動実行設定が追加されていないか確認します。

schtasks /query /fo LIST /v

正常例

• OSや導入済み製品による署名済みプログラム

• 運用台帳に登録されたバッチ処理

• 変更申請と一致する作成日時

異常例

• 一時フォルダから実行されるプログラム

• 意味のないランダムなタスク名

• PowerShellやスクリプトを不明な引数で実行するタスク

• 利用者のログオン時に外部通信を開始するタスク

不明なタスクを発見しても、すぐに削除しないでください。

設定内容、作成日時、実行ファイル、ハッシュ値を記録してから対応します。

Linuxの永続化設定を確認する

目的

新しく追加されたサービスや実行ファイルを確認します。

sudo systemctl list-unit-files --state=enabled

直近14日間に更新された設定も確認します。

sudo find /etc/systemd/system /usr/local/bin /opt \
  -type f -mtime -14 -ls

正常例

• パッチ適用やデプロイ記録と一致する変更

• 既知の監視・バックアップ・業務サービス

異常例

• 変更申請のない新規サービス

• /tmpや利用者ディレクトリの不明な実行ファイル

• 外部IPへ接続する未知のプログラム

• OS標準サービスに似せた名前

削除前にファイル、設定、タイムスタンプ、ハッシュを保全します。

クラウドとID基盤で確認する項目

クラウド環境では、端末にマルウェアが存在しない場合があります。

攻撃者が盗んだ認証情報だけで操作している可能性があるためです。

次のログを確認します。

• サインインログ

• 管理操作ログ

• API操作履歴

• MFAの登録・削除

• OAuthアプリやサービスプリンシパルの追加

• アクセスキーの発行

• 権限・ロールの変更

• 監査ログ設定の変更

• メール転送ルール

• 共有設定の変更

クラウドアカウントは、フィッシングや認証情報窃取によって侵害され、追加の認証情報を作成して永続化に使われる可能性があります。

APT侵入が疑われる場合の初動対応

1. インシデント対応体制を立ち上げる

最初に、対応責任者と記録担当者を決めます。

連絡対象には次の部門が含まれます。

• CSIRT・SOC

• システム管理者

• 経営層

• 法務・コンプライアンス

• 広報

• 個人情報保護担当

• 委託先・クラウド事業者

• 外部インシデント対応会社

NIST SP 800-61 Rev.3は、インシデント対応を単発の技術作業ではなく、組織全体のサイバーリスク管理へ組み込むことを推奨しています。

2. 証拠を保全する

次の情報を保存します。

• メモリ情報

• Windowsイベントログ

• Linuxジャーナル

• EDRアラート

• ファイアウォールログ

• VPNログ

• DNSログ

• クラウド監査ログ

• 設定ファイル

• 不審ファイル

• 通信キャプチャ

• 対応作業の記録

CISAは、揮発しやすいメモリ情報やWindows Securityログ、ファイアウォールのバッファなどを早期に保全するよう案内しています。

3. 影響を受けたシステムを隔離する

不審端末やサーバーは、攻撃者との通信や横展開を止めるために隔離します。

ただし、組織全体の機器を無計画に停止してはいけません。

重要システムを一斉停止すると、業務継続や安全性へ影響する可能性があります。

基本的には、次の順番で検討します。

EDRによるネットワーク隔離
        ↓
スイッチ・VLAN・FWで通信制限
        ↓
不審アカウントの一時停止
        ↓
外部通信・リモート接続の制限
        ↓
必要に応じてシステム停止

CISAも、影響範囲を確認した上で、侵害されたシステムを速やかに隔離することを推奨しています。

4. 認証情報を封じ込める

侵害された可能性がある認証情報を確認します。

• 利用者パスワード

• 管理者パスワード

• VPN認証情報

• APIキー

• SSH鍵

• クラウドアクセスキー

• セッションCookie

• OAuthトークン

• サービスアカウント

• 証明書

パスワード変更は、感染端末ではなく、安全を確認した管理端末から行います。

パスワードだけでなく、セッション、トークン、APIキー、秘密鍵も失効させます。

5. 被害範囲を調べる

1台で不審なファイルが見つかっても、その端末だけを調べて終了してはいけません。

次の範囲を調査します。

侵入経路
  ↓
最初に侵害されたアカウント
  ↓
ログインした端末・サーバー
  ↓
横展開先
  ↓
アクセスされた情報
  ↓
作成された永続化設定
  ↓
外部へ送信された可能性のあるデータ

6. 侵入経路を閉じる

復旧前に、侵入原因へ対処します。

• 脆弱性を修正する

• 公開不要な管理画面を閉じる

• VPN設定を修正する

• 盗まれた認証情報を失効する

• 不正なOAuthアプリを削除する

• 不正なアカウントや鍵を無効化する

• 委託先接続を見直す

侵入経路を閉じずに復旧すると、攻撃者が再侵入する可能性があります。JPCERT/CCも、復旧前に考えられる侵入原因へ対処する重要性を説明しています。

7. 段階的に復旧する

復旧は一斉に行わず、重要度と安全性を確認しながら進めます。

• 信頼できるイメージから再構築する

• パッチ適用後に接続する

• 新しい認証情報を設定する

• EDRとログ収集を有効化する

• 通信先を制限する

• 監視を強化した状態で業務を再開する

WAF・IPS・EDRの推奨設定

WAF

WAFは、インターネット公開Webアプリケーションへの攻撃を軽減します。

推奨する設定例は次のとおりです。

• 既知の脆弱性に対する仮想パッチ

• パストラバーサルやファイルアップロードの検知

• 管理画面への接続元制限

• ログイン画面のレート制限

• 通常使用しないHTTPメソッドの制限

• リクエストID、URI、送信元、ステータスの記録

• 403だけでなく検知のみのイベントもSIEMへ送信

• 新規ルールは検知モードで誤検知を確認してから遮断

WAFは、盗まれた正規アカウントによるログインや、VPN経由の横展開までは防げません。

WAFをパッチの代わりにしてはいけません。

IPS・NDR

IPSやNDRでは、単一のシグネチャだけでなく、通信の流れを確認します。

推奨する検知項目は次のとおりです。

• 一定間隔で繰り返される外部通信

• 通常使用しない国・ASN・クラウド環境との通信

• サーバーから未知の外部宛先への接続

• 内部端末間のRDP、SMB、SSH、WinRMの増加

• 新しく観測されたドメインへのDNS問い合わせ

• 大量の外向き通信

• 業務時間外の管理プロトコル

• VPNログイン後の複数サーバーへの接続

最初からすべてを自動遮断すると、正規の管理通信を停止する可能性があります。

初期段階では検知・記録を中心にし、確度の高い条件から遮断へ移行します。

EDR

EDRでは、ファイル名ではなく挙動を監視します。

推奨する検知項目は次のとおりです。

• 新しいサービスやスケジュールタスク

• Officeやブラウザからのスクリプト実行

• 不審な遠隔管理ツール

• 認証情報へのアクセス

• セキュリティ製品の停止

• ログ削除

• 除外設定の追加

• 利用者領域から起動する不明なプログラム

• 圧縮ツールによる大量ファイルの処理

• 管理者権限取得後の内部接続

EDRの改ざん防止機能も有効にします。

ただし、EDRが導入されていないVPN装置、ネットワーク機器、SaaS、クラウド管理画面は別途監視が必要です。

SIEM・XDR

SIEMやXDRでは、複数のイベントを時系列で関連付けます。

ログイン失敗の増加
        ↓
未知の接続元からログイン成功
        ↓
管理者権限を取得
        ↓
複数サーバーへ接続
        ↓
大量ファイルを圧縮
        ↓
外部へ大容量通信

CISAは、異なる情報源から収集した大量のログを分析・相関できる、集中ログ管理の実装を推奨しています。

APT侵入を防ぐための優先対策

優先度P0：すぐに実施する対策

• VPN、メール、管理画面へMFAを導入する

• 公開サーバーとVPN装置を更新する

• 不要な外部公開ポートを閉じる

• 退職者・未使用・初期アカウントを無効化する

• 管理者アカウントと通常利用アカウントを分ける

• EDRとクラウド監査ログを有効化する

• ログの時刻同期を確認する

• オフラインまたは変更不能なバックアップを保護する

CISAは、メール、ファイルストレージ、リモートアクセス、管理者アクセスでMFAを使用し、可能な範囲でフィッシング耐性のある方式へ移行することを推奨しています。

優先度P1：1か月以内に進める対策

• インターネット公開資産の棚卸し

• 特権アカウントの棚卸し

• ネットワークセグメントの分離

• 管理通信の踏み台集約

• DNS、Proxy、VPN、EDRログの集中管理

• クラウドAPIキーの有効期限設定

• 委託先接続の権限見直し

• 侵害時の連絡網と判断基準の整備

優先度P2：継続的に行う対策

• インシデント対応訓練

• 復旧訓練

• 脅威ハンティング

• ATT&CKを利用した検知範囲の評価

• ログ保持期間の見直し

• レッドチーム・ペネトレーションテスト

• サプライチェーンリスク評価

• 経営層を含む机上演習

ログ保持期間は、法令、契約、容量、想定する調査期間に応じて決めます。

少なくとも、侵入時期をさかのぼって調査できる期間を確保する必要があります。CISAなどのMSP向け共同ガイダンスでは、重要ログを最低6か月保管することが推奨されています。

動作確認

対処後は、次の項目を確認します。

• 侵入に使用された脆弱性が修正されている

• 不正アカウント、鍵、トークンが無効化されている

• 不審なサービスやタスクが残っていない

• 攻撃者の接続先との通信が発生していない

• 管理者権限の構成が正しい

• EDR、WAF、IPS、監査ログが動作している

• 復旧したシステムから不審な通信がない

• バックアップから正常に復元できる

• 委託先を含む再侵入経路が閉じている

• 監視期間中に同じ兆候が再発していない

IOCが検出されなくなったことだけで、完全に駆除できたとは判断できません。

攻撃者が使用したアカウント、永続化、横展開先まで確認します。

再発防止

APTへの再発防止では、単一製品の導入よりも、防御層を重ねることが重要です。

フィッシング耐性MFA
        ↓
公開資産と脆弱性の管理
        ↓
最小権限・特権管理
        ↓
ネットワーク分離
        ↓
EDR・NDR・WAF
        ↓
集中ログ・SIEM
        ↓
バックアップ・復旧訓練
        ↓
CSIRTによる継続的な改善

JPCERT/CCの調査では、APT被害組織の多くがアンチウイルスやパッチ管理などの基本対策を行っていました。基本対策が不要という意味ではなく、基本対策だけでは長期的な侵入を完全に防げないことを示しています。

注意点・よくある誤解

「APTは必ず高度な未知のマルウェアを使う」は誤り

攻撃者は、正規アカウントや標準管理ツールを使うことがあります。

高度なのは個別ツールではなく、調査、侵入、潜伏、再侵入を継続する運用全体です。

「パスワードを変更すれば終わる」は誤り

セッション、APIキー、OAuthトークン、SSH鍵、サービスアカウントが残っている可能性があります。

「感染端末を初期化すれば解決する」は誤り

別の端末、Active Directory、クラウド、VPN装置に侵入が広がっている可能性があります。

「EDRでアラートがないので安全」は誤り

ログ不足、設定不備、対象外機器、正規アカウントの悪用などにより、アラートが発生しない場合があります。

「APTグループ名が分かれば対処できる」は誤り

同じ攻撃活動に複数の名称が付けられる場合があります。

単一のIPアドレス、マルウェア、言語設定だけで攻撃主体を断定してはいけません。JPCERT/CCも、APTグループやサブグループの分類には情報伝達上の難しさがあると指摘しています。

「WAFやIPSを導入すればパッチは不要」は誤り

WAFやIPSは補助対策です。

製品更新、設定修正、認証情報の失効が正式な対策になります。

まとめ

APTによる政府・組織への侵入は、1台の端末へマルウェアを感染させるだけの攻撃ではありません。

攻撃者は、公開サーバー、VPN、メール、正規アカウント、クラウドを組み合わせます。

侵入後は、永続化、認証情報の窃取、横展開、情報収集を進めます。

APT対策で重要なのは、次の5点です。

1. 公開資産と認証基盤を優先して守る

2. フィッシング耐性MFAを導入する

3. ログを集約し、十分な期間保管する

4. 侵入時は証拠保全と隔離を並行する

5. 端末だけでなく、ID・クラウド・ネットワーク全体を調査する

不審な兆候が見つかった場合は、自己判断でファイルを削除し続けるのではなく、CSIRTやインシデント対応の専門家へ相談してください。

JPCERT/CCは、被害組織だけでなく、調査を支援するセキュリティベンダーや運用会社からの相談も受け付けています。

FAQ

APTと標的型攻撃は同じですか？

厳密には完全に同じとは限りません。

標的型攻撃は、特定の組織や個人を狙う攻撃です。APTは、標的へ継続的に侵入し、長期間活動する脅威や攻撃活動を表します。

中小企業もAPTに狙われますか？

狙われる可能性があります。

大企業や政府機関への接続権限、取引情報、認証情報を持つ企業は、踏み台として狙われることがあります。

ウイルス対策ソフトだけで防げますか？

完全には防げません。

正規アカウント、標準ツール、クラウド操作など、マルウェアを使わない攻撃もあります。

APTを発見する最も重要なログは何ですか？

単一のログだけでは判断できません。

認証、VPN、EDR、DNS、Proxy、ファイアウォール、Active Directory、クラウド監査ログを関連付けて確認します。

不審端末はすぐに電源を切るべきですか？

一律の電源断は推奨できません。

まずネットワーク隔離を検討し、メモリやログなどの揮発情報を保全します。ただし、破壊活動が進行している場合は被害抑止を優先します。

侵入された期間はどのように調べますか？

最も古い不審ログ、アカウント変更、ファイル作成、外部通信、クラウド操作まで時系列をさかのぼります。

ログ保持期間が短い場合、正確な侵入時期を確認できないことがあります。

IPSでAPTを自動遮断できますか？

一部の通信は遮断できますが、APT全体を自動遮断することは困難です。

正規アカウントや暗号化通信、クラウドサービスを悪用する活動には、ID監視、EDR、SIEMとの連携が必要です。

参考情報

• MITRE ATT&CK：攻撃者の戦術・技術を整理した知識ベース。

• JPCERT/CC「高度サイバー攻撃への備えと対応ガイド」。

• JPCERT/CC「高度サイバー攻撃への対処におけるログの活用と分析方法」。

• NIST SP 800-61 Rev.3「Incident Response Recommendations and Considerations」。2025年4月公開。

• CISA「Cross-Sector Cybersecurity Performance Goals」。

• CISAのログ・MFA・ネットワーク強化に関するガイダンス。

出典・最終確認（2026年7月31日）

APT戦術の確認資料

APTという呼称だけで攻撃主体を断定することはできません。観測された戦術・技術・手順を根拠に評価し、組織の対応計画へ落とし込みます。

• MITRE ATT&CK
• NIST SP 800-61 Rev.3