正解：ウ
各選択肢の解説
ア米国国立標準技術研究所（NIST）
誤り。NISTは米国の政府機関で、サイバーセキュリティフレームワーク（CSF）や SP 800シリーズなどの指針、脆弱性データベースのNVDで知られます。同じ米国で よく名前が並ぶため混同しますが、ATT&CKを作っているのはNISTではありません。
イFIRST（Forum of Incident Response and Security Teams）
誤り。FIRSTは世界のCSIRTが加盟する国際的なフォーラムで、インシデント対応チーム どうしの協力の場です。脆弱性の深刻度を表すCVSSを管理していることでも知られますが、 攻撃手口のナレッジベースを作る組織ではありません。
ウMITRE
正解。MITREは米国の非営利組織で、ATT&CKを開発・公開しています。脆弱性の 識別番号であるCVEの運営に携わっていることでも知られます。
エCRYPTREC
誤り。CRYPTRECは日本の暗号技術の評価を行うプロジェクトで、電子政府推奨暗号リストを 作成しています。対象は暗号の安全性で、攻撃者の侵入後の手口を整理するものではありません。
理解を深めるために
「誰が何を出しているか」で覚える
セキュリティの現場では、組織の名前より先に、その組織が出している成果物の名前に出会います。 ATT&CK、CVSS、CSF、電子政府推奨暗号リスト。それぞれをどの組織が作っているかを 結び付けておくと、資料を読むときに「これは何のための情報か」がすぐ分かります。
ATT&CKは何に使うのか
ATT&CKは、実際の攻撃で観測された攻撃者の行動を、戦術（何を達成したいか）と 技術（どうやって達成するか）に分けて整理したものです。
- 偵察、初期アクセス、権限昇格、横展開などの戦術ごとに、具体的な技術が並ぶ
- 自社の検知ルールや対策を当てはめると、どの手口に穴があるかが見える
- 開発・公開しているのは米国の非営利組織 MITRE で、MITREはCVEの運営にも携わっている
この場面のように、SOCが検知の網羅性を点検するときの物差しとして使われます。
混同しやすいものとの違い
| 組織 | 代表的な成果物 |
|---|---|
| MITRE | ATT&CK（攻撃手口の体系）、CVE（脆弱性の識別番号） |
| NIST（米国国立標準技術研究所） | CSF、SP 800シリーズ、NVD |
| FIRST | CSIRTの国際的な協力の場、CVSS |
| CRYPTREC | 電子政府推奨暗号リスト |
MITREとNISTはどちらも米国で、脆弱性情報の周辺に名前が出るので取り違えやすい組織です。 攻撃者の手口ならMITRE、組織の対策の枠組みや指針ならNIST、と成果物の中身で見分けてください。