executing-red-team-engagement-planning

レッドチーム演習計画の実施

概要

レッドチーム演習計画は、攻撃テストを開始する前に、範囲、目標、ルール・オブ・エンゲージメント（ROE）、脅威モデルの選定、運用スケジュールを定める基礎的なフェーズです。適切に構成された演習計画により、レッドチームは意図しない業務の中断を防ぐ安全策を維持しながら、現実的な敵対者の行動をシミュレートできます。

使用するタイミング

• レッドチーム演習計画の実施を含むセキュリティ評価を行う場合
• 関連するセキュリティイベントについてインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査活動を実施する場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• レッドチーム演習の概念とツールに関する知識
• 安全に実施するためのテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動を実施するための適切な承認

目標

• 対象内および対象外の資産、ネットワーク、担当者を含む、明確な演習範囲を定義する
• 緊急停止手順、連絡経路、法的境界を含むルール・オブ・エンゲージメント（ROE）を策定する
• 組織の脅威状況に即した MITRE ATT&CK フレームワークの適切な脅威プロファイルを選定する
• 敵対者の TTP を演習目標に対応付けた詳細な攻撃計画を作成する
• 組織の SOC／ブルーチームとの競合回避手順を策定する
• ステークホルダーの承認を得るための包括的な演習概要を作成する

法的通知： このスキルは、承認を得たセキュリティテストおよび教育目的に限り使用してください。所有していないシステム、またはテストの書面による許可を得ていないシステムに対する無許可の使用は違法であり、コンピューター詐欺に関する法律に違反する可能性があります。

基本概念

演習の種類

種類	説明	範囲
フルスコープ	物理、ソーシャル、サイバーの各ベクトルを用いた、包括的な敵対者シミュレーション	組織全体
侵害前提	初期侵入を起点とし、侵入後の活動に重点を置く	内部ネットワーク
目標ベース	特定の最重要資産（例：ドメイン管理者、PII の窃取）を標的とする	定義済みの標的
パープルチーム	検知能力の向上を目的に、ブルーチームと協力する	特定の制御

ルール・オブ・エンゲージメントの構成要素

1. 範囲の定義：IP 範囲、ドメイン、物理的な場所、担当者
2. 制限事項：触れてはならないシステム／ネットワーク（例：本番データベース、医療機器）
3. 連絡計画：主および予備の連絡経路、エスカレーション手順
4. 緊急時の手順：直ちに中止するための合言葉、インシデント対応の調整
5. 法的承認：署名済みの承認書、物理テスト用の免責書
6. データの取り扱い：テスト中に発見した機密データの取り扱い方法と破棄方法
7. スケジュール：開始日／終了日、作業禁止期間、報告期限

脅威プロファイルの選定

MITRE ATT&CK Navigator を使用して組織の脅威を対応付け、関連する敵対者プロファイルを選定します。

• APT29（Cozy Bear）：スピアフィッシング、サプライチェーンを通じて政府／防衛分野を標的とする
• APT28（Fancy Bear）：政府機関、認証情報の窃取、ゼロデイ攻撃
• FIN7：金融分野、POS マルウェア、ソーシャルエンジニアリング
• Lazarus Group：金融機関、暗号資産取引所、破壊的なマルウェア
• Conti/Royal：ランサムウェア運用者、二重恐喝、RaaS モデル

ワークフロー

フェーズ 1：演習前

1. ステークホルダーとの初回スコープ確認会議を実施する
2. 最重要資産と重要な業務資産を特定する
3. 過去のセキュリティ評価と監査結果を確認する
4. 成功基準と演習目標を定義する
5. ルール・オブ・エンゲージメント文書の草案を作成する

フェーズ 2：脅威モデリング

1. MITRE ATT&CK を使用して、関連する脅威アクターを特定します
2. 脅威アクターの TTP を組織の攻撃対象領域にマッピングします
3. 主要および二次的な攻撃シナリオを選定します
4. 具体的な手法 ID を含む敵対者エミュレーション計画を定義します
5. パープルチームの機会に向けた検知チェックポイントを設定します

フェーズ 3：運用計画

1. 安全な通信チャネル（暗号化メール、Signal など）を設定します
2. レッドチーム向けの運用セキュリティ（OPSEC）ガイドラインを作成します
3. インフラ要件（C2 サーバー、リダイレクター、フィッシング用ドメイン）を定めます
4. 実施可否の判断ポイントを含む段階的な攻撃スケジュールを策定します
5. SOC／IR チームとのデコンフリクションマトリックスを作成します

フェーズ 4：文書化と承認

1. エンゲージメント計画書を作成します
2. 法務顧問に確認してもらいます
3. エグゼクティブスポンサーの署名を取得します
4. レッドチームのオペレーターに ROE と制限事項を説明します
5. 緊急連絡先カードを配布します

ツールとリソース

• MITRE ATT&CK Navigator：脅威アクターの TTP のマッピングと可視化
• VECTR：レッドチームのエンゲージメント追跡およびメトリクスプラットフォーム
• Cobalt Strike / Nighthawk：C2 フレームワークの計画およびインフラ設計
• PlexTrac：レッドチームのレポート作成およびエンゲージメント管理プラットフォーム
• SCYTHE：攻撃計画を作成するための敵対者エミュレーションプラットフォーム

検証基準

• 署名済みのルール・オブ・エンゲージメント文書
• 明確な対象範囲と、範囲内／範囲外の明示的な境界
• MITRE ATT&CK の手法をマッピングした脅威プロファイルの選定
• 緊急停止手順のテストと検証
• すべての関係者への通信計画の配布
• 法的承認の取得と保管
• レッドチームのオペレーターへの ROE の説明と確認

よくある落とし穴

1. スコープの拡大：実施中にテスト対象が承認済みの境界を超えて広がる
2. デコンフリクションの不備：SOC がレッドチームの活動を実際のインシデントとして調査する
3. 法的承認の欠如：適切な署名済みの承認を得ずにテストを実施する
4. 非現実的な脅威モデル：組織に関係のない脅威をシミュレーションする
5. コミュニケーションの不足：エンゲージメント中に関係者との連絡を維持できない

関連スキル

• オープンソースインテリジェンスの収集を実施する
• Atomic Red Team を使用して敵対者シミュレーションを実施する
• 想定侵害型レッドチーム演習を実施する
• リダイレクターを使用してレッドチームインフラを構築する