executing-red-team-exercise

レッドチーム演習の実施

使用する場面

• 現実的な敵対者の作戦を検知、対応、封じ込める組織の能力を評価するとき
• セキュリティオペレーションセンター（SOC）、インシデント対応チーム、脅威ハンティング能力の有効性をテストするとき
• 複数の脆弱性や手法を連鎖させた攻撃をシミュレートして、セキュリティ投資の妥当性を検証するとき
• 特定の脅威アクター（国家主体、ランサムウェアグループ、内部脅威）に対する組織のセキュリティ態勢を評価するとき
• 敵対者シミュレーションに関する規制要件（TIBER-EU、CBEST、AASE、iCAST）を満たすとき

使用しないでください：経営幹部レベルの承認と詳細なルール・オブ・エンゲージメント文書がない場合、安全性や重要な運用に影響を与えるおそれのあるシステムに対して実施する場合、または基本的な脆弱性管理の代わりとして使用する場合（既知の脆弱性を先に修正してください）。

前提条件

• 目的、範囲、対象外システムを明確に定めた、経営幹部レベルの書面による承認
• レッドチームのコマンド・アンド・コントロール（C2）インフラ：ドメインフロンティングまたはリダイレクターを備えたプライマリおよびバックアップのC2チャネル
• OPSECを強化したツールセット（Cobalt Strike、Sliver、Brute Ratel、またはMythic）を備えたオペレーターワークステーション
• 敵対者エミュレーション計画に向けた、対象組織に関係する敵対者グループの脅威インテリジェンス
• 防御担当者に気付かれずに演習の境界を管理する、対象組織内の信頼できるエージェント（ホワイトセル）
• 計画した手法と実行した手法をマッピングするためのMITRE ATT&CKマトリックス

法的通知： このスキルは、承認を受けたセキュリティテストおよび教育目的に限り使用してください。所有していないシステム、またはテストの書面による許可を得ていないシステムに対する無許可の使用は違法であり、コンピューター詐欺関連法に違反する可能性があります。

ワークフロー

ステップ 1：敵対者エミュレーションの計画

現実的な脅威モデルに基づいて作戦計画を策定します。

• 脅威アクターの選定：組織の業界に関係する敵対者グループを選定します。金融サービスではFIN7またはLazarus Groupを、医療ではAPT41またはFIN12をエミュレートします。MITRE ATT&CKを使用して、選定した敵対者の既知のTTPをマッピングします。
• 目標の定義：「コアバンキングシステムから顧客の金融データにアクセスする」や「ドメイン全体にランサムウェアを展開できることを実証する」など、測定可能な目標を定義します。
• 攻撃計画の策定：各フェーズをATT&CKの戦術に対応付けた、段階的な作戦計画を作成します。
  1. 初期アクセス（TA0001）：フィッシング、外部公開アプリケーションの悪用、またはサプライチェーンの侵害
  2. 実行（TA0002）：PowerShell、スクリプト、クライアント実行のためのエクスプロイト
  3. 永続化（TA0003）：スケジュールされたタスク、レジストリの変更、インプラントの展開
  4. 権限昇格（TA0004）：トークンの偽装、権限昇格のためのエクスプロイト
  5. 防御回避（TA0005）：プロセスインジェクション、タイムストンピング、痕跡の削除
  6. 認証情報アクセス（TA0006）：LSASSダンプ、Kerberoasting、認証情報スタッフィング
  7. 横方向の移動（TA0008）：リモートサービス、パス・ザ・ハッシュ、リモートデスクトップ
  8. 収集／持ち出し（TA0009/TA0010）：データのステージング、C2経由の持ち出し
• 調整計画：ホワイトセルがレッドチームの活動と実際の脅威を区別するための手順を確立します

ステップ 2：インフラストラクチャの準備

OPSEC を強化した攻撃インフラストラクチャを構築します。

• C2 インフラストラクチャ：Blue Team の調査トラフィックをフィルタリングするリダイレクターの背後に、プライマリ C2 サーバーをデプロイします。ドメインフロンティングや正規のクラウドサービス（Azure CDN、CloudFront）を使用して、C2 トラフィックを通常の Web トラフィックに紛れ込ませます。
• フィッシングインフラストラクチャ：取得から 30 日以上経過したドメインを登録し、SPF/DKIM/DMARC を設定して、認証情報を窃取するページやペイロードを配信するページを構築します。
• ペイロードの開発：カスタムインプラントを作成するか、次の機能を備えた C2 フレームワークのペイロードを設定します。
  • PowerShell の実行に対する AMSI バイパス
  • セキュリティ製品のテレメトリを回避する ETW パッチ適用
  • メモリスキャンを突破するスリープマスキングとメモリ暗号化
  • 防御回避を目的とした署名済みバイナリのプロキシ実行（rundll32、msbuild、regsvr32）
• ステージングインフラストラクチャ：第 2 段階のペイロード用のファイルホスティング、データ流出用のドロップサーバー、バックアップの通信チャネルを準備します。
• OPSEC の検証：運用を開始する前に、ターゲット環境に導入されているものと同じ EDR/AV 製品に対して、インフラストラクチャ全体をテストします。

ステップ 3：初期アクセス

ターゲット環境への最初の足掛かりを得ます。

• フィッシングキャンペーン：武器化したドキュメントや認証情報を窃取するリンクを含む、標的型スピアフィッシングメールを選定した従業員に送信します。偵察で収集した OSINT に基づく口実を使用します。
• 外部からのエクスプロイト：偵察で特定したインターネット公開アプリケーション（VPN ポータル、Web アプリケーション、メールサーバー）の脆弱性を悪用します。
• 物理アクセス：対象範囲に含まれる場合は、ネットワークインプラント（LAN Turtle、Bash Bunny）を設置するか、USB メディアを設置するために、物理アクセスを試みます。
• サプライチェーン：対象範囲に含まれる場合は、ベンダーまたはサプライヤーとの関係を侵害し、間接的なアクセスを取得します。
• 初期アクセスに成功したら、最初の C2 ビーコンを確立し、C2 サーバーとの通信を確認します。再起動や認証情報の変更後もアクセスを維持できるよう、直ちに複数の手段で永続化を実施します。

ステップ 4：侵害後の活動と目標の達成

ステルス性を維持しながらターゲット環境内で活動します。

• 内部偵察：ドメインを列挙し、価値の高いターゲットを特定して、BloodHound と内部スキャンを使用してネットワークをマッピングします。その際、トラフィックが通常の管理作業に紛れ込むようにします。
• 権限昇格：初期ユーザーからローカル管理者へ、続いてドメイン管理者へと権限を昇格します。検知されにくい手法を優先します（カスタムツールより Kerberoasting や Pass-the-Hash、独自ツールより環境に標準搭載された機能の悪用）。
• ラテラルムーブメント：窃取した認証情報を使い、正規のプロトコル（RDP、WinRM、SMB）でターゲットシステムへ移動します。複数の検知シグネチャをテストできるよう、手法を変えます。
• 防御回避：検知を避けるため、継続的に手法を調整します。ある手法がアラートを発生させた場合は、その検知内容を記録し、別の手法に切り替えます。
• 目標の実行：定義された目標（ターゲットデータへのアクセス、ランサムウェア展開の実演、データの流出）を達成し、その証拠を記録します。
• 検知タイムライン：後で Blue Team の検知タイムラインと比較できるよう、実行したすべての手法のタイムスタンプを記録します。

ステップ 5：パープルチームの統合とレポート作成

レッドチームの調査結果を、防御の改善に役立てます。

• 検知ギャップ分析：レッドチームの手法のタイムラインを、ブルーチームの検知ログと照合します。検知された手法、見逃された手法、およびそれぞれの平均検知時間（MTTD）を特定します。
• ATT&CK カバレッジマッピング：テストした手法と、それぞれが検知、見逃し、部分的に検知のいずれであったかを示す ATT&CK Navigator のヒートマップを作成します。
• パープルチームセッション：レッドチームが各手法を段階的に明らかにし、その間にブルーチームが検知されるべきだった箇所を特定して、新しい検知ルールを作成する共同セッションを実施します。
• レポート：作戦の経緯、検知状況を含む手法ごとの分析、検知と対応を改善するための優先度付きの推奨事項を網羅した包括的なレポートを提出します。

主な概念

用語	定義
敵対者エミュレーション	既知の脅威アクターの特定の TTP をシミュレートし、組織に関連する現実的な脅威に対する防御をテストすること
C2（コマンド＆コントロール）	侵害したシステムに展開されたインプラントをレッドチームがリモート制御するために使用するインフラストラクチャと通信チャネル
OPSEC	作戦セキュリティ。演習中に防御チームから検知されないよう、レッドチームが実践する対策
ドメインフロンティング	正規の CDN ドメインの背後に C2 トラフィックを隠し、ネットワークベースの検知やドメインブロックを回避する手法
パープルチーム演習	レッドチームとブルーチームが攻撃手法と防御上のギャップを共有し、検知の改善に向けて連携する演習
ホワイトセル	演習を管理し、競合の調整を行い、レッドチームとブルーチームの間を仲介する、信頼できる担当者または演習統制グループ
インプラント	アクセスの維持、コマンドの実行、ラテラルムーブメントの促進を目的として、レッドチームが侵害したシステムに展開するソフトウェア
MTTD/MTTR	平均検知時間／平均対応時間。防御チームが脅威を特定し、封じ込めるまでにかかる時間を測定する指標

ツールとシステム

• Cobalt Strike：ビーコン、柔軟な C2 プロファイル、侵害後の機能を提供する商用の敵対者シミュレーションプラットフォーム
• Sliver：複数のプロトコル（mTLS、WireGuard、HTTP/S、DNS）に対応し、クロスプラットフォームのインプラントを備えたオープンソースの C2 フレームワーク
• MITRE ATT&CK Navigator：ATT&CK 手法のカバレッジを可視化し、計画、実行、検知された手法を比較できるツール
• Mythic：モジュール式のエージェントアーキテクチャとウェブベースのオペレーターインターフェースを備えたオープンソースの C2 フレームワーク

一般的なシナリオ

シナリオ：小売企業に対するFIN7の敵対者エミュレーション

コンテキスト：全国展開する小売チェーンが、POSマルウェア、フィッシング、データ流出を用いて小売・ホスピタリティ業界を標的にすることで知られる、金銭目的の脅威グループFIN7に対する防御をテストしたいと考えています。

アプローチ：

1. FIN7のTTPをエミュレートします。PowerShellを実行するVBAマクロを含む悪意のあるドキュメントを使ったスピアフィッシングを行います
2. マーケティング部門の従業員へのスピアフィッシングによって初期アクセスを達成します。マクロはrundll32のプロキシ実行を利用してCobalt Strikeビーコンをドロップします
3. BloodHoundを使った内部偵察により、侵害されたユーザーからPOS管理サーバーへのアクセス権を持つサービスアカウントに至る経路を明らかにします
4. サービスアカウントをKerberoastし、パスワードをクラッキングして、POS管理システムへラテラルムーブメントを行います
5. カード会員データ環境へのデータアクセスを実証し、流出用にカードデータを模擬的にステージングします
6. ステージングしたデータをDNS C2チャネル経由で流出させ、データ窃取をシミュレートします
7. SOCは47時間目にラテラルムーブメントを検知しましたが、初期フィッシング、マクロの実行、Kerberoastingは検知できませんでした

落とし穴：

• 過度に攻撃的に行動してすぐに検知され、Blue Teamの高度な検知能力をテストする価値がなくなる
• 実際の敵対者が好む環境寄生型の手法を使わず、カスタムツールだけを使用する
• 各アクションの詳細なタイムスタンプを記録せず、演習後の分析や検知ギャップのマッピングが不可能になる
• 予備のC2チャネルを用意できず、1回の検知で活動が露呈してアクセスを失い、目標を達成できなくなる

出力形式

## Red Team Exercise Report - FIN7 Adversary Emulation

### Exercise Summary
**Duration**: November 4-22, 2025 (15 business days)
**Objective**: Access cardholder data environment and demonstrate data exfiltration capability
**Outcome**: OBJECTIVE ACHIEVED - Red team accessed POS management system and staged cardholder data for exfiltration

### ATT&CK Technique Coverage
| Technique | ID | Status | Detected? | MTTD |
|-----------|----|--------|-----------|------|
| Spear-Phishing Attachment | T1566.001 | Executed | No | - |
| Visual Basic Macro | T1059.005 | Executed | No | - |
| Process Injection | T1055 | Executed | No | - |
| Kerberoasting | T1558.003 | Executed | No | - |
| Remote Desktop Protocol | T1021.001 | Executed | YES | 47h |
| Data Staged | T1074 | Executed | No | - |
| Exfiltration Over C2 | T1041 | Executed | No | - |

### Detection Summary
- **Techniques Executed**: 14
- **Techniques Detected**: 3 (21.4%)
- **Mean Time to Detect**: 47 hours (for detected techniques)
- **Mean Time to Respond**: 4 hours (from detection to containment)

### Priority Recommendations
1. Deploy email detonation sandboxing for macro-enabled document analysis
2. Implement Kerberoasting detection via Windows Event ID 4769 monitoring
3. Enhance PowerShell logging (Script Block Logging, Module Logging)
4. Deploy memory-scanning EDR capability to detect process injection