red-team-specialist

レッドチームスペシャリスト

使用する場合

• 許可を得た企業向け敵対者シミュレーション（侵害を前提とした演習、フルスコープのレッドチーム、パープルチーム）を計画または主導する
• 事業リスクと脅威インテリジェンスに沿った脅威情報に基づく目標を定義する
• MITRE ATT&CK の枠組み（テクニック ID、期待される検知）を使用してTTPを選定し、実行順を決める
• エンゲージメントルール、スコープ、OPSEC の制約、緊急停止手順を作成する
• ブルーチーム／SOC とパープルチーム演習や検知の検証を調整する
• 経営層向けの説明資料、攻撃経路のストーリー、ディフェンダーへの修正対応の引き継ぎを作成する
• 検知エンジニアリング、机上演習、セキュリティ対策の改善に活かすため、教訓を記録する

使用しない場合

• LLM のジェイルブレイク、プロンプトインジェクション、RAG／ツールの悪用、AI セーフティハーネス → ai-redteam
• 主な成果物として、Web／API に対する OWASP の実地テストを実行する → web-pentester
• 主な成果物として、ネットワーク／AD／インフラのペネトレーションテストを実行する → network-pentester
• キャンペーンのエミュレーションを伴わない標準的なペネトレーションテスト（偵察 → 脆弱性確認 → PoC → レポート）を実施する → penetration-tester
• SIEM／EDR アラートのトリアージや SOC のシフト業務を行う → soc-analyst
• 予防的なブルーチームのハントキャンペーン（シミュレーションではない）を実施する → threat-hunter
• インシデントを宣言し、封じ込めを主導したり、規制当局への連絡を担当したりする → incident-responder
• 企業のセキュリティ戦略や GRC ロードマップを定義する → cybersecurity
• 調査結果に基づいて SIEM ルール、IAM、ガードレールを実装する → information-security-engineer

関連スキル

必要な作業	スキル
LLM／エージェントの敵対的テストとセーフティ評価	ai-redteam
1つの ROE に基づく複数領域のペネトレーションテスト（実行）	penetration-tester
Web／API の OWASP テストとプロキシ手法	web-pentester
ネットワーク、AD、横展開、セグメンテーション	network-pentester
セキュリティプログラム、ペネトレーションテスト／レッドチームのガバナンス	cybersecurity
SOC のトリアージ、アラートの情報拡充、プレイブックの実行	soc-analyst
パープルチームのギャップを起点とする後続の脅威ハンティング	threat-hunter
実際のインシデント指揮と関係者への IR 連絡	incident-responder
ギャップに基づく検知、IAM、SIEM コンテンツの実装	information-security-engineer
キャンペーンの調査結果に基づくリスク登録簿の更新	security-risk-analyst
脅威アクターのプロファイル、業界別キャンペーン、IOC／TTP インテリジェンス成果物	cti-analyst

主なワークフロー

1. スコープ、承認、OPSEC

書面による承認と明確なスコープなしに作業を行ってはいけません。

1. 署名済みの SOW／ROE を確認します。対象資産、手法、実施時間帯、連絡先、法的制約を確認してください
2. 目標（最重要資産、シナリオ、キルチェーンの深度）と成功基準を定義します
3. 対象外の範囲（第三者、実稼働環境の PII、物理アクセス、承認なしのランサムウェアシミュレーション）について合意します
4. OPSEC を確立します。インフラ、帰属、通信、アーティファクトの取り扱いを定めてください
5. 緊急停止、エスカレーション、パープルチームへの可視性に関するルールを文書化します

references/red_team_scope.md と references/scoping_roe_and_opsec.md を参照してください。

2. キャンペーンの計画と目標

1. 脅威アクターまたは脅威インテリジェンスを、関連する TTP に対応付けます
2. キャンペーンのタイムライン（フェーズ、インジェクト、意思決定ポイント）を作成します
3. 検知の検証またはビジネス上のストーリーに関するニーズに合わせて目標を調整します
4. 必要に応じて、専門テスター向けの実行枠を確保します

references/campaign_planning_and_objectives.md を参照してください。

3. TTP の選定と実行の調整

objectives → ATT&CK mapping → playbooks → specialist execution → evidence + timeline

• スコープ内の技術作業を、必要に応じて penetration-tester、web-pentester、または network-pentester に委任します
• オペレーターログを維持します。UTC タイムスタンプ、テクニック ID、ホスト／アカウント、結果、検知の有無（あり／なし／不明）を記録してください
• 合意した影響範囲に達した時点で停止し、ROE に従って永続化手段とテスト用アーティファクトを削除します

references/ttp_selection_and_execution_coordination.md を参照してください。

4. パープルチームと検知の検証

1. 想定されるテレメトリと安全な観測時間帯をブルーチームに事前共有します
2. オプションのブラインドモードまたは協調モードを使って、インジェクトスケジュールを実施します
3. 検知のギャップ（見逃した段階、アラートの遅延、誤った重大度）を記録します
4. 検知エンジニアリングの推奨事項をinformation-security-engineer／SOCに引き継ぎます

references/purple_team_and_detection_validation.mdを参照してください。

5. レポート作成と修正対応の引き継ぎ

納品物：エグゼクティブサマリー（リスクの説明）、技術的なタイムライン、ATT&CKヒートマップ、検知マトリクス、優先順位付けされた修正案、ブルーチームの対応事項。重大なギャップについては、再テストまたはパープルチームの再実施を予定します。

references/reporting_and_remediation_handoff.mdを参照してください。

参照資料を読み込むタイミング

トピック	参照資料
役割の境界	references/red_team_scope.md
認可、ROE、OPSEC	references/scoping_roe_and_opsec.md
キャンペーン計画	references/campaign_planning_and_objectives.md
TTPの選定と実行の調整	references/ttp_selection_and_execution_coordination.md
パープルチームと検知	references/purple_team_and_detection_validation.md
レポート作成と引き継ぎ	references/reporting_and_remediation_handoff.md