red-team-tactics について
red-team-tacticsは、MITRE ATT&CKの戦術に沿った、許可済みのセキュリティ評価、防御検証、管理された学習向けスキルです。能動的な操作の前に、対象、書面による許可範囲、コマンド、実行確認が必要です。
主な機能
- 01MITRE ATT&CKに沿った戦術概要
- 02受動・能動的な偵察の原則
- 03WindowsとLinuxの権限昇格チェック
- 04Active Directoryの攻撃カテゴリ
- 05報告と検知ギャップの指針
- 06許可と確認の安全策
活用シーン
- 01許可済みレッドチーム評価の計画
- 02管理されたラボでの防御検証
- 03攻撃チェーンと検知ギャップの記録
- 04合成ターゲットを用いた攻撃手法の学習
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/red-team-tacticsを入力して読み込まれたか確認します。
詳細
⚠️ 許可された使用のみ このスキルは、教育目的または許可されたセキュリティ評価のみに使用してください。 このツールを使用する前に、システム所有者から明示的な書面による許可を得る必要があります。 このツールの不正使用は違法であり、厳しく禁止されています。
必須の確認ゲート 対象を調査、悪用、変更、永続化、データ抽出するコマンドや、対象の認証情報へのアクセスを試みるコマンドを実行する前に、以下を行ってください。
- ユーザーに、対象の正確な URL、IP、アカウント、またはリソースを明示するよう求めます。
- 書面による許可と許可された範囲を確認するよう、ユーザーに求めます。
- 実行するコマンドを正確に提示し、想定される効果を説明します。
- 現在の会話内で明示的な確認が得られるまで待ちます。
確認が得られない場合は、読み取り専用にとどめ、防御的なガイダンスのみを提供してください。サンドボックス、使い捨て VM、または管理されたラボを優先してください。
許可された使用のみ：このスキルは、許可されたセキュリティ評価、防御的な検証、または管理された教育環境でのみ使用してください。
レッドチームの戦術
MITRE ATT&CK フレームワークに基づく敵対者シミュレーションの原則です。
1. ATT&CK に沿った戦術の概要
評価の例示的な流れ（必須の ATT&CK ライフサイクル順序ではありません）
RECONNAISSANCE → INITIAL ACCESS → EXECUTION → PERSISTENCE
↓ ↓ ↓ ↓
PRIVILEGE ESC → DEFENSE EVASION → CRED ACCESS → DISCOVERY
↓ ↓ ↓ ↓
LATERAL MOVEMENT → COLLECTION → C2 → EXFILTRATION → IMPACT
フェーズの目標
| フェーズ | 目標 |
|---|---|
| 偵察 | 攻撃対象領域を把握する |
| 初期アクセス | 最初の足掛かりを得る |
| 実行 | 対象上でコードを実行する |
| 永続化 | 再起動後もアクセスを維持する |
| 権限昇格 | 管理者／root 権限を得る |
| 防御回避 | 検知を回避する |
| 認証情報へのアクセス | 認証情報を収集する |
| 探索 | 内部ネットワークを把握する |
| 横展開 | 他のシステムに広がる |
| 収集 | 対象データを収集する |
| C2 | コマンドチャネルを維持する |
| 持ち出し | データを抽出する |
2. 偵察の原則
パッシブとアクティブ
| 種類 | トレードオフ |
|---|---|
| パッシブ | 対象に接触せず、情報は限定的 |
| アクティブ | 直接接触するため、検知リスクが高い |
情報の対象
| カテゴリー | 価値 |
|---|---|
| 技術スタック | 攻撃ベクトルの選定 |
| 従業員情報 | ソーシャルエンジニアリング |
| ネットワーク範囲 | スキャン範囲 |
| サードパーティ | サプライチェーン攻撃 |
3. 初期アクセスのベクトル
選定基準
| ベクトル | 使用する状況 |
|---|---|
| フィッシング | 人が対象で、メールにアクセスできる場合 |
| 公開済みエクスプロイト | 脆弱なサービスが公開されている場合 |
| 有効な認証情報 | 漏えいまたはクラック済みの場合 |
| サプライチェーン | サードパーティ経由でアクセスできる場合 |
4. 権限昇格の原則
Windows の対象
| 確認項目 | 機会 |
|---|---|
| 引用符のないサービスパス | パスへの書き込み |
| サービス権限の弱さ | サービスの変更 |
| トークン権限 | SeDebug などの悪用 |
| 保存済み認証情報 | 収集 |
Linux の対象
| 確認項目 | 機会 |
|---|---|
| SUID バイナリ | 所有者として実行 |
| sudo の設定ミス | コマンドの実行 |
| カーネルの脆弱性 | カーネルエクスプロイト |
| cron ジョブ | 書き込み可能なスクリプト |
永続化、認証情報へのアクセス、横展開、フィッシング、データ持ち出しには、技術ごとの書面による許可範囲と、所有する合成対象／データが必要です。防御側の証跡を保持してください。合意された演習の範囲外で、実際のセキュリティログを消去したり、活動を隠したりしてはいけません。アクティブな操作を行う前に、クリーンアップの手順と、インシデント発生時の停止／通知経路を定めてください。フレームワーク上のカテゴリーは、攻撃の許可を意味するものではありません。
5. 防御回避の原則
主な手法
| 手法 | 目的 |
|---|---|
| LOLBins | 正規のツールを使用する |
| 難読化 | 悪意のあるコードを隠す |
| タイムスタンプ改変 | ファイルの変更を隠す |
| ログ消去 | 証拠を取り除く |
運用セキュリティ
- 営業時間中に作業する
- 正常なトラフィックパターンを模倣する
- 暗号化されたチャネルを使用する
- 通常の動作に紛れ込む
6. 横展開の原則
認証情報の種類
| 種類 | 用途 |
|---|---|
| パスワード | 標準的な認証 |
| ハッシュ | Pass-the-Hash |
| チケット | Pass-the-Ticket |
| 証明書 | 証明書認証 |
横展開経路
- 管理共有
- リモートサービス（RDP、SSH、WinRM）
- 内部サービスの悪用
7. Active Directory 攻撃
攻撃カテゴリ
| 攻撃 | 対象 |
|---|---|
| Kerberoasting | サービスアカウントのパスワード |
| AS-REP Roasting | 事前認証が不要なアカウント |
| DCSync | ドメインの認証情報 |
| Golden Ticket | ドメインへの永続的なアクセス |
8. レポート作成の原則
攻撃の経緯
攻撃チェーン全体を記録します。
- 初期アクセスをどのように獲得したか
- どのような手法を使ったか
- どのような目的を達成したか
- 検知がどこで失敗したか
検知のギャップ
成功した手法ごとに、次の点を確認します。
- 何によって検知されるべきだったか？
- なぜ検知が機能しなかったのか？
- 検知をどのように改善するか？
9. 倫理的な境界
必ず守ること
- スコープ内にとどまる
- 影響を最小限に抑える
- 実際の脅威を発見した場合は、直ちに報告する
- すべての行動を記録する
絶対にしないこと
- 本番データを破壊する
- サービス拒否を引き起こす（スコープで許可されている場合を除く）
- 概念実証の範囲を超えてアクセスする
- 機密データを保持する
10. アンチパターン
| ❌ しないこと | ✅ すること |
|---|---|
| 急いでエクスプロイトする | 手法に従う |
| 損害を与える | 影響を最小限に抑える |
| 報告を省略する | すべてを記録する |
| スコープを無視する | 範囲内にとどまる |
忘れないでください： レッドチームは、防御を強化するために攻撃者をシミュレートするものであり、危害を加えるためのものではありません。
使用する場面
このスキルは、概要で説明されているワークフローやアクションを実行する際に適用できます。
制限事項
- タスクが上記の説明された範囲に明確に該当する場合にのみ、このスキルを使用してください。
- 出力を、環境固有の検証、テスト、または専門家によるレビューの代わりとして扱わないでください。
- 必要な入力、権限、安全上の境界、または成功基準が不明な場合は、作業を中断して確認してください。