完全な敵対シミュレーション。 事業上の目的を定めて。
目的をあらかじめ決め、防御側には予告せずに行う、端から端までの敵対シミュレーションです。ここで問うのは脆弱性の有無ではありません。誰かがすでに内部にいる状態で、御社が気づき、封じ込め、対応できるかどうかです。
レッドチームが測るのは検知力であって、欠陥の一覧ではありません
ペネトレーションテストは何が悪用できるかに答えます。レッドチーム演習は、その次に何が起きるかに答えます。気づくまでにどれだけかかるか、アラートが人に届くか、その人が何をすべきか分かっているか、そして圧力の下で封じ込めが持ちこたえるか。技術だけでなく組織全体を試すもので、業務プロセス、当番体制、意思決定も環境と同じく対象に含まれます。
- 目標は御社と一緒に定めた具体的な事業上の到達点であり、技術的な指摘の一覧ではありません。
- 防御チームには知らせません。その自然な反応こそが測定の対象だからです。
- 終了時には、実行したすべての行為を、検知が実際に記録した内容と突き合わせます。
- 結果として、脆弱性の修正だけでは決して埋まらない可視性と手順の欠落が明らかになります。
実施内容
以下は標準的な案件での既定の範囲です。スコーピングの段階で、いずれも無償で調整できます。
- 選定した対象への標的型フィッシング
- 主要な人物に関する公開情報の収集
- 電話やメッセージを用いた身元の偽装
- 外部に露出した境界
- 漏えいした認証情報とパスワードの使い回し
- リモートアクセスと外部事業者向けポータル
- 管理下での USB の設置と物理的に届けた媒体
- 端末およびドメインにおける権限昇格
- メモリやディスクからの認証情報の収集
- システム間の信頼関係の悪用
- ネットワークセグメントをまたぐ横展開
- リポジトリ、パイプライン、秘密情報へのアクセス
- 目立たない居座りとアクセスの再取得
- 目標として定めたデータベースへの到達
- 会計または決済システムへのアクセス
- 機微なデータ群の持ち出しを模した検証
- 管理コンソールの掌握
- 重要な本番環境への到達
- 損害を与えずに影響を実証すること
- 最初に検知されるまでの時間
- 発報したアラートの質と届け先
- エスカレーションと待機要員の招集
- 実施された封じ込めの効き方
- インシデント中の社内連絡
- 調査に使える記録と痕跡
- 取り決めた規則の範囲での EDR・アンチウイルス回避
- 指令通信と管理された永続化
- Active Directory での昇格と委任の悪用
- Kerberoasting とメモリからの認証情報の抽出
- オンプレミス環境とクラウドの間の移動
- 痕跡の後始末と環境の復旧
実施形態
範囲に応じて調整フルレッドチーム
予告なしの演習です。目標は定め、規則の範囲で経路は自由。現実に近い条件で防御運用を測ります。業務時間外に何が起きるかも含みます。
パープルチーム
攻撃側と防御側が同じ部屋に入り、手法をひとつずつ実行しながら監視に何が映るかをその場で確認します。奇襲性は下がり、ルールと網羅性の調整に重心が移ります。
侵入済み前提
初期侵入がすでに起きたものとして、与えられたアクセスから始めます。入口の工程を短縮し、横展開・検知・封じ込めに労力を集中させられます。
敵対演習が意味を持つ局面
レッドチームは土台があることを前提にします。監視も対応計画もなければ、演習が測るのは空白であり、同じ労力ならペネトレーションテストのほうが多くを返します。
製品を導入し、ルールを有効にし、ダッシュボードも作った——けれど、実際の攻撃で動けるアラートが上がるという証拠がない。演習は、その思い込みを測定に変えます。
承認された文書、設計された流れ、紙の上の当番表。エスカレーションが本当に起きるのか、どれだけ時間がかかるのかは、予告なしの演習でしか分かりません。
ペネトレーションテストの周期を何度か終えると、次の問いは別のものになります。既知の欠陥を直したうえで、誰も想定しなかった経路から目標に到達できてしまうのか。
業種や契約によっては、脆弱性がないことではなく、検知と対応の能力を示す証跡が求められます。この演習が生み出すのは、まさにそれです。
進め方
[パイプライン]目標の設定と規則
ごく限られた関係者と、具体的な目標、禁止事項、手を触れないシステム、計画から外れた場合の中止方法を取り決めます。誰が知っているかも記録します。通常はごく少数です。そうすることで、組織の他のメンバーは本当の反応を示します。
組織に関する情報収集
公開されている情報を集めます。人、役職、取引先、使用技術、所在地、過去の漏えい、デジタル上の足跡。侵入口を選ぶ前に敵対者がそろえる材料と同じもので、多くの場合それ自体が最も弱い環を指し示します。
初期アクセスの獲得
選んだ経路を実行します。口実、露出した資産、使い回された認証情報、あるいは外部事業者経由。すべての試行に時刻を記録するので、後から防御側が何を見たかと突き合わせられます。失敗した試行も含めてです。
移動と権限の昇格
最初の足がかりから目標へ進みます。権限を上げ、認証情報を集め、セグメントを越え、システムに届く。常に目立たなさを意識して進めます。派手に動けば、測りたいものとは別の問いに答えてしまうからです。
目標への到達
目標に届いた時点で、損害を与えずに実証します。アクセスの証跡は残しますが、機微データの実際の持ち出しも、破壊的な変更も行いません。重要なのは経路の存在を示し、その通り方を記録することです。
合同での再構成
最も価値のある成果は最後の場です。攻撃側の時系列と防御側の時系列を並べます。アラートは出たのに誰も見なかった箇所、記録そのものが存在しなかった箇所、封じ込めが効いた箇所。ここから、優先順位のついた検知改善の一覧が生まれます。
作業の根拠となる公開基準
演習は、広く認められた敵対シミュレーションの枠組みに沿って行います。そのため結果を時間軸で比較でき、規制当局や監査人にも読み取れる形になります。
- MITRE ATT&CK
- 実行した手法にはすべて識別子が付きます。これにより検知のカバレッジ表を作成でき、演習ごとの進歩を追えます。
- TIBER-EU
- 脅威インテリジェンスに基づく検証について、役割・工程・安全策を定めた欧州の枠組みです。本番環境での敵対演習における欧州金融分野の基準になっています。
- CBEST および同種の制度
- 各国のインテリジェンス主導型テスト制度も同じ考え方です。実際の脅威情報から目標を選び、統制のもとで実施し、最後に合同で再構成します。
- NIST SP 800-53 / CSF
- 検知と対応の管理策は、見つかった欠落を、御社のガバナンス部門がすでに使っている言葉で説明するための語彙になります。
- サイバーキルチェーン
- 攻撃を段階で捉えるモデルです。組織が連鎖のどの地点で進行を止めたのか、あるいは止められなかったのかを示すのに役立ちます。
- 交戦規則
- 開始前に署名する文書で、対象範囲、禁止事項、実施時間帯、緊急連絡先、中止基準を定めます。承認された演習と本物のインシデントを分けるのは、この一枚です。
成果物
二層構成 · NDA攻撃の記述
最初の接触から目標到達までを時系列でたどる完全な記録です。技術的な識別子ではなく判断とその帰結を語るため、取締役会が最後まで読み通せる文書になります。
並置した時系列
実行したすべての行為を時刻付きで、防御側が記録したもの・発報したもの・見逃したものと並べて示します。演習の中核であり、たいていここが最も速い改善につながります。
検知カバレッジの一覧
使用した手法を識別子ごとに整理し、検知されたもの、記録は残ったが発報しなかったもの、痕跡すら残らなかったものを示します。
対応の評価
エスカレーションが実際にどう動いたか。誰が呼ばれ、どのくらいの速さで、どんな判断が下され、封じ込めが何を実際に止めたのか。
検知に関する提言
具体的なルールの調整、不足しているログの取得元、追加すべき網羅範囲を、経路を最も早く断てたはずの順に並べます。
再構成セッション
防御チームと一緒に演習を段階ごとに追い、質問の時間も設ける作業会です。知識の受け渡しとしては、報告書のどの章よりも価値があります。
よくある質問
ペネトレーションテストは広さを取ります。対象範囲を覆い、悪用できる欠陥をできるだけ多く見つけます。レッドチームは目標に向けて深さを取り、組織がどう反応するかを測ります。前者は何が脆弱かに答え、後者は誰かがそれを悪用したときに何が起きるかに答えます。
不要です。むしろそこが要点です。演習を知っているのはごく限られた関係者——通常はセキュリティ責任者と法務——で、署名済みの承認書を保持しています。対応が社外へ広がりそうなら、いつでも中止できます。他のメンバーは知らないまま反応します。本物の反応を測る方法はそれしかありません。
交戦規則が、禁止行為、触れてはならないシステム、即時中止の基準を定めています。期間中は双方の緊急連絡先が開いており、エスカレーションを終わらせる必要が生じた時点で署名済みの承認書を提示します。
実際に動けるアラートを出す監視がなく、運用中の対応計画もないなら、演習が測るのは既にご存じの不在です。その場合はペネトレーションテストと検知の作り込みのほうが得るものが多いはずです。レッドチームは、試すべき防御がある段階で意味を持ちます。
ソーシャルエンジニアリングが範囲に入る場合は送ります。ただし明確な歯止めを設けます。処分を目的として個人を特定することはせず、個人が特定される形での報告も行いません。重要なのは対策と業務プロセスの有効性であって、誰がクリックしたかの一覧ではありません。
ペネトレーションテストよりかなり長くかかります。目立たずに進めるには歩みを遅くする必要があり、目標にはスキャンではなく経路をたどって到達するからです。期間は目標とあわせて決めます。締めくくりの再構成の工程は、実施そのものと同じくらいの収穫をもたらすことがよくあります。
できますし、この形式の価値が出るのはそこです。手法を識別子で記録しているため、次の演習で何が検知できるようになり、何が依然として見えず、反応時間が改善したかが分かります。印象ではなく、測定された進歩です。