Red Team Exercise：統制された演習の範囲

Red Team Exerciseは、単一の技術的な弱点が存在するかどうかよりも広い問いを組織が検討するのに役立ちます。承認されたチームが定義された攻撃者の目的を追求するとき、予防的な統制、検知、コミュニケーション、対応はどのように機能するのか、という問いです。これは経営層のスポンサー、セキュリティ責任者、検知チーム、インシデント対応の関係者のための学習を目的としたエンゲージメントであり、書面による権限と合意した境界の下で実施されます。演習は、署名された経営層の権限と、書面の実施ルール（Rules of Engagement）によって管理されます。実施ルールでは、承認された対象、目的、許可された手法、禁止行為、実施禁止の時間帯、連絡先、コミュニケーション経路、証跡のルール、即時の停止条件を定めます。その価値は、統制された目的主導の経路によって生まれる組織的な学びにあります。

何であるのか

Red Team Exerciseは、厳格なガバナンスの枠組みの中で行う、目的主導の攻撃者シミュレーションです。承認された偵察、合意した初期アクセスの目的、範囲を限定した横展開、検知と対応の観測を含むことがありますが、それらの活動が書面で許可されている場合に限ります。成功はアクセスを得ることだけで定義されるわけではありません。目的に到達しなかった場合でも、コミュニケーション、エスカレーション、IDの統制、可視性、意思決定、対応の連携のどこに注意が必要かを示せるのが有用な演習です。証跡は立証に必要なものに限り、合意したプロセスに沿って取り扱います。ソーシャルエンジニアリングは既定で対象外であり、実施するには明示的かつ合法で、別途範囲を定めた承認が必要です。サービス妨害の活動、破壊的な行為、OT/ICS、安全上重要な環境、同意を得ていないサプライヤーのシステム、合意した立証用アーティファクトを超えるデータの持ち出しも、既定で対象外です。

誰のために

本エンゲージメントは、次のようなチームに適しています。

選定した防御、検知、コミュニケーション、対応に関する前提を検証する管理された演習について、経営層のスポンサーシップがあるチーム
セキュリティ、検知、エンジニアリング、対応の関係者が、同じ承認済みの証跡と振り返りから学ぶ必要があるチーム
明示的な対象、目的、許可された手法、禁止行為、連絡先、実施禁止の時間帯、停止条件を承認できるチーム
統制され承認された演習の中で、目的主導の経路を評価したいチーム

明確にするのに役立つこと

本エンゲージメントで明確にできること：

合意した予防的な統制、IDの境界、検知のシグナル、コミュニケーション経路、対応の判断が、定めた目的に照らして機能するか
承認された経路がルールの範囲内でどのように進んだか、またチームが引き継ぎ、可視性、エスカレーション、意思決定のどこにギャップを確認したか
立証用アーティファクトに裏付けられた指摘事項と、対象、手法、サプライヤー、環境が除外されていたために範囲外に残る事項
どの是正の優先事項やフォローアップの評価が適切か

含まれる内容

署名された経営層の承認、書面の実施ルール、承認された対象、目的、許可された手法、禁止行為、連絡先、コミュニケーションのルール、即時の停止条件
実施禁止の時間帯、一時停止の取り決め、必要な場合のプロバイダーへの通知
ルールの範囲内に限った、承認された偵察、合意した初期アクセスの目的、範囲を限定した横展開
検知と対応の観測、立証に限った証跡、安全な取り扱い、報告、再現用アーティファクト、合同の振り返り
制約と優先順位付きの是正ガイダンスを伴う、経営層向けおよび技術者向けの指摘事項

含まれていないもの

承認のない活動や無制限の活動、サービス妨害、破壊的な行為、業務を妨害する手法
既定でのソーシャルエンジニアリング、制御技術（OT）、産業用制御システム（ICS）、安全上重要な環境、同意を得ていないサプライヤー、サードパーティのシステム
合意した立証用アーティファクトを超えるデータの持ち出し、認証、コンプライアンスの証明、継続的監視、SOC、MDR、リアルタイムのインシデント対応
あらゆる弱点の発見、侵害の成功、検知の成功、セキュリティ上の承認、現実の攻撃者との同等性についての確約

それを選ぶべきとき

経営層に定義された目的があり、管理された負荷のもとで選定した組織的な統制がどのように連携して機能するかを把握したい場合に、Red Team Exerciseをお選びください。基本的なセキュリティの実践、責任分担、対応の連絡先が整っており、関係者が書面の実施ルールのプロセスに取り組める段階で特に適しています。許可を得た、サービスを妨げない形で合意した目的をテストする場合に適しており、ソーシャルエンジニアリングは別途承認を得た場合にのみ含めます。特定の技術的な弱点に焦点を当てたレビューには、通常のペネトレーションテストの方が適していることがあります。進行中のインシデントには、別の対応体制が必要です。演習は、スポンサー、技術担当者、関係するプロバイダーが合意した統制を支えられる場合にのみ計画すべきです。

私たちのアプローチ

組織としての目的と、作業を妥当な範囲に保つ安全策を軸に演習を組み立てます。計画段階では、署名された権限、対象の境界、目的、許可された手法、禁止行為、証跡の取り扱い、実施禁止の時間帯、指名された連絡先、コミュニケーション、即時の停止条件を確認します。そのうえで承認されたチームは合意した経路のみをたどり、立証に限った証跡を記録し、停止条件や実施禁止の時間帯に該当した場合は直ちに一時停止します。検知と対応の観測結果は、演習で実際に関わった統制と結び付けて、組織的な学びとして記録します。演習後、経営層と技術の関係者には、明確な経緯の説明、技術的な指摘事項、再現用アーティファクト、制約、優先順位付きのフォローアップの問いをお渡しします。合同の振り返りでは、継続的監視、リアルタイムの対応、より広範な確認作業をエンゲージメントの対象外としたまま、それらの指摘事項をクライアントが担う是正計画に結び付けます。これにより、定義された演習としての規律を保ちながら、次の判断に役立つ証跡をリーダーに提供します。

Red Team Exerciseサービスページを見る