博士(工学)、CISSP本稿では、レッドチームについて解説するとともに、企業におけるその活用事例と課題について考察する。レッドチーム孫子の言葉に「彼を知り己を知れば百戦殆ふからず、彼を知らずして己を知れば一勝一負す、彼を知らず己を知らざれば戦ふ毎に必ず殆ふし」がある。敵対した役割のもとに企業や組織へのセキュリティ攻撃の実行、企業や組織がそれらの攻撃に適切に対応できるかの評価、及び改善提案を行う独立したチームを指す。元々は軍用語であり、公式の基本方針や文書についてはほとんど存在しないようである[1]。レッドチーム(演習)は己を知るための手段であり、攻撃を通して得られた情報を経営層に提示し、適切な経営判断ができるよう支援することを狙いとする。Team)と呼ばれる。CSIRTやSOCが該当する。ホワイトチームは、レッドチームとブルーチームの戦いにおける審判役であり、レッドチームが予め設定された攻撃範囲を超えた行動をしていないかをチェックするための監視役である[2]。パープルチームは、レッドチームとブルーチームの機能の両方を併せ持つチームで、その目的は両チームの効果を最大化させることにある[3]。レッドチームとブルーチームの双方の情報を適宜片方のチームに与えて演習の効果の最大化を図る。Officer)直属であるが、現場(ブルーチーム)の実行動・対応を観測するためにレッドチームの攻撃内容が事前に知らされるのはごく限られたメンバーのみとなる。そのため、演習時の現場の混乱を誘発する可能性が高い、限られた情報しか持っていない現場にとっては何が起こったのか把握できず演習で指摘された問題点を組織内に反映できない、同じ攻撃が何度も通用してしまうなどの問題点も存在する[4]。そこでパーブルチームは必要な情報を適宜、レッド、ブルーのメンバーに与える。これにより、レッドチームは防御者の視点を踏まえた新たな攻撃が可能になる、ブルーチームは現場の混乱を最小限に抑えることができる、演習後に攻撃者の対策を実施した体制の強化も可能となる等のメリットが期待できる[4]。パーブルチームを伴った演習は、レッドチームが攻撃側として参加する点は変わらないが、予め防御側と綿密な意識合わせや情報共有を行った上で攻撃シナリオや評価基準を策定し“合同演習”として実施することも可能となり、インシデント対応能力やプロセスの成熟度の評価、教育にも効果が見込める。ペネトレーションテストとの違いペネトレーションテスト(侵入テスト)とは、ネットワークに接続されているコンピュータシステムに対し、既知の技術を用いて実際に侵入を試みることで、狭義にはシステムに脆弱性がないかどうかテストする手法である。対象のシステムに脆弱性がないかどうか確認し、明らかにすることが目的である。レッドチーム演習は、システムの脆弱性を探し出し、実際に攻撃を行い、組織のセキュリティ体制と機能の評価及び改善提案を行うのが目的である[5]。攻撃プロセスは、サイバーキルチェーンの各項目に対応付けることができる。行いサーバの機密情報へのアクセス権限を取得する)、7目的の実行(機密情報等を持ち出し、削除、暗号化などを実施する)からなる。各プロセスにおけるブルーチームの実行動・対応を記録し、評価、改善提案を行う。レッドチーム演習はモノ(設備)の脆弱性や人の脆弱性への攻撃も含む点も、ペネトレーションテストとは異なる点である。日本でも2016年以降、電力・エネルギー・金融を含む重要インフラ企業を中心に、レッドチーム演習が実施されている。Test)の実施」を大手金融機関に対し施策として推進していくことを公表した[7]。TLPTはレッドチーム演習と同義であり、大手金融機関への普及が望まれている[8]。レッドチーム演習の実施においては外部レッドチームを利用する場合と、自ら組織内にレッドチームを構築し演習を行うケースがある。Red、PwC、KPMG、デロイトトーマツ、FireEye(Mandiant)、LAC、スプラウト、GSX(グローバルセキュリティエキスパート)、NRIセキュアテクノロジーズ等があるが、その多くは欧米ベンダーの日本法人が国内市場向けにサービス提供している。国内ベンダーのサービス内容は標的型攻撃のみを対象としていることが多いが、欧米ベンダーの場合はモノ(設備)への攻撃やソーシャルエンジニアリング攻撃もカバーしている。実施する攻撃の範囲によって、必要となる要員数、稼働の変動も多いことから、その価格や期間には大きなばらつきがある。利用する外部レッドチームの実力によって演習の効果は大きく変わってくるが、外部レッドチームを利用するメリットとしては、早期に演習の実施が可能なこと、外部ベンダーの知見や経験を社内のセキュリティ強化に活用できること、演習の知識や経験を組織内レッドチームの構築に活用できるなどがある。Teaming[9]、Facebook[10]等の事例がある。Microsoftの事例では、攻撃時の社内の不要な混乱を避けるために、明確に行動規範や交戦規定を定義し、演習を実施している。Microsoftレッドチームの行動規範は次の5つの主要な指針からなる。運用中のセキュリティ保護を弱めない、5脆弱性やその他の重要な情報を保護し、知る必要のある人のみに共有する。組織内レッドチームは、自社のコアビジネスに対して競争力を強めるための取り組みになるが、社内レッドチームを持つことの社内合意を獲得しやすい事業特性と高いインテグリティを理念とする組織風土が備わっていることが前提条件となることを忘れてはならない。コメントを受け付けていません。コメントを受け付けていません。コメントを受け付けていません。コメントを受け付けていません。コメントを受け付けていません。※本サイトの掲載記事、コンテンツ等の無断転載を禁じます。