はじめに

Red Team の強さは、ゼロデイや C2 ではなく
「契約された敵役として、事故なく成果を出す設計力」　で決まります。

そして設計力の中心にあるのが、

Objectives（目的）
Scope（範囲）
Rules of Engagement（RoE）
Campaign Planning（計画）
Engagement Documentation（文書）

です。

1. Red Team Engagement の本質

ペネトレーションテストとの違い

ペネトレーションテスト（Penetration Test）

主目的：脆弱性の発見・侵入可否
成果物：脆弱性リスト、CVSS、修正提案

Red Team Engagement

主目的：侵入後にどこまで到達できるか／検知・対応されるか
評価対象：技術＋人＋プロセス
成果物：組織全体の防御成熟度の評価

Red Team は以下を観測します：

SOC は侵害を検知できたか
CSIRT は正しくエスカレーションできたか
初動対応・封じ込めは機能したか

Red Team Engagement は
**「攻撃」ではなく「組織耐性テスト」**です。

2. Objectives（目的）— すべての起点

Objectives は「やること」ではなく
Success Criteria（成功条件） です。

良い Objectives の 3 要素

Goal：何を評価するか
Evidence：達成をどう証明するか
Stop Line：どこで止めるか

例

Goal：内部横展開に対する検知・対応能力を評価
Evidence：検知までの時間、対応フロー、封じ込め可否
Stop Line：本番停止・大量通信・PII 抽出は禁止

3. Scope（範囲）— 「できること」より「やってはいけないこと」

Scope は Client が定義する制限条件です。
Red Team はこれを絶対に尊重します。

よくある Scope

Production 環境は対象外
特定 IP レンジは Out of Scope
DoS / DDoS 禁止
PII の抽出・持ち出し禁止

Red Team 視点での読み解き（重要）

“No exfiltration of data”

ファイル閲覧は？
ハッシュ取得は？
スクリーンショットは？

👉 Evidence として何が許容されるかを事前に合意必須

4. Rules of Engagement（RoE）— 最重要文書

RoE は 法的に有効な合意文書です。
これがなければ、Red Team の行為は正当化されません。

RoE に必須の要素

Objectives / Scope
禁止事項
Stopping Conditions
PoC と連絡手段
実施期間・時間帯
証跡の扱い
承認（署名）

Stopping Conditions（実務テンプレ）

条件：サービス障害の兆候
- 行動：即時停止
- 連絡：PoC へ電話＋Slack
条件：第三者による実攻撃の兆候
- 行動：停止・証跡保全
- 連絡：Client CSIRT
条件：Operator Burn
- 行動：作戦変更協議
- 連絡：Red Team Lead

5. Campaign Planning — Red Team は「作戦」を立てる

Red Team Engagement では以下の 4 文書を用います：

Engagement Plan
Operations Plan
Mission Plan
Remediation Plan

6. Engagement Plan

6.1 CONOPS（Concept of Operations）

非技術者向けの作戦概要。
経営層が読んで理解できることが前提です。

含める内容

Client / Service Provider
期間
高レベル Objectives
フェーズ構成
想定 Threat Group（任意）
制約事項

6.2 Resource Plan

CONOPS を 現実的な計画に落とす文書。

人員
日程
クラウドコスト
必要スキル

👉 予算・稼働時間が曖昧だと、実行中に必ず破綻します。

7. Operations Plan — 運用と連携

Operations Plan では以下を定義します：

使用する TTP（高レベル）
通信手段（Slack / Email / VECTR 等）
日次報告方式
Stopping Conditions
PoC 連絡フロー

8. Mission Plan — Red Team 内部設計図

Mission Plan は オペレーター向け文書。

最低限含める項目

Objectives
Operators
Targets
Execution Variants
Evidence Plan

Evidence Plan の例（PII 抽出禁止時）

ファイル先頭数行のマスキングスクショ
ハッシュ値取得
アクセスログ証明

9. Remediation Plan — Red Team の本当のゴール

Red Team Engagement の価値は 改善に変換できるかで決まります。

エグゼクティブ向け要約
技術者向け詳細
優先度付き改善案
追加支援（検知ルール、訓練）

10. 実務で「強い Red Team」が必ずやること

事前

RoE 署名済み
Scope 定義明確
Evidence 取得方法合意
緊急連絡網確定

実施中

日次報告テンプレ運用
証跡保全ルール統一

事後

改善ロードマップ提示
Lessons Learned の共有

まとめ

Red Team は、

ツールが強い人
攻撃が派手な人

ではありません。

合意を理解し
計画を立て
安全に実行し
改善に導く

これができるチームが、
信頼される Red Team です。