認可された使用のみ: このスキルは認可されたセキュリティアセスメント、防御的検証、または管理された教育環境でのみ使用してください。

Red Team Tactics

MITRE ATT&CK フレームワークに基づく敵対者シミュレーション原則。

---

1. MITRE ATT&CK フェーズ

攻撃ライフサイクル

RECONNAISSANCE → INITIAL ACCESS → EXECUTION → PERSISTENCE
       ↓              ↓              ↓            ↓
   PRIVILEGE ESC → DEFENSE EVASION → CRED ACCESS → DISCOVERY
       ↓              ↓              ↓            ↓
LATERAL MOVEMENT → COLLECTION → C2 → EXFILTRATION → IMPACT

フェーズの目的

フェーズ	目的
Recon	攻撃面をマッピング
Initial Access	最初の足がかりを確保
Execution	ターゲット上でコードを実行
Persistence	再起動後の存続を確保
Privilege Escalation	管理者/root権限を取得
Defense Evasion	検出を回避
Credential Access	認証情報を収集
Discovery	内部ネットワークをマッピング
Lateral Movement	他のシステムに拡散
Collection	ターゲットデータを収集
C2	コマンドチャネルを維持
Exfiltration	データを抽出

---

2. 偵察原則

パッシブ対アクティブ

タイプ	トレードオフ
パッシブ	ターゲットとの接触なし、情報は限定的
アクティブ	直接接触、検出リスク増加

情報の対象

カテゴリ	価値
技術スタック	攻撃ベクトルの選定
従業員情報	ソーシャルエンジニアリング
ネットワーク範囲	スキャン範囲
第三者	サプライチェーン攻撃

---

3. 初期アクセスベクトル

選定基準

ベクトル	使用するタイミング
Phishing	人間を対象、メールアクセスがある場合
Public exploits	脆弱なサービスが公開されている場合
Valid credentials	リークまたは破られた認証情報がある場合
Supply chain	第三者によるアクセスがある場合

---

4. 権限昇格原則

Windows ターゲット

確認項目	機会
クォートされていないサービスパス	パスへの書き込み
弱いサービス権限	サービスの修正
トークン権限	SeDebug などの悪用
保存されたクレデンシャル	収集

Linux ターゲット

確認項目	機会
SUID バイナリ	所有者として実行
Sudo の設定不備	コマンド実行
カーネル脆弱性	カーネルエクスプロイト
Cron ジョブ	書き込み可能なスクリプト

---

5. 防御回避原則

主要な技術

技術	目的
LOLBins	正規のツールを使用
Obfuscation	悪意あるコードを隠蔽
Timestomping	ファイル修正を隠蔽
Log clearing	痕跡を削除

オペレーショナルセキュリティ

• 営業時間中に作業
• 正規のトラフィックパターンを模倣
• 暗号化されたチャネルを使用
• 通常の動作に紛れ込む

---

6. ラテラルムーブメント原則

認証情報のタイプ

タイプ	用途
パスワード	標準認証
ハッシュ	Pass-the-hash
チケット	Pass-the-ticket
証明書	証明書認証

ムーブメント経路

• 管理者共有
• リモートサービス (RDP、SSH、WinRM)
• 内部サービスの悪用

---

7. Active Directory 攻撃

攻撃カテゴリ

攻撃	対象
Kerberoasting	サービスアカウントのパスワード
AS-REP Roasting	事前認証なしのアカウント
DCSync	ドメイン認証情報
Golden Ticket	永続的なドメインアクセス

---

8. レポート作成原則

攻撃ナラティブ

完全な攻撃チェーンを記録:

1. 初期アクセスがどのように得られたか
2. どのような技術が使用されたか
3. どの目的が達成されたか
4. どこで検出が失敗したか

検出ギャップ

成功した各技術について:

• 何がそれを検出するべきだったか?
• なぜ検出が機能しなかったか?
• 検出を改善するにはどうするか?

---

9. 倫理的境界

常に実施すべき事項

• スコープ内に留まる
• 影響を最小化
• 実際の脅威が見つかった場合はすぐに報告
• すべての行動を記録

決してしてはいけない事項

• 本番環境のデータを破壊
• サービス妨害を引き起こす (スコープ内でない限り)
• 概念実証を超えてアクセス
• 機密データを保持

---

10. アンチパターン

❌ しないこと	✅ すること
悪用を急ぐ	方法論に従う
損害を引き起こす	影響を最小化
レポート作成をスキップ	すべてを記録
スコープを無視	境界内に留まる

---

注意: Red team は攻撃者をシミュレートしして防御を改善するためのものであり、害を引き起こすためではありません。

使用時期

このスキルは、概要で説明されているワークフローまたはアクションを実行する場合に適用できます。

制限事項

• このスキルは、タスクが上記で説明されたスコープと明確に一致する場合にのみ使用してください。
• 出力を、環境固有の検証、テスト、または専門家レビューの代替として扱わないでください。
• 必要な入力、権限、安全境界、または成功基準が不足している場合は、明確にするために質問してください。