概要
レッドチーム演習（Red Team Exercise） は、実在する攻撃者の戦術・技術・手順（TTP）を模擬し、組織全体の「検知・対応能力」を実戦形式で評価するセキュリティ演習です。攻撃側のレッドチーム、防御側のブルーチーム、そして両者の知見を共有し合うパープルチームという役割分担で構成されます。SC試験ではペネトレーションテストと混同されやすく、目的・スコープ・評価対象の違いが頻出論点です。
仕組みと動作原理
レッドチーム・ブルーチーム・パープルチームの役割
| チーム | 役割 | 立場 |
|---|---|---|
| レッドチーム | 実際の攻撃者を模擬し、検知されずに目標達成を目指す | 攻撃側 |
| ブルーチーム | 通常運用のSOC・CSIRTとして検知・分析・対応を行う | 防御側 |
| パープルチーム | レッドとブルーの活動をリアルタイムに橋渡しし、検知ギャップを共有する | 連携・改善 |
パープルチームは独立した固定チームというより、レッドチームとブルーチームが協調して知見を交換する活動・機能を指すことが多い点に注意が必要です。
ペネトレーションテストとの違い
レッドチーム演習は、対象システムの脆弱性を網羅的に洗い出すペネトレーションテストとは目的が異なります。ペンテストは「特定システムに侵入できるか」を確認するのに対し、レッドチーム演習は「組織全体が実際の攻撃をどれだけ検知・対応できるか」を確認します。
| 観点 | ペネトレーションテスト | レッドチーム演習 |
|---|---|---|
| 目的 | システムの脆弱性・侵入可能性の実証 | 組織の検知・対応能力（人・プロセス含む）の評価 |
| スコープ | 事前合意した特定システム・アプリ | 組織全体（人・プロセス・技術）が対象になりうる |
| 進め方 | 脆弱性ベース（見つけた脆弱性を突く） | シナリオベース（想定攻撃者のゴールから逆算） |
| 防御側への通知 | 通常は事前に周知（協力を前提） | 原則非通知（ブルーチームの実力を測る） |
| 評価対象 | システムの技術的な穴 | 検知（SOC）・対応（CSIRT）・エスカレーションまで含む一連の能力 |
| 期間 | 数日〜数週間 | 数週間〜数ヶ月 |
両者は排他的ではなく補完関係にあります。ペンテストで既知の技術的弱点を潰し、レッドチーム演習で「実際の侵入・侵害が起きたときに組織が気づき止められるか」を確認するという段階的な位置づけが一般的です。
レッドチーム演習の進め方
1. シナリオ・ゴール設定
→ 「機密情報の窃取」「基幹系への到達」等、攻撃者視点のゴールを設定
2. 脅威インテリジェンスに基づくTTP選定
→ 対象業界を狙う実在の攻撃グループのTTPを参考にシナリオを具体化
3. 攻撃実行（非通知）
→ 偵察・侵入・権限昇格・横展開・目的達成までを実施
→ ブルーチームには演習であることを知らせない
4. ブルーチームの検知・対応
→ 通常運用のSOC/CSIRTが実際のインシデントとして対応
5. パープルチームによる振り返り
→ どの段階で検知できた/できなかったかをレッド・ブルー双方で共有
6. 報告・改善
→ 検知ルール・Playbook・体制の改善策を策定TLPT（Threat-Led Penetration Testing）
TLPT は、実在の脅威インテリジェンスに基づいてシナリオを設計するレッドチーム演習の一形態で、金融分野を中心に規制当局が求める枠組みとして整備が進んでいます（欧州のTIBER-EU、EUのDORA等が代表例）。
| 特徴 | 内容 |
|---|---|
| 脅威主導 | 実在の攻撃グループのTTPを脅威インテリジェンスから導出してシナリオ化 |
| 実運用環境が対象 | テスト環境ではなく本番相当の環境・重要機能を対象にする |
| 第三者による実施 | 独立したレッドチームプロバイダが実施し客観性を担保 |
| 規制・監督との連携 | 監督当局への結果報告が求められる場合がある（金融機関等） |
TLPTは「単なる侵入テストの高度版」ではなく、実際に想定される脅威主体（Threat Actor）を出発点にシナリオを構築する点が特徴で、レッドチーム演習の考え方をより厳格に体系化したものと位置づけられます。
SC試験での頻出ポイント
- ペンテストとの違い：ペンテストは「侵入できるか」、レッドチーム演習は「組織が検知・対応できるか」を評価
- 非通知が原則：ブルーチームに演習であることを知らせないことで、実際のインシデント対応能力を正しく測定する
- シナリオベースの設計：脆弱性の網羅ではなく、攻撃者のゴールから逆算したシナリオで実施する
- パープルチームの役割：レッドとブルーの知見を橋渡しし、検知ルール・手順を継続的に改善する連携活動
- TLPTの位置づけ：脅威インテリジェンス主導で本番環境を対象とする、規制業界（金融等）向けの高度なレッドチーム演習の枠組み
よくある誤問・ひっかけパターン
誤り① 「レッドチーム演習とペネトレーションテストは同じもの」→ 誤。ペンテストは特定システムの脆弱性の実証が目的ですが、レッドチーム演習は組織全体の検知・対応能力（人・プロセスを含む）の評価が目的で、評価対象とスコープが異なります。
誤り② 「レッドチーム演習はブルーチームに事前通知してから行う」→ 誤。レッドチーム演習は原則として非通知で実施し、ブルーチームが実際のインシデントとして対応できるかを測定します。事前通知が前提のペンテストと混同しやすい点です。
誤り③ 「パープルチームはレッドチームやブルーチームとは別の第三者組織」→ 不正確。パープルチームは独立した外部組織というより、レッドチームとブルーチームの知見を突き合わせ改善につなげる連携の機能・活動を指すことが多く、組織構成や文脈によって解釈が異なります。
関連用語
- ペネトレーションテストと脆弱性診断 — スコープの限定された技術的侵入テスト。レッドチーム演習との違いを混同しないこと
- インシデント対応フロー（PICERL） — ブルーチームが実演習・実インシデントで実行する対応プロセス
- SOCとSIEM — ブルーチームが検知・分析を行う組織とツール
- 脅威インテリジェンス（CTI） — レッドチームのTTP選定・TLPTのシナリオ設計の情報源
重要キーワード
| 用語 | 説明 |
|---|---|
| レッドチーム | 実際の攻撃者を模擬し、組織の検知・対応能力を試す攻撃側チーム |
| ブルーチーム | 通常運用のSOC・CSIRTとして検知・分析・対応を行う防御側チーム |
| パープルチーム | レッドとブルーの知見を橋渡しし改善につなげる連携機能 |
| TTP | Tactics, Techniques, and Procedures。攻撃者の戦術・技術・手順 |
| TLPT | Threat-Led Penetration Testing。脅威インテリジェンス主導で本番環境を対象とする高度なレッドチーム演習 |
| シナリオベース | 脆弱性の網羅ではなく攻撃者のゴールから逆算して演習を設計する手法 |