レッドチームレポートの作成

レッドチームレポートは、特定した脆弱性のビジネスリスクを経営層に伝え（エグゼクティブサマリー）、防御側が発見事項を再現して検出能力を改善できるようにし（技術詳細）、是正措置の行動計画を提示します（推奨事項）。

標準的なレッドチームレポートの構成：

1. 表紙とスコープの定義
2. エグゼクティブサマリー
3. 方法論の概要
4. 攻撃の経緯／キルチェーン
5. 深刻度評価付きの発見事項一覧
6. 発見事項ごとの技術詳細
7. 推奨事項とロードマップ
8. 付録：証拠、IOC、ツール一覧

エグゼクティブサマリーは最後に作成してください。次の事項を記載します：

• エンゲージメントの目的とスコープ
• ビジネス上の表現による主な発見事項（「4時間でドメイン管理者アクセスを取得した」など）
• 全体的なリスク態勢の評価
• 是正に向けた優先事項トップ3

専門用語は使わないでください。読者は技術に詳しくない経営幹部だと想定します。

攻撃の経緯では、エンゲージメントの内容を時系列で説明します：

1. 初期アクセス経路（最初の足掛かりをどのように得たか）
2. 永続化と偵察
3. 権限昇格の手順
4. ラテラルムーブメントの経路
5. 達成した目的（アクセスしたデータ、侵害したドメイン）

各手順をMITRE ATT&CKの手法IDに対応付けてください。

各発見事項には、次の項目を含めてください：

• タイトル：明確で具体的な名前
• 深刻度：Critical/High/Medium/Low/Info（該当する場合はCVSSスコアも記載）
• 説明：何が見つかったか
• 影響：悪用された場合のビジネスリスク
• 再現手順：詳細な技術的証明
• 証拠：スクリーンショット、ログ
• 推奨事項：具体的な修正方法

CVSS（Common Vulnerability Scoring System）は、0～10の標準化された深刻度スコアを提供します。構成要素は、攻撃ベクトル、攻撃の複雑さ、必要な権限、ユーザー関与、スコープ、機密性・完全性・可用性への影響です。一貫性があり、根拠を説明できる深刻度評価を行うには、CVSS 3.1を使用してください。

防御側が実行可能なインテリジェンスとして活用できるよう、使用したすべての手法をATT&CKに対応付けてください：

• T1566.001 — Spearphishing Attachment（初期アクセス）
• T1059.001 — PowerShell（実行）
• T1003.001 — LSASS Memory（認証情報アクセス）

ATT&CKへのマッピングにより、ブルーチームは観測されたTTPに対する検出ルールを作成しやすくなります。

スクリーンショットには、次の内容を含めてください：

• ターミナル上で確認できる日付と時刻
• 侵害されたシステムのホスト名
• コマンドと完全な出力
• コンテキストが失われるようなトリミングをしない

重要な要素が分かるようにスクリーンショットへ注釈を付けてください。証拠によって発見事項の信頼性を裏付けます。

優れた推奨事項には、次の特徴があります：

• 具体的：「セキュリティを改善する」ではなく「PowerShell AMSIと制約付き言語モードを有効にする」
• 優先順位が明確：リスクに基づいて、どれから対処するかを示す
• 実行可能：読者が何をすべきか正確に分かる
• 現実的：運用上の制約を考慮する

ライブで行うデブリーフィングのプレゼンテーションは、書面のレポートを補足します。ライブスクリーンショットを使って攻撃の経緯をクライアントに説明し、各手順をどのように検出できたかを実演し、質問に答えます。変化を促すうえでは、書面のレポートよりも大きな効果を発揮することがよくあります。

レッドチームのレポートには、機密性の高い脆弱性情報が含まれます。以下のとおり適切に取り扱ってください。

• レポートを暗号化してください（PGPまたはパスワード保護されたPDF）
• 安全なチャネルで送信してください
• 配布先を必要な人に限定してください
• レポートの保存期間と破棄に関するポリシーを定めてください
• 暗号化されていないレポートをメールで送信しないでください

レッドチームレポートは、ビジネス（エグゼクティブサマリー）、技術（攻撃の経過＋調査結果）、防御（ATT&CKマッピング）の各読者を対象としています。各調査結果には、深刻度、影響、再現手順、証拠、具体的な推奨事項を含めます。MITRE ATT&CKへのマッピングにより、攻撃側の調査結果を防御側の検知機会へと変換できます。レポートは機密文書として暗号化し、取り扱ってください。