自動レッドチーミングとは？

自動レッドチーミングの定義

自動レッドチーミングは、ソフトウェアと自動化を用いて、実際の攻撃者の戦術・技術・手順（TTP）を組織の本番環境に対して継続的にシミュレートします。定期的な手動レッドチームエンゲージメントを、反復可能でスケジュール化された、あるいは継続的なテストサイクルで置き換え・補完し、セキュリティチームが検知と対応の有効性を年1〜2回ではなく継続的に測定できるようにします。

コンセプト全体はこの一段落に収まります。本記事の残りでは、実際の仕組み、既存のレッドチーミングとの位置関係、そして本当に役立つプラットフォームと単にクリックを自動化しただけのプラットフォームを分けるものを扱います。

どちらか一方が他方を時代遅れにするわけではありません。手動レッドチーミングは、シナリオライブラリには想像できないもの（創造的な攻撃チェーン、物理アクセス、特定の何かを破ろうとする熟練者の水平思考）を今も捉えます。自動レッドチーミングは、手動エンゲージメントには構造的に見えないもの（前回のエンゲージメントから3週間後、新ツールが導入され、検知ルールが静かに無効化された後でも防御が持ちこたえているか）を捉えます。Filigranの立場は明確です：自動化と手動レッドチーミングはライバルではなく、防御を継続的にテストし改善するための補完的なメカニズムです。

自動レッドチーミングの仕組み

ほとんどの自動レッドチーミングプラットフォームは、ベンダーを問わず同じ基本プロセスに従います：

1. スコープとターゲットの定義。 どの資産、資産グループ、環境をテスト対象とするかを定義します。
2. シナリオとTTPの選択。 シナリオライブラリ、MITRE ATT&CKマッピング、カスタム構築チェーンから、シミュレートする攻撃テクニックを選びます。
3. 本番環境への自動実行。 プラットフォームが選択されたTTPを実行します。自前のネイティブエージェント経由、またはBring-Your-Own-Agent対応プラットフォーム（OpenAEVのEnterprise Editionで利用可能）ならエンドポイントに配備済みの既存EDR/エージェント基盤経由で実行します。
4. 検知と対応の測定。 シミュレートされた各アクションをセキュリティコントロールが検知・警告・ブロックしたかを確認します。
5. レポートと修復ガイダンス。 結果はギャップに変換され、対応が必要な特定のコントロールや検知ルールに紐付けられます。

ステップ2こそ、ほとんどのベンダーが静かにイノベーションを止める場所です。ステップ3〜5の自動化は解決済みの問題で、この分野の多くのプラットフォームはシナリオを素早く実行し、きれいにレポートできます。より難しく、自動化が進んでいない問題はステップ2：そもそも正しいシナリオを選ぶことです。

なぜ脅威インテリジェンスがシナリオ選択を主導すべきか

多くの自動レッドチーミングツールが自動化するのは実行速度であって、関連性ではありません。静的または半キュレーションのシナリオライブラリ（手動で選ぶ攻撃テクニックのカタログ、または汎用リスクスコアで割り当てられるもの）が同梱されています。それはコントロールが機能することの確認にはなりますが、攻撃者があなたのような組織に実際に行っていることに対してテストされた確認にはなりません。

FiligranのState of Threat Managementレポートはこのギャップを数字で示しています。侵害・攻撃シミュレーションもペネトレーションテストも広く使われていますが、どちらも依然スナップショットであり、ライブのインテリジェンスを継続的で完全自動の検証プロセスに供給している組織は少数派です。

それこそが実際のボトルネックです。多くのチームはすでに自動テストを実行しています。何をテストするかを決めるためにライブのインテリジェンスに接続しているチームは僅かです。

OpenCTIのPrioritized Intelligence Requirements（PIR）とSTIX 2.1構造化脅威データがこのギャップを埋めます。「どの脅威アクターが自社セクターを狙うか」を「どのシナリオを実行すべきか」に手動でマッピングする代わりに、OpenCTIのPIRからシナリオへのマッピング（Enterprise Edition機能）が脅威インテリジェンスをOpenAEVの攻撃シナリオへ直接変換します。手動ステップはありません。シナリオは汎用テクニックライブラリではなく、組織の現在の脅威ランドスケープを反映するようになります。実践での具体例は、MITRE ATT&CKにマッピングされた脅威インフォームド・ディフェンスがOpenCTI・OpenAEV・Splunk ESCUでインテリジェンスをハンティングと検証のワークフローに接続する方法をご覧ください。

主要な商用自動レッドチーミングプラットフォームは、少なくとも標準化されたSTIXベースのインテリジェンス層を通じては、シナリオ選択を脅威インテリジェンスに接続していません。彼らの自動化はシナリオライブラリの自動化です：カタログから引き出される、事前構築またはAI生成の攻撃チェーン。それ自体は正当なアプローチですが、毎年公開される40,000件超の脆弱性のうちどれが自組織に本当に重要かを見極めることが真の課題なら、間違ったステップを高速化していることになります。

エクスプロイト可能性への確信は、重要なシナリオをテストすることから生まれます。だからこそ「脅威インテリジェンス駆動のシナリオ生成」は、あれば嬉しい機能ではなく第一級の要件としてこのチェックリストに載っています。

攻撃パス管理（個々のテクニックが成功するかだけでなく、エクスポージャーの連鎖がビジネスクリティカルな資産にどう繋がるかの理解）は、ベンダーに直接確認する価値のある関連機能です。個々のコントロールの検証を超えて、エンドツーエンドの攻撃実現可能性の検証に進んだとき、自動レッドチーミングの自然な延長となります。

自動レッドチーミングプログラムの測定方法

多くのプログラムはボリュームを報告します：実行シナリオ数、合格率、平均検知時間。これらの数字はプラットフォームの実行効率を表しますが、そのシナリオが実行に値したかには一切答えません。同じ的外れなカタログを四半期ごとに速くテストしながら、3指標すべてを改善することもできてしまいます。

300のシナリオを完璧に実行し、うち12だけが自社セクターを狙うアクターに対応するプログラムは、300シナリオの成果を持っているのではありません。12シナリオの成果と、288シナリオの安心材料を持っているだけです。

この2つを分ける測定基準は4つあり、いずれも新しいダッシュボードを必要としません。必要なのは、プラットフォームのカタログではなくインテリジェンスから導かれた分母だけです。