2024年12月6日

NECサイバーセキュリティ戦略統括部セキュリティ技術センターの鈴木雅也です。
今回のブログでは先日筆者が受講した、Zero-Point Security社¹が提供するオンライントレーニングの一つであるRed Team Ops²について紹介します。
あわせて、そのトレーニングに対応する資格であるRed Team Operator³についても紹介します。

目次

1. 注意点

本ブログは、筆者がトレーニングと試験を受けた2024年当時の情報をもとに執筆しています。本ブログ執筆以降にトレーニングコンテンツや試験ルールの改定があった場合には、ブログの内容との間に差異が生じる可能性がある点をご了承ください。

2. Red Team Opsとは

Red Team Opsとは、Zero-Point Security社が提供するサイバーセキュリティに関するオンライントレーニングです。このトレーニングを通じて、レッドチーム演習の計画から考え方、使用するツールやテクニックついて学習することができます。
本トレーニングの大きな特徴は以下の3つです。

3. 受講・受検のきっかけ

筆者はペネトレーションテストの資格の一つであるOSCP（OffSec Certified Professional）⁶を習得しており、その後の学習としてレッドチーム演習とCobalt Strikeに興味を持っていました。そのための基礎知識やスキル習得を目的に、本トレーニングの受講と資格の取得を目指しました。

4. トレーニング

4.1 購入プラン

購入プランは下記表 1の通りです。Courseには試験1回の受検権利が含まれています。
ラボの期間を超過したり稼働時間を全て消費したりした場合は、Lab Extensionsを追加購入することで延長が可能です。
Course onlyを購入した場合、ラボを使用するにはLab Extensionsの購入が必要なため注意が必要です。

なお、資格試験であるRed Team Ops with Exams単体を£99（表 1と同レート換算で19,206円）で購入することができます³。

4.2 カリキュラム

本トレーニングのカリキュラムは下記表 2の通りです。
Webページで閲覧する形式の教材となっており、どの章まで学習を完了したのか進捗を管理できるようになっています。
現時点では一度トレーニングを購入すれば教材の閲覧期限はないため、トレーニング完了後や試験合格後も復習が可能です。

4.3 ラボ環境

表 1でも示した通り、ラボを使用できる期間と稼働時間が決まっています。
ラボの起動と停止は自身で行う必要があり、ラボは使用しない時には停止しておかないと稼働時間がどんどんと消費されてしまうため注意が必要です。

ラボへは自身の端末からGuacamoleインターフェイス経由（ブラウザによる画面転送）でアクセスすることができます。
また、ラボはクローズドな環境であるためVPN等を使用して直接アクセスすることはできません。

ラボの中ではCobalt Strikeやオープンソースのツールを組み合わせながら、WindowsのActive Directory環境における初期侵害、複数ドメインの掌握、データの探索・流出などの手法について、攻撃ライフサイクルに沿って学ぶことができます。また、最終的にはWindows Defender、AMSI、AppLockerなどの防御機構に対する回避手法も学べるため、より実践的なレッドチーム演習のスキルを習得することができます。

また、ラボのサーバーの構成図をプリントしたデスクマットが販売されて⁷おり、この図の通り複数のサーバーやドメインに対して侵害を進めていく内容になっています。

4.4 Discord

トレーニングを購入するとZero-Point Security社の運営するDiscordに参加することができます。このDiscordでは、ラボの中で発生したエラーや学習を進める上で分からない箇所などについて、受講者同士やトレーニング製作者本人によるディスカッションが行われています。
筆者も学習を進めている最中に分からないことがありましたが、Discordの過去のディスカッションを調べながらトラブルシューティングを行うことでトレーニングを完了させることができました。

5. 試験

5.1 試験概要

試験概要については下記表 3の通りです。
その他の詳細な情報については公式のページ（Red Team Ops Exam）³を必ずご確認ください。

5.2 試験準備

まずは表 2の教材を読みながらラボを1周し、その後はWindows Defenderを有効にしたラボで2週目に取り組みました。
教材の中で学んだことが試験で必要になった場合に再現できるよう、Cobalt Strikeの使用方法やActive Directory環境に対する攻撃手法を中心に手元でメモを作成しながら学習を進めていました。
特に表 2の「No.25 Microsoft Defender Antivirus」の章については、筆者としても初めて学ぶ内容であったことと、試験開始までにCobalt Strikeの設定の作り込みや防御機構の回避を確実に実施できるようにする必要があったため、時間をかけて準備をしました。

5.3 試験本番・結果

試験内容の詳細は公開ができないため割愛しますが、基本的にはラボで学んだことが忠実に出題されているような印象でした。
筆者の場合は、試験開始から約12時間以内には6flagsを取得し余裕をもって合格基準に到達することができました。試験終了まで時間が余っていたため一度ラボを停止し、休憩を挟んで体力の回復と頭のリフレッシュをしました。その後、再度試験に取り組むことで残りの2flagsも取得し、最終的には満点で合格することができました。

合格基準に到達してから数時間後には、試験に合格したことを通知するメール（図 3）を受信しバッジと合格証書（図 1）が発行されました。

6. 最後に

脆弱性診断やペネトレーションテストに関する他のトレーニングや資格と比較してRed Team Opsでは、WindowsのActive Directory環境におけるPost-Exploitの手法について、C2フレームワークであるCobalt Strikeを活用しながら学ぶことに特化していると感じました。
またCobalt Strikeは豊富な機能や利便性の良さに加え、トレーニングで扱ったような防御機構の回避も行うことができたため便利なツールであることを実感できました。

今回紹介したコースの発展編としてRed Team Ops II⁸というトレーニングと、Red Team Lead⁹という資格が同社より提供されています。
このコースではOPSECな戦術やアンチウイルス・EDRなどの防御機構の回避技術に関して、更に高度な手法を学ぶことができます。実務でも高度なペネトレーションテスト・レッドチーム演習のサービスを提供できるよう、今後はこちらのトレーニングと資格試験にも取り組みたいと考えています。

本ブログでは、Red Team Opsというトレーニング、およびそれに対応した資格試験について紹介しました。レッドチーム演習やCobalt Strikeの使用方法について基礎から学ぶことができるため、これらの技術に興味のある方はぜひ目指してみてはいかがでしょうか。

7. 参考文献

執筆者の他の記事を読む