はじめに
CODE BLUE 2025 にて開催された 「TRAPA Cyber Range Exercise」 に参加しました。
本記事では、これからCODE BLUEに参加される方やインシデントレスポンスに興味を持っている方に向けて、演習の概要・何をするのか・実際に体験して感じたことをまとめます。
TRAPA Cyber Range Exercise の概要
TRAPA Cyber Range Exercise は、仮想的な企業ネットワーク上で発生する APT 攻撃を調査する、Blue Team 向けの演習です。 参加者は単なる受講者ではなく、組織内 SOC チームの一員として行動することが求められます。
演習の舞台は、社会的影響が極めて大きい金融インフラで、オンラインバンキングや決済処理、資産運用などを抱える組織です。
この組織は、FinanceHunter と呼ばれる高度なハッカーグループによる攻撃を受けたと想定されており、
- 外部 Web アプリケーションの脆弱性悪用
- ネットワーク偵察
- マルウェアの展開
- 重要システムへの持続的アクセス（APT）
という、一連の攻撃チェーンがシミュレーションされています。
TRAPA Cyber Range Exercise で具体的に何をするか
SOC チームメンバーとしての調査
演習では、SOC チームの一員として以下を行います。
- インシデントが発生した直後の情報を起点に調査を開始
- ログや環境情報をもとに攻撃の痕跡を特定
- 攻撃の全体像を理解し、指標を特定
- 調査結果をチケットとして提出
という流れで進行します。
重要なのは、
「調べた」だけでは不十分で、調査結果を正しく整理し、提出するところまでが演習だという点です。
SOC Roomを中心にした調査
調査のハブとなるのが SOC Room（ダッシュボード） です。
SOC Room では、
- 現在発生している攻撃シナリオの確認
- 調査すべきアクション・指標の提示
- MITRE ATT&CK 技術情報の参照
- チケットの作成・提出
といったことを一元的に行います。
チケットにはペナルティが設定されており、誤った回答を提出すると、一定時間そのシナリオを調査できなくなるといった制約があります。そのため調査に対する責任感がより一層高まります.
Splunk（SIEM）を使用したログ調査
ログ調査にはSplunkを使用します。
扱うログは非常に幅広く、
- ファイアウォールログ
- Proxy ログ
- Web（Nginx）ログ
- Windows Event / Defender / Sysmon
- Active Directory
- PowerShell ログ
など、エンタープライズ環境で実際に扱うログ構成が再現されています。
単純なキーワード検索だけでは足りず時系列での挙動整理、複数ログの突き合わせなど
「このログは何を意味するのか」という解釈力が問われました。
シナリオ例（概要のみ）
今回の演習では 20 個のシナリオが用意されており、その一部として以下のような内容が含まれていました。
シナリオ1：ウェブ侵入
- DMZ 上の Web サーバーに対する不審な挙動
- Web アプリケーションを起点とした攻撃の兆候
- その後に発生する外部との通信
Web・ネットワーク・サーバーログを横断的に見る必要があるシナリオでした。
シナリオ2：データベースバックドア
- データベースサーバー上での不審な変更
- 通常とは異なる MySQL の挙動
アプリケーションの裏側で何が起きているかを考えさせられる内容でした。
実際に体験して感じたこと
正直なところ、最後までシナリオを解析し切ることができず、厳しい結果に終わりました。
調査の優先順位付けの難しさや、時間制限やペナルティによるプレッシャーなど、SOC業務を強く意識した設計だと感じました。
一方で、ログ同士がつながった瞬間の手応えや、攻撃者の行動が徐々に浮かび上がってくる感覚、そして自分に足りないスキルが明確になる体験は、非常に得難いものでした。
まとめ
TRAPA Cyber Range Exerciseは、SOC／Blue Teamに興味がある方や、ログ分析・インシデントレスポンスを「実務目線」で学びたい方、また自分の調査力を試したい方にとって、非常に密度の高い演習だと思います。
これからCODE BLUEに参加される方や、インシデントレスポンスに興味を持っている方にとって、本演習の内容が少しでも参考になれば幸いです。
Discussion