「レッドチーム演習」入門【後編】

ブルーチーム、パープルチームの基本的な違いとは？　レッドチームとの関係は

模擬的な攻撃を通じてセキュリティを強化する「レッドチーム演習」には「レッドチーム」以外のチームも存在する。それが「ブルーチーム」「パープルチーム」だ。それぞれどのような役割を持つのか。

公開 2020年12月17日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　模擬的なサイバー攻撃によって自社の脆弱（ぜいじゃく）性をあぶり出したり、セキュリティ強化につなげたりするのが「レッドチーム演習」だ。前編「いまさら聞けない『レッドチーム演習』の基礎　そもそもレッドチームとは？」は、レッドチームの役割を解説した。後編は、レッドチーム演習に登場する「ブルーチーム」と、最近登場し始めた「パープルチーム」を説明する。

併せて読みたいお薦め記事

さまざまなセキュリティ用語

セキュリティ演習と従業員教育の重要性

ブルーチームとは

　ブルーチームの役割は、企業のセキュリティ対策を定期的に分析して脆弱性を特定し、セキュリティ製品・サービスとポリシーの有効性を評価することだ。ブルーチームは次のタスクを実施して入手した情報を分析し、今後の攻撃に備えてセキュリティ製品とポリシーの強化に取り組む。

ネットワーク、システム、デバイスのモニタリング
脅威の検出、緩和、阻止、排除
ネットワークトラフィックとデジタルフォレンジックデータ（不正の証拠となるデジタルデータ）の収集
収集したデータの分析
脆弱性スキャン、DNS（ドメインネームシステム）監査、リスク評価

　セキュリティ運用に関して、ブルーチームは以下も担当する。

ファイアウォールルールの作成、設定、適用
デバイスとエンドユーザーへのアクセス権限の設定
業務システムやセキュリティ製品へのパッチ適用、最新状態の維持
IDS／IPS（不正侵入検知／防止システム）、EDR（Endpoint Detection and Response）の導入
ネットワークのセグメント化
リバースエンジニアリング
- マルウェアの構造を分析して挙動やソースコードを調べる。
DDoS（分散型サービス拒否）攻撃への防御策の調査
インシデント対処・修復ポリシーの作成
- インシデント発生後に安全かつ迅速に回復するために実施する。

　ブルーチームは、従業員の脆弱性の評価と対策にも役立つ。セキュリティ意識を向上させるトレーニングを実施し、パスワードなどのエンドユーザーポリシーを適用するために、フィッシング攻撃やソーシャルエンジニアリング攻撃の最新情報を入手しておくことも重要な仕事だ。

　見つかったリスクを容認するのか、それとも軽減するための新しいセキュリティ製品やポリシーを導入するのか――。ブルーチームには、企業の上層部がこうした判断をするための材料を提供する役割がある。レッドチーム同様、ブルーチームも演習が終わったらデータを集めて、判明したことをレポートにまとめ、実行すべきアクションのリストを作成する。

パープルチームとは

　パープルチームは独立したチームではなく、ブルーチームおよびレッドチームのメンバーから成る。レッドチームとブルーチームはどちらも企業のセキュリティ強化を目標としているが、それぞれの「秘密」を共有したがらないことがしばしばある。レッドチームはシステムに侵入する方法を秘密にし、ブルーチームはレッドチームの攻撃を検出・防御する手法を明かさない。そこでパープルチームの出番となる。

　レッドチームとブルーチームが連携して、人的リソース、データ、ナレッジベースを共有できるようにするのがパープルチームの役割だ。そのためにパープルチームは、両者のコラボレーションを促す役割を担う。