• ネットワーク、システム、デバイスのモニタリング
• 脅威の検出、緩和、阻止、排除
• ネットワークトラフィックとデジタルフォレンジックデータ（不正の証拠となるデジタルデータ）の収集
• 収集したデータの分析
• 脆弱性スキャン、DNS（ドメインネームシステム）監査、リスク評価

　セキュリティ運用に関して、ブルーチームは以下も担当する。

• ファイアウォールルールの作成、設定、適用
• デバイスとエンドユーザーへのアクセス権限の設定
• 業務システムやセキュリティ製品へのパッチ適用、最新状態の維持
• IDS／IPS（不正侵入検知／防止システム）、EDR（Endpoint Detection and Response）の導入
• ネットワークのセグメント化
• リバースエンジニアリング
  • マルウェアの構造を分析して挙動やソースコードを調べる。
• DDoS（分散型サービス拒否）攻撃への防御策の調査
• インシデント対処・修復ポリシーの作成
  • インシデント発生後に安全かつ迅速に回復するために実施する。

　ブルーチームは、従業員の脆弱性の評価と対策にも役立つ。セキュリティ意識を向上させるトレーニングを実施し、パスワードなどのエンドユーザーポリシーを適用するために、フィッシング攻撃やソーシャルエンジニアリング攻撃の最新情報を入手しておくことも重要な仕事だ。

　見つかったリスクを容認するのか、それとも軽減するための新しいセキュリティ製品やポリシーを導入するのか――。ブルーチームには、企業の上層部がこうした判断をするための材料を提供する役割がある。レッドチーム同様、ブルーチームも演習が終わったらデータを集めて、判明したことをレポートにまとめ、実行すべきアクションのリストを作成する。

パープルチームとは

　パープルチームは独立したチームではなく、ブルーチームおよびレッドチームのメンバーから成る。レッドチームとブルーチームはどちらも企業のセキュリティ強化を目標としているが、それぞれの「秘密」を共有したがらないことがしばしばある。レッドチームはシステムに侵入する方法を秘密にし、ブルーチームはレッドチームの攻撃を検出・防御する手法を明かさない。そこでパープルチームの出番となる。

　レッドチームとブルーチームが連携して、人的リソース、データ、ナレッジベースを共有できるようにするのがパープルチームの役割だ。そのためにパープルチームは、両者のコラボレーションを促す役割を担う。

レッドチームとブルーチームが手を組むメリット

　単独でもレッドチームやブルーチームはメリットをもたらすが、両者を組み合わせることでさらに大きな価値が生まれる。脆弱性を特定してシステムのセキュリティを強化する以外にも、レッドチームとブルーチームの組み合わせが演習にもたらし得る効果には以下がある。

• コラボレーションの推進
• 健全な競争の促進
• トレーニングが必要な領域の特定
• 既成概念にとらわれない発想の促進
• 新たな実践的セキュリティスキルの獲得
• 脅威検出・対処にかかる時間の短縮
• セキュリティ体制の継続的な改善