パープルチームとは？

パープルチームの役割はあまり注目されないが、重要なものです。パープルチームにはいくつかの形があり、まずは外部のセキュリティ専門家がレッドチームとブルーチームの役割を兼ねるケースがあります。この場合、企業は全体的なセキュリティ状況の精査のためにパープルチームを採用することがあります。

パープルチームは、レッドとブルーのサブチームに分かれて活動を開始します。メンバーは一方に偏ることなく役割を交代し、スキルの幅を維持します。同じ考え方は社内でも実現可能で、企業が自社でパープルチームを編成し、セキュリティ担当がレッドとブルーの役割を果たす場合もあります。

また、パープルチームは別の形態で編成することもできます。レッドチームとブルーチームの運用は、情報の透明性と密な連携に依存します。これらが十分でなければ、セキュリティ体制の実情を正確に把握することは困難です。

残念ながら、チームは人で構成されるため、必ずしも円滑に協力できるとは限りません。レッドチームとブルーチームは、各自の役割に基づいて動くため、摩擦が生じる場合があります。両チームが協力して活動できるよう、パープルチームを編成または活用し、建設的な視点から連携を促し、共通の目標に向かって進む支援が可能です。

このように、パープルチームは仲介者や促進役として機能し、客観的な視点も提供します。３つのチームがしっかり連携すれば、企業は攻撃への対応力をより明確に把握できるでしょう。

‍

レッドチームとブルーチーム

レッドチーム／ブルーチームという用語は、通常の軍事戦略とは異なる意味合いがあります。ここでは、企業のネットワークセキュリティに関わるチームを指します。レッドチームとブルーチームは、業務の継続性を脅かし、機密情報の流出を防ぐために重要な役割を果たします。

レッドチームは、セキュリティ対策を突破する技術に特化した専門家の集まりです。一方、ブルーチームは、企業内部のシステムを様々なサイバー攻撃から守る能力に長けた専門家の集団です。両チームが連携することで、企業は常に最適なセキュリティ状態を維持できます。

レッドチームはブルーチームに対して攻撃を仕掛けます。これらの活動は、包括的なセキュリティ対策と新たな脅威への対応策を整えるためのものです。

パープルチーム運用は不要か？

パープルチームの役割が理解されている以上、専任のパープルチームを設ける必要はないという点が重要です。企業のレッドチームとブルーチームがしっかり連携していれば、別個のパープルチームは不要です。

とはいえ、支援業務が不要というわけではありません。例えば、レッドチームがブルーチームに対して攻撃手法を伝えたりデモを行ったりすることは引き続き重要ですが、その場合でも個別のパープルチームを設ける必要はありません。レッドチームとブルーチーム自体が、この情報交換の要となります。

レッドチームとブルーチームはそれぞれ異なる役割を持ち、正反対の視点で企業のセキュリティに取り組みますが、共通の目的は企業のセキュリティを強化することにあります。

もしレッドチームがそのTTP（戦術、技術、手法）をブルーチームと共有しなければ、良いレッドチームとは言えません。同様に、ブルーチームが得た学びをレッドチームと共有しなければ、望ましいブルーチームとは言えません。両チームの連携が大切です。

パープルチーム運用が必要なとき

レッドチームとブルーチームが連携すべきだという認識が高まる中で、パープルチーム運用の重要性も増しています。このパープルチームは、専用の独立したチームというより、既存のレッドチームとブルーチームのメンバーが集まる形と捉えられ、両者を結ぶ仕組みとして機能します。

レッドチームは、既知で定量化可能な脅威アクターを模した目標に基づくテストを実施し、その手法（TTP）を把握する必要があります。

ブルーチームは、これらのTTPを学び、検知と対応の体制をその手法に沿って整える必要があります。たとえば、ある脅威アクターがスティックフィッシングを攻撃手法の一部として用いる場合、ブルーチームはその行動を見分け、対応できる体制を確立しなければなりません。メールシステムや転送処理が特定のメール内容の記録や警告に対応していなければ、SIEM技術に頼る意味がなくなります。

特定の業界や市場セグメントから機密情報が流出しようとしている脅威グループが確認された場合、レッドチームはその行動を再現するテストを実施すべきです。これにより、レッドチームは最終的にエンドユーザー環境を突破し、そこで取得した認証情報を用いて内部ネットワーク全体に対してさらなる調査活動を展開するシナリオを再現します。

レッドチームの最終目的は、認証情報の昇格を経て中枢サーバにアクセスし、その後、ネットワークを介してトラフィックをクラウドのサービスプロバイダーへ流出させることにあります。ブルーチームは、各ポイントでこうした通信を識別するツールと対策を整え、攻撃に迅速に対応してレッドチームの狙いを阻止する必要があります。

レッドチームとブルーチームが連携（＝パープルチーム運用）することで、企業はより具体的で実証可能なセキュリティ向上効果を享受できます。ブルーチームは、自身の検知および対応能力を実際の脅威に即した形で定量化できるようになるでしょう。