【ぱーぷるちーむ】
パープルチーム とは？
最終更新:
💡 攻撃の知見と防御の知見を、いっしょに改善へ
攻撃を模擬する側と防御する側が知見を共有し、組織の検知・対応を改善する活動です。許可された範囲で演習し、結果を確認して改善と再検証につなげます。
📌 このページのポイント
- 攻撃を模擬するレッド側と、検知・対応するブルー側が協力する
- 目的・対象・許可・停止条件などを決めてから演習する
- 実行した手口とログ・アラート・対応を照合し、改善後に再検証する
- 独立した常設チームを新設することが必須とは限らない
ひよこ パープルチームは、どっちの味方なの？
ペンギン先生 組織を守るために、攻撃を模擬するレッド側と防御するブルー側が協力する活動だよ。勝ち負けだけを競うのではなく、何が見えたか、どう対応できたかを共有して改善するんだ。
ひよこ 隠れて攻撃する演習とは違うの？
ペンギン先生 防御側に知らせず能力を評価する演習もあるけれど、パープルチームでは情報を共有して学ぶことを重視するよ。攻撃手順を画面で見せながら、ログやアラートを一緒に確認する進め方もあるんだ。
ひよこ 具体的にはどう進めるの？
ペンギン先生 選んだ手口を模擬実行し、防御側が観測・検知・対応できたかを確認する。足りないログや検知ルール、対応手順を直し、同じ条件で再検証するよ。その場で直せないものは担当と課題を記録して追うんだ。
ひよこ 攻撃のテストなら、何をしてもいい？
ペンギン先生 演習の許可を取り、対象や実施時間、影響、停止条件を先に決めるよ。外部の運用会社が関わるなら、その会社とも調整する。実際の被害を起こすことが目的ではないので、合意した範囲で安全に進めるんだ。
ひよこ 新しい部署を作る必要があるの？
ペンギン先生 既存の担当や外部の専門家が集まる形でもできるよ。MITRE ATT&CKを手口の共通言語として使い、組織に関係する脅威から対象を選べる。ただ全部の手口を試せば十分とは限らない。どこまで観測できたか、再検証で何が変わったかも記録しよう。
まとめ：ざっくりこれだけ覚えればOK！
「パープルチーム」って出てきたら「攻撃側と防御側が協力して、検知と対応を磨く活動」と思えばだいたいOK！
📖 おまけ：英語の意味
「Purple Team」 ＝ 攻撃と防御の協力を表す紫のチーム
💬 攻撃側のRed（赤）と防御側のBlue（青）を組み合わせた色のイメージだよ。