ブルーチーム.

ブルーチームという呼称もレッドチームと同じく軍事演習に由来し、「青軍」が防御側を演じていたことに由来します。サイバーセキュリティのブルーチームには、SOC アナリスト・検知エンジニア・インシデントレスポンダー・スレットハンター、そして SIEM・EDR・XDR・SOAR・IAM などの各セキュリティ基盤を運用する担当者が含まれます。その責務は NIST CSF 2.0 の 6 つの機能——統治・特定・防御・検知・対応・復旧——に対応し、戦略をハードニングされたシステム、調整された検知、トリアージされたアラート、そしてアーキテクチャへ還元される事後の学びへと変換します。

現代のブルーチームはますますエンジニアリング主導です。検知アズコードのパイプラインは Sigma・YARA・Suricata ルールをバージョン管理し CI でテストします。スレットハンティングは仮説駆動で、MITRE ATT&CK を用いて敵の手口を列挙し、D3FEND で対策を対応づけます。David Bianco の「痛みのピラミッド」(2013)は優先順位を導きます。すなわち攻撃者の TTP を検知することは、容易に変更できるハッシュや IP を遮断するよりもはるかに攻撃者を苦しめます。John Lambert の「防御側はリストで考え、攻撃側はグラフで考える」という指摘は、平坦な資産台帳ではなく攻撃経路分析へとチームを向かわせます。

実効性は MTTD、MTTR、ATT&CK に対する検知カバレッジ、そしてパープルチーム演習でレッドチームと共同検証する「模擬した手口のうち実際にアラートが上がった割合」で測ります。

flowchart LR
  T[脅威インテリジェンス + ATT&CK] --> H[仮説 / ハント]
  H --> D[検知の作成と調整<br/>Sigma / YARA / EDR]
  D --> M[SIEM / XDR を監視]
  M --> A{アラート?}
  A -->|はい| IR[トリアージと対応]
  A -->|いいえ| M
  IR --> L[学びの抽出]
  L --> D
  L --> P[パープルチーム検証]
  P --> H