パープルチーム・検知実践訓練
Purple Teaming & Detection Exercises
検知・対応の担当者が攻撃側の担当者と一緒に、実際の攻撃手法に一つずつ向き合って訓練し、見逃した検知はその場で直します。
評価ではなく、一緒に行う訓練です。監視・検知・対応の担当者と同じ時間に同じ記録を見ながら、攻撃手法を統制された方法で再現し、検知・アラート・記録がどう反応するかを確かめます。見逃した箇所は、検知ルールとアラートの基準、保護措置を一緒に調整し、もう一度確かめます。
実際の攻撃が来たとき、検知の仕組みと担当者はそれを捉えて対応できるのか？
一緒に訓練して見逃した検知をその場で補い、手法ごとの検知の成否、直したルール・設定、残る空白をまとめます。
確認済み
このような状況に適しています
- 担当者が実際の攻撃を経験しておくべきとき
監視・対応の担当者が、実際の攻撃手法がどう見えるかを自ら体験し、アラートを受けたときに何を確かめ、誰に引き継ぐかを身につけたい場合です。
- 検知の仕組みを新たにつくった、または変えたとき
新しい検知ルールやセキュリティ機器、監視体制が実際の攻撃手法を捉えるかを、担当者と一緒に訓練しながら確かめたい場合です。
- レッドチームで見えた空白を埋めるとき
目的型ペネトレーションテスト・レッドチームは組織の予防・検知・対応を評価し、このサービスは防御チームと一緒に訓練します。評価で見逃した箇所を手法ごとにやり直して改善し、もう一度確かめたい場合です。
- 検知の範囲を根拠をもって説明する必要があるとき
どの攻撃手法を検知でき、どれがまだできないかを、手法の単位で整理したい場合です。
確認する範囲
攻撃側が再現した手法ごとに、防御側で何が見え、何を見逃したかを一緒に確認します。
- 検知ルールとアラート
攻撃手法ごとにアラートが鳴るか、その基準が適切かを確かめます。
- ログと記録
検知と調査に必要な記録が残るか、収集範囲に抜けがないかを確かめます。
- セキュリティ機器の設定
EDR・NDR・SIEMなどの機器が意図どおりに設定されているかを確かめます。
- アラートの品質
見逃しと誤検知、アラートが多すぎて重要なものが埋もれる箇所がないかを見ます。
- 対応の最初の一歩
アラートを受けた担当者が、何を確かめ、誰に引き継ぐかを実際にやってみます。
進め方
手法・範囲の合意
訓練する攻撃手法と対象システム、参加者、安全条件を決めます。脅威インテリジェンスやレッドチームの結果から手法を選ぶこともできます。
一緒に準備
防御チームとログ・アラート・検知ツールを確認し、記録の方法をそろえます。
再現と確認
攻撃側が手法を統制された方法で再現し、防御側が検知・アラート・記録をその場で確かめ、最初の対応を実際に行います。
調整と再確認
見逃した箇所は検知ルール・アラートの基準・保護措置を一緒に調整し、同じ手法でもう一度確かめます。
とりまとめ
手法ごとの結果と変わった内容、残る空白と次の課題をまとめます。
本番環境で行う場合は、影響が出ないよう範囲と方法、中断条件を先に合意します。
お客様に残る成果
手法ごとの検知結果
確かめた手法ごとに、検知・一部検知・見逃しとして整理します。
調整したルールと設定
訓練中に変えた検知ルールと設定、その理由を残します。
残る空白と優先順位
まだ検知できない部分と、先に補うべき順序をまとめます。
再確認の基準
変更後に再び確かめる手法と基準を残し、次の確認がここから続くようにします。