パープルチーム
攻撃側の「レッドチーム」と防御側の「ブルーチーム」がリアルタイムで協力し、検知と対応を改善する取り組み。レッドが勝つことだけを目指し、ブルーが後から知らされるのではない。赤+青=紫。
従来のレッドチーム演習との違いはこうだ。レッドチームは秘密裏に行動し、最後に結果を報告する(ブルーチームは侵入されたことを後から知る)。パープルチーム演習では、レッドチームが既知の手法を実行するのをブルーチームがリアルタイムで見守る。「今からKerberoastingをやる。ログで見えているか。見えないなら検知ルールを直し、もう一度実行して、検知されるか確かめよう」という具合だ。反復的で、透明で、学びが多い。
利点は、防御が弱いと確認するだけで終わらず、実際に防御(MITRE ATT&CKの手法に対する検知のカバー範囲)を強化できることにある。「パープルチーム」は常設のチームというより、活動や機能を指すことが多い。攻撃側の知見を防御の改善に落とし込む、現代の理想形である。