本記事は Cybersecurity Blue Team Strategies（Shu Mathur / Dennis Chow 著）の内容を全章にわたって要約・整理したものです。
サイバーセキュリティの防御側（ブルーチーム）として組織を守るために必要な考え方・プロセス・技術をコンパクトに把握したい方に向けています。
はじめに
サイバー攻撃が増加する現在、組織を守る「守備側」の知識体系を体系的に把握したいと感じていました。
本書はブルーチームの構築から運用・優先順位付けまでを一冊でカバーしており、チーム構成・リスク管理・脅威インテリジェンス・インシデント対応などを包括的に学ぶのに適しています。
本書の構成
| パート | 章 | テーマ |
|---|---|---|
| パート1：ブルーの確立 | 1〜3 | チーム構築・管理・リスクアセスメント |
| パート2：争いをコントロールする | 4〜10 | オペレーション・脅威・ガバナンス・検出・対応 |
| パート3：専門家に聞く | 11〜12 | 戦略の優先順位・専門家の洞察 |
第1章：防衛計画の確立
ブルーチームとは、組織のインフラやアプリケーションに存在するセキュリティホールを特定し、パッチ適用やセキュリティ対策の導入を支援するサイバーセキュリティ専門家集団です。
ブルーチームが組織にもたらすメリット
- リスクアセスメント：何を・どのように守るかを把握するための評価を実施する
- 監視と監査：SIEMを活用したログ記録・ダッシュボードによる日次コンプライアンスチェック
- セキュリティ管理：CMDBで重要資産を特定・分類し、CVE/CWEを追跡してパッチ対応を行う
- 経営陣への報告：費用対効果分析を通じた意思決定支援
主なチーム構成と役割
SOCアナリスト（L1/L2/L3）
├── L1：アラートトリアージ・初動調査
├── L2：深堀り調査・エスカレーション
└── L3：上級分析・プレイブック策定
インシデント対応者（IR）：封じ込め・修復・復旧を担う
脅威ハンター：プロアクティブに脅威を調査・ルール設計
脅威インテリジェンスアナリスト（TIA）：TTPをもとにIOCを収集・分析
セキュリティ管理者：SIEM・SOAR・EDRなどのツール運用・維持
IAM管理者：ID・アクセス権限・SSOの管理
コンプライアンスアナリスト：内部監査・法令対応
レッドチーム・パープルチームとの関係
- レッドチーム：攻撃者の視点で侵入テスト・CVE発見を担う
- パープルチーム：レッドとブルーを連携させ、フィードバックループを強化する。パープルチームは「独立したチーム」である必要はなく、連携促進の役割として機能する
人材育成の施策
- サイバーラボ：自宅ラボ・社内ラボで実践的スキルを維持する
- CTF / ハッカソン：クロストレーニングとチームビルディングを兼ねる
- 継続的な学習：業界変化に合わせ、3ヶ月放置すると後れを取るとも言われる
第2章：防衛セキュリティチームの管理
なぜ指標（メトリクス）が必要か
「計測できないものは管理できない」という原則に基づき、ブルーチームのパフォーマンスをKPI / KRI / セキュリティ態勢の観点から継続的に評価することが重要です。GDPR・CCPAなど規制強化の流れもあり、CISOがボードに数値で説明責任を果たす場面が増えています。
KRI設計の5フェーズ
フェーズ1：発見
オンプレミス・クラウドを含む全IT資産の特定
フェーズ2：KRIの指定
資産の重要度に応じた定量化可能・予測可能なKRIを割り当てる
フェーズ3：ベースライン設定
コンプライアンス許容レベルと違反時のしきい値を定義する
フェーズ4：監視・調査・報告
定期監視→アラート→エスカレーション→チケット管理
フェーズ5：リスク管理
「セキュリティコストは資産価値を超えない」を念頭に置き
組織のリスク許容度に合わせてKRIを調整する
CISコントロール18項目（主要抜粋）
CIS（インターネットセキュリティセンター）が公開する18のコントロールは、KRI設計の出発点として活用できます。
| # | コントロール例 |
|---|---|
| 1 | 企業資産のインベントリと管理 |
| 2 | ソフトウェア資産のインベントリと管理 |
| 7 | 継続的な脆弱性管理 |
| 8 | 監査ログ管理 |
| 13 | ネットワーク監視と防御 |
| 17 | インシデント対応管理 |
| 18 | 侵入テスト |
自動化のポイントと落とし穴
KRI収集にはSIEM・GRC・RPA（Robotic Process Automation）を活用することで、手作業の排除と継続的ダッシュボードの実現が可能です。ただし以下の落とし穴には注意が必要です。
- 業界標準がなく、自組織に合わせた設計が必須
- 経営幹部へのビジネス価値説明が困難
- テクノロジーの変化に伴い、KRI自体を定期的に見直す必要がある
- 内部統制が確立していないと、意味のある指標を設定できない
第3章：リスクアセスメント
NISTリスク管理フレームワーク（RMF）の6ステップ
1. 特定（Identify） ── 資産・情報の分類・影響分析
2. 選択（Select） ── NIST SP 800-53コントロールセットの選択
3. 実装（Implement） ── コントロール展開と文書化
4. 評価（Assess） ── コントロールの効果検証
5. 承認（Authorize） ── CISOによるリスクベース意思決定
6. 監視（Monitor） ── 継続的なリスク評価
資産インベントリの設計
資産インベントリには以下の項目を含めることが推奨されます。
| 列名 | 内容 |
|---|---|
| SPN | サービスプリンシパル名（内部識別子） |
| IPアドレス | ネットワーク上の位置 |
| 所在地 | オンサイト / オフサイト |
| システムタイプ | OS・接続方式など |
| プロダクトオーナー | ビジネス担当者の連絡先 |
| 保護コントロール | ファイアウォール・IPS・マルウェア対策など |
| 脅威 | スピアフィッシング・マルウェアなど |
SPNは内部識別子としてのみ使用し、実際のサービスアカウント名と切り離すことでハッカーの標的選定を困難にします。
リスク計算式
リスク = 発生可能性 × 影響度
発生可能性の評価軸：
- 敵対者の意図・能力・標的
- 脆弱性の存在と悪用可能性
影響度の評価軸：
- 資産価値（データ量 × 単価など）
- 業務停止時の損失
例：資産価値 $22,000 × リスクレベル3（高）= $66,000
第4章：ブルーチームオペレーション
防御戦略の基本思想は「攻撃が来てから対策を買うのではなく、事前に防御体制を整える」ことです。本章では5つのオペレーション領域が解説されています。
インフラ領域
- 攻撃対象領域の最小化（最小権限原則の適用）
- ネットワークセグメンテーション
- ログ監視の有効化による内部者攻撃の防止
- 通信の暗号化（VPNの活用）
- レッドチームと連携した脆弱性特定・修正サイクル
アプリケーション領域
- 開発前：InfoSecチャンピオンを開発チームに配置し、脆弱性を早期に発見する
- 開発中：各スプリント終了時に脆弱性スキャンを実施する（アジャイルとの統合）
- 本番後：カンバン方式でバグトラッキングと修正を継続する
クラウド領域
IaaS / PaaS / SaaS それぞれでセキュリティ責任の境界が異なります。
| サービス種別 | ベンダー責任 | 組織責任 |
|---|---|---|
| IaaS | サーバー・ストレージ・仮想化 | OS・ミドルウェア・アプリ・データ |
| PaaS | OS・ランタイム・ミドルウェア | アプリ・データ |
| SaaS | ほぼすべて | データ利用方法のみ |
- パブリック / プライベート / ハイブリッド / マルチクラウドの特性を理解した上で監視戦略を設計する
- クラウドテレメトリを活用したリアルタイム監視が防御の鍵
インサイダー脅威への対策
Impervaによると、2016〜2022年の大規模データ侵害の24%は人為的ミスまたは認証情報漏洩が原因とされています。
主な対策手順：
- 関係者のコンセンサスを得て内部脅威対策プログラムを立ち上げる
- ゼロトラスト原則を大規模組織に適用する
- 内部脅威専門チームを設置する（外部脅威対策と分離する）
- 厳格なポリシーを策定し一貫して適用する（法廷対応を想定する）
- DLPを超えた包括的データセキュリティソリューション（監視・自動対応付き）を導入する
第5章：脅威
脅威は「意図を持った外部攻撃」「内部の人的ミス」「構造的な欠陥」「自然災害」の4種類に大別されます。脅威ハンターはTTP（戦術・技術・手順）に基づいてIOC（侵害の痕跡）を収集し、SIEM上でアラートルールを設計します。
第6章：ガバナンス・コンプライアンス・規制
GDPR・CCPAをはじめとするデータプライバシー法への対応はブルーチームの重要な責務です。CIS・NIST・ISO 27001などのフレームワークをベースに、組織のコンプライアンス体制を整備します。
第7章：予防管理
予防的コントロールとして、ファイアウォール・IDS/IPS・DLP・IAM・暗号化・セキュリティ意識向上トレーニングを組み合わせた多層防御（Defense in Depth）を構築します。
第8章：検出制御
SIEMソリューション（Splunk・IBM QRadar・LogRhythmなど）を中心とした検出体制の設計が解説されています。アラートの真陽性・偽陽性の分類、SOPに従ったプレイブック対応、エスカレーションフローの整備が重要です。
第9章：サイバー脅威インテリジェンス（CTI）
CTIは戦術的・運用的・戦略的の3層で構成されます。
戦略的インテリジェンス：経営幹部向け、脅威トレンドの方向性
運用的インテリジェンス：SOC向け、攻撃キャンペーンのTTP
戦術的インテリジェンス：アナリスト向け、IOC（IPアドレス・ハッシュ等）
IBM X-Force・AlienVault OTX・VirusTotalなど複数のプラットフォームを組み合わせて脅威情報を収集・分析します。
第10章：インシデント対応と復旧
インシデント対応の流れは以下の通りです。
検知 → トリアージ → 封じ込め → 根絶 → 復旧 → 教訓（ポストモーテム）
- 事前にプレイブック（ランブック）を作成しておくことで、インシデント発生時の判断速度を高める
- サイバー攻撃の影響範囲をCFOと連携して財務インパクトで定量化する
- 定期的なシミュレーション（テーブルトップエクササイズ）でプレイブックを検証する
第11章：ブルーチーム戦略の優先順位付けと実装
本書の総括として、ブルーチームの戦略実装には以下の優先順位付けが推奨されています。
- まずリスク評価を実施する：何を守るかを明確にしないと、どんなツールも効果を発揮しない
- 指標を設定する：測定できなければ改善できない
- 自動化に投資する：手作業の排除と継続的監視の実現
- 人材を育成・維持する：最先端のツールも、使いこなせる人材がいなければ無意味
- 継続的に見直す：脅威の進化に合わせて戦略・KRI・プレイブックを更新し続ける
第12章：専門家の洞察
金融・医療・エネルギーなど複数業界の実務専門家のインタビューが収録されています。共通して語られるのは「技術だけでなく、経営幹部との対話・予算確保・人材育成こそが最大の課題」という点です。
まとめと所感
本書を通じて、ブルーチームの活動が「ツールを入れれば終わり」ではなく、継続的なプロセスの積み重ねであることを再認識しました。
| 視点 | 学べること |
|---|---|
| チーム設計 | SOC・IR・CTIなど役割の明確化と人材育成手法 |
| リスク管理 | NISTフレームワークに基づく定量的なリスク計算 |
| 運用設計 | インフラ・アプリ・クラウド・エンドポイント横断の防御設計 |
| 指標設計 | CISコントロールを出発点としたKRI策定と自動化 |
| インサイダー対策 | ゼロトラスト・DLP・継続監視の組み合わせ |
セキュリティに関心のあるエンジニアに限らず、CTO・CTOOや開発リーダーが「組織としてのセキュリティ体制を理解する」うえでも読む価値のある一冊だと感じています。