c4.12 ブルーチームを編成する

ブルーチームはインシデントのライフサイクル全体で働く

GuardDuty の検出結果への対応は最初期のフェーズから推奨されていましたが、ブルーチームは単に反応するだけではありません。ライフサイクル全体で活動します。

• 準備: 脅威モデリングと、調査に必要なログや証拠が収集されていることの確認。
• 特定: 脅威検知と SIEM のアラートの監視。
• 封じ込め: 影響を抑えるための攻撃者の隔離。
• 根絶: 攻撃者のあらゆるアクセスの除去。
• 復旧: 既知の正常な状態への復帰。
• 学習: 教訓の文書化と改善。

名称は軍事演習に由来します。「赤」の部隊が敵役を演じ、「青」のチームが防御します。

スケールのために対応を自動化する

クラウドのインシデント対応はオンプレミスと異なります。意思決定に必要な技術的文脈が AWS Config や AWS CloudTrail などのサービスを通じてプログラムから取得でき、はるかに高い自動化が可能です。AWS は、自社インフラのセキュリティイベントの大多数が人手を介さず自動的に解決されると公表しています。したがってブルーチームは、特に最も頻発し影響の大きいインシデントについて是正の自動化に大きく投資し、人は判断に集中すべきです。