Purple Team – подход к улучшению защиты, при котором специалисты по атакам (red team) и команда защиты (blue team) работают вместе. Атакующие пошагово воспроизводят техники злоумышленников, а защитники сразу проверяют, видят ли их средства мониторинга, срабатывают ли правила и как организовано реагирование. По итогам дорабатываются правила обнаружения и процессы.
Как проходит
- Выбор сценариев, часто по матрице MITRE ATT&CK.
- Пошаговое выполнение техник атаки.
- Проверка телеметрии, срабатываний SIEM, EDR, NDR.
- Доработка правил и повторная проверка.
- Отчёт о покрытии техник обнаружением.
Чем отличается от других форматов
- Пентест – поиск уязвимостей.
- Red teaming – скрытная имитация реальной атаки, защита о ней не знает.
- Purple teaming – открытое сотрудничество с фокусом на улучшение обнаружения.
Инструменты
Платформы эмуляции атак (BAS), фреймворки с открытым кодом для выполнения техник, SIEM и системы управления правилами обнаружения.
