Det lilla hold blander det røde holds angreb med det blå holds forsvar. Det røde hold angriber. Det blå hold forsvarer. Det lilla hold sidder midt imellem dem og deler, hvad der virker, og hvad der ikke virker. Målet er ikke at vinde en øvelse. Det er at forbedre detektion og respons. En fejl, der ikke tages hånd om, er spildt arbejde for det røde hold. Et lilla hold sørger for, at det bliver rettet.

Arbejdet er samarbejdsbaseret og iterativt. Røde teammedlemmer kører en teknik. Blå teammedlemmer holder øje med deres værktøjer og ser, hvad der udløses. Hvis intet alarmerer, opbygger de en ny detektionsregel. Derefter kører de teknikken igen for at bekræfte, at reglen virker. Denne løkke gentages gennem hele angrebets livscyklus. Lilla teaming er især værdifuldt for organisationer, der kører regelmæssige røde teamøvelser, men kæmper med at omsætte resultater til forbedringer. Det hjælper også, når røde og blå teams opererer i siloer. At bringe dem sammen nedbryder os-mod-dem-dynamikken. Det røde team lærer, hvad det blå team kan se. Det blå team lærer, hvad det røde team kan gøre. Begge bliver bedre. Outputtet er et dokumenteret sæt af detektionsforbedringer, ikke bare en rapport.

Lilla holdaktiviteter

• Adversary-emulering — kør kendte angriberteknikker
• Detektionsvalidering — verificer brandalarmer
• Detektionsteknik — byg nye regler ud fra huller
• Fællesøvelser — rød og blå arbejder sammen
• Målinger — måler detektionsdækning over tid

Lilla teaming forvandler resultater fra det røde team til evner fra det blå team. Den oversættelse er hele pointen.