Das violette Team vereint die Angriffs- und Verteidigungsstrategien des roten Teams. Das rote Team greift an, das blaue verteidigt. Das violette Team agiert dazwischen und teilt seine Erkenntnisse über Erfolge und Misserfolge. Ziel ist nicht der Sieg in der Übung, sondern die Verbesserung von Erkennung und Reaktion. Unbeachtete Erkenntnisse des roten Teams sind vergeudete Mühe. Das violette Team sorgt dafür, dass sie behoben werden.

Die Arbeit ist kollaborativ und iterativ. Die Mitglieder des Red Teams wenden eine Technik an. Die Mitglieder des Blue Teams beobachten ihre Tools und analysieren die Reaktionen. Falls keine Alarme ausgelöst werden, erstellen sie eine neue Erkennungsregel. Anschließend wenden sie die Technik erneut an, um die Funktionsfähigkeit der Regel zu bestätigen. Dieser Kreislauf wiederholt sich während des gesamten Angriffszyklus. Purple Teaming ist besonders wertvoll für Organisationen, die regelmäßig Red-Team-Übungen durchführen, aber Schwierigkeiten haben, die Erkenntnisse in Verbesserungen umzusetzen. Es ist auch hilfreich, wenn Red und Blue Teams isoliert arbeiten. Die Zusammenführung beider Teams löst das „Wir gegen die“-Denken auf. Das Red Team lernt, was das Blue Team sieht. Das Blue Team lernt, was das Red Team tun kann. Beide verbessern sich. Das Ergebnis ist eine dokumentierte Sammlung von Verbesserungen in der Erkennung, nicht nur ein Bericht.

Aktivitäten des lila Teams

• Angreifersimulation – bekannte Angreifertechniken ausführen
• Erkennungsvalidierung – Überprüfung der ausgelösten Warnmeldungen
• Erkennungsentwicklung – neue Regeln aus Lücken erstellen
• Gemeinsame Übungen – Rot und Blau arbeiten zusammen
• Kennzahlen – Messung der Erkennungsabdeckung im Zeitverlauf

Purple Teaming wandelt die Erkenntnisse des Red Teams in Fähigkeiten des Blue Teams um. Genau darum geht es.