El equipo morado combina la ofensiva del equipo rojo con la defensa del equipo azul. El equipo rojo ataca. El equipo azul defiende. El equipo morado se sitúa entre ambos, compartiendo lo que funciona y lo que no. El objetivo no es ganar el ejercicio, sino mejorar la detección y la respuesta. Un hallazgo del equipo rojo que no se aborda supone un esfuerzo desperdiciado. El equipo morado se asegura de que se solucione.

El trabajo es colaborativo e iterativo. Los miembros del equipo rojo ejecutan una técnica. Los miembros del equipo azul observan sus herramientas y ven qué se activa. Si no se activa ninguna alerta, crean una nueva regla de detección. Luego, ejecutan la técnica nuevamente para confirmar que la regla funciona. Este ciclo se repite a lo largo del ciclo de vida del ataque. El trabajo en equipo púrpura es especialmente valioso para las organizaciones que realizan ejercicios regulares de equipo rojo, pero tienen dificultades para convertir los hallazgos en mejoras. También ayuda cuando los equipos rojo y azul operan de forma aislada. Reunirlos rompe la dinámica de "nosotros contra ellos". El equipo rojo aprende lo que el equipo azul puede ver. El equipo azul aprende lo que el equipo rojo puede hacer. Ambos mejoran. El resultado es un conjunto documentado de mejoras en la detección, no solo un informe.

Actividades del equipo morado

• Emulación del adversario: ejecutar técnicas de ataque conocidas.
• Validación de detección: verificar alertas de incendio
• Ingeniería de detección: construir nuevas reglas a partir de las lagunas.
• Ejercicios conjuntos: rojo y azul trabajando juntos
• Métricas: miden la cobertura de detección a lo largo del tiempo.

El trabajo en equipo púrpura transforma los hallazgos del equipo rojo en capacidades del equipo azul. Esa es la clave.