L'équipe violette combine l'attaque de l'équipe rouge et la défense de l'équipe bleue. L'équipe rouge attaque, l'équipe bleue défend. L'équipe violette assure la liaison, partageant les bonnes pratiques et les erreurs commises. L'objectif n'est pas de gagner l'exercice, mais d'améliorer la détection et la réaction. Un problème identifié par l'équipe rouge et non corrigé représente un effort vain. L'équipe violette veille à ce qu'il soit résolu.

Le travail est collaboratif et itératif. Les membres de l'équipe rouge exécutent une technique. Les membres de l'équipe bleue observent leurs outils et identifient les alertes. Si aucune alerte n'est déclenchée, ils élaborent une nouvelle règle de détection. Ils exécutent ensuite la technique à nouveau pour confirmer l'efficacité de la règle. Ce processus se répète tout au long du cycle de vie d'une attaque. Le travail en équipe violette est particulièrement précieux pour les organisations qui mènent régulièrement des exercices d'équipe rouge, mais qui peinent à transformer leurs observations en améliorations concrètes. Il s'avère également utile lorsque les équipes rouge et bleue travaillent en silos. Leur collaboration permet de dépasser la dynamique « nous contre eux ». L'équipe rouge découvre ce que l'équipe bleue peut voir. L'équipe bleue découvre ce que l'équipe rouge peut faire. Les deux équipes progressent. Le résultat est un ensemble documenté d'améliorations en matière de détection, et non un simple rapport.

Activités de l'équipe violette

• Émulation d'adversaires — exécuter des techniques d'attaque connues
• Validation de la détection — vérification des alertes incendie
• Ingénierie de la détection — Élaborer de nouvelles règles à partir des lacunes
• Exercices conjoints — les muscles rouges et bleus travaillent ensemble
• Métriques — mesure de la couverture de détection au fil du temps

Le « purple teaming » transforme les découvertes de l'équipe rouge en compétences pour l'équipe bleue. C'est là tout l'intérêt.