パープルチームは、レッドチームの攻撃とブルーチームの防御を融合させたチームです。レッドチームが攻撃し、ブルーチームが防御します。パープルチームは両者の間に位置し、何が効果的で何が効果的でないかを共有します。目標は演習に勝つことではなく、発見と対応能力を向上させることです。レッドチームが発見したものの対処されなかった問題は、努力の無駄です。パープルチームは、それが確実に修正されるようにします。

この作業は共同作業であり、反復的です。レッドチームのメンバーがテクニックを実行します。ブルーチームのメンバーはツールを監視し、何がトリガーされるかを確認します。何もアラートが発生しない場合は、新しい検出ルールを作成します。次に、ルールが機能することを確認するために、テクニックを再度実行します。このループは、攻撃ライフサイクル全体で繰り返されます。パープルチームは、定期的にレッドチーム演習を実施しているものの、発見を改善につなげるのに苦労している組織にとって特に価値があります。また、レッドチームとブルーチームがサイロ化して活動している場合にも役立ちます。両チームを統合することで、「我々対彼ら」という力関係が解消されます。レッドチームはブルーチームが何を見ることができるかを学び、ブルーチームはレッドチームが何ができるかを学びます。両チームとも向上します。成果物は、単なるレポートではなく、文書化された一連の検出改善です。

パープルチームの活動

• 敵対者エミュレーション — 既知の攻撃手法を実行する
• 検出検証 — アラートが発生することを確認する
• 検出エンジニアリング ― ギャップから新しいルールを構築する
• 共同運動 ― 赤と青が協力して
• 指標 — 時間の経過に伴う検出範囲を測定する

パープルチームは、レッドチームの発見をブルーチームの能力へと変換する。その変換こそが重要なのだ。