퍼플팀은 레드팀의 공격과 블루팀의 수비를 결합한 팀입니다. 레드팀은 공격을, 블루팀은 수비를 맡습니다. 퍼플팀은 두 팀 사이에 위치하여 효과적인 전략과 비효과적인 전략을 공유합니다. 목표는 훈련에서 승리하는 것이 아니라 탐지 및 대응 능력을 향상시키는 것입니다. 레드팀이 발견한 문제점이 해결되지 않고 방치되면 그 노력은 헛수고가 됩니다. 퍼플팀은 이러한 문제점이 반드시 해결되도록 합니다.

협업적이고 반복적인 방식으로 진행됩니다. 레드팀은 특정 기법을 실행하고, 블루팀은 자신들의 도구를 모니터링하며 어떤 경보가 발생하는지 확인합니다. 경보가 발생하지 않으면 새로운 탐지 규칙을 만듭니다. 그런 다음 해당 기법을 다시 실행하여 규칙이 제대로 작동하는지 확인합니다. 이러한 과정이 공격의 전체 라이프사이클에 걸쳐 반복됩니다. 퍼플팀은 정기적인 레드팀 훈련을 실시하지만, 그 결과를 실질적인 개선으로 연결하는 데 어려움을 겪는 조직에 특히 유용합니다. 또한 레드팀과 블루팀이 각자 독립적으로 운영될 때도 도움이 됩니다. 두 팀을 통합함으로써 '우리 대 그들'이라는 대립 구도를 허물 수 있습니다. 레드팀은 블루팀이 무엇을 볼 수 있는지 배우고, 블루팀은 레드팀이 무엇을 할 수 있는지 배웁니다. 양측 모두 실력을 향상시킬 수 있습니다. 최종 결과물은 단순한 보고서가 아닌, 문서화된 탐지 개선 사항입니다.

퍼플팀 활동

• 공격자 모방 — 알려진 공격자 기법 실행
• 탐지 유효성 검증 — 경고 발생 여부 확인
• 탐지 엔지니어링 — 부족한 부분을 활용하여 새로운 규칙 구축
• 합동 훈련 - 빨간색과 파란색 팀이 함께 협력합니다
• 측정 지표 — 시간에 따른 탐지 범위 측정

퍼플팀은 레드팀의 분석 결과를 블루팀의 역량으로 전환시켜 줍니다. 바로 그 전환이 퍼플팀 활동의 핵심입니다.