Het paarse team combineert de aanval van het rode team met de verdediging van het blauwe team. Het rode team valt aan. Het blauwe team verdedigt. Het paarse team zit ertussenin en deelt wat wel en niet werkt. Het doel is niet om een ​​oefening te winnen, maar om de detectie en respons te verbeteren. Een bevinding van het rode team die onbeantwoord blijft, is verspilde moeite. Het paarse team zorgt ervoor dat het wordt opgelost.

Het werk is collaboratief en iteratief. Red teamers voeren een techniek uit. Blue teamers monitoren hun tools en kijken wat er gebeurt. Als er niets alarmeert, bouwen ze een nieuwe detectieregel. Vervolgens voeren ze de techniek opnieuw uit om te bevestigen dat de regel werkt. Deze cyclus herhaalt zich gedurende de hele aanvalscyclus. Purple teaming is vooral waardevol voor organisaties die regelmatig red team-oefeningen uitvoeren, maar moeite hebben om de bevindingen om te zetten in verbeteringen. Het is ook nuttig wanneer red en blue teams in silo's werken. Door ze samen te brengen, wordt de wij-versus-zij-dynamiek doorbroken. Het red team leert wat het blue team kan zien. Het blue team leert wat het red team kan doen. Beide teams worden beter. Het resultaat is een gedocumenteerde reeks verbeteringen in de detectie, niet zomaar een rapport.

Activiteiten van het paarse team

• Aanvallersimulatie — voer bekende aanvalstechnieken uit
• Validatie van detectie — controleer of de waarschuwingen daadwerkelijk geactiveerd zijn
• Detectietechniek — nieuwe regels ontwikkelen op basis van hiaten
• Gezamenlijke oefeningen — rood en blauw werken samen
• Statistieken — meet de detectiedekking in de loop van de tijd.

Purple teaming zet de bevindingen van het red team om in de mogelijkheden van het blue team. Die omzetting is precies waar het om draait.