Det lilla laget blander det røde lagets angrep med det blå lagets forsvar. Det røde laget angriper. Det blå laget forsvarer. Det lilla laget sitter mellom dem og deler hva som fungerer og hva som ikke fungerer. Målet er ikke å vinne en øvelse. Det er å forbedre deteksjon og respons. En oppdagelse hos det røde laget som ikke tas tak i, er bortkastet innsats. Et lilla lag sørger for at det blir fikset.

Arbeidet er samarbeidende og iterativt. Røde teammedlemmer kjører en teknikk. Blå teammedlemmer overvåker verktøyene sine og ser hva som utløses. Hvis ingenting varsler, bygger de en ny deteksjonsregel. Deretter kjører de teknikken på nytt for å bekrefte at regelen fungerer. Denne løkken gjentas gjennom hele angrepets livssyklus. Lilla teaming er spesielt verdifullt for organisasjoner som kjører regelmessige røde teamøvelser, men sliter med å gjøre funn om til forbedringer. Det hjelper også når røde og blå team opererer i siloer. Å bringe dem sammen bryter ned oss-mot-dem-dynamikken. Det røde teamet lærer hva det blå teamet kan se. Det blå teamet lærer hva det røde teamet kan gjøre. Begge blir bedre. Resultatet er et dokumentert sett med deteksjonsforbedringer, ikke bare en rapport.

Lilla lagaktiviteter

• Motstanderemulering – kjør kjente angriperteknikker
• Deteksjonsvalidering – bekrefte brannvarsler
• Deteksjonsteknikk – bygg nye regler fra hull
• Fellesøvelser – rød og blå jobber sammen
• Målinger – mål deteksjonsdekning over tid

Lilla teaming gjør funn fra det røde teamet om til evner fra det blå teamet. Den oversettelsen er hele poenget.