Zespół fioletowy łączy atak zespołu czerwonego z obroną zespołu niebieskiego. Zespół czerwony atakuje. Zespół niebieski broni. Zespół fioletowy znajduje się pomiędzy nimi, dzieląc się tym, co działa, a co nie. Celem nie jest wygranie ćwiczenia. Celem jest poprawa wykrywania i reagowania. Niezaadresowane odkrycie zespołu czerwonego to strata czasu. Zespół fioletowy dba o to, aby zostało naprawione.

Praca ma charakter zespołowy i iteracyjny. Członkowie zespołu czerwonego wdrażają technikę. Członkowie zespołu niebieskiego obserwują swoje narzędzia i sprawdzają, co się uruchamia. Jeśli nic nie alarmuje, tworzą nową regułę wykrywania. Następnie ponownie uruchamiają technikę, aby potwierdzić jej działanie. Ta pętla powtarza się przez cały cykl życia ataku. Zespół fioletowy jest szczególnie cenny dla organizacji, które regularnie przeprowadzają ćwiczenia zespołu czerwonego, ale mają trudności z przekształcaniem wniosków w ulepszenia. Pomaga również, gdy zespoły czerwony i niebieski działają w silosach. Połączenie ich przełamuje dynamikę „my kontra oni”. Zespół czerwony uczy się tego, co widzi zespół niebieski. Zespół niebieski uczy się, co zespół czerwony potrafi zrobić. Oba zespoły stają się lepsze. Wynikiem jest udokumentowany zestaw usprawnień w zakresie wykrywania, a nie tylko raport.

Działania zespołu fioletowego

• Emulacja przeciwnika — uruchamianie znanych technik atakujących
• Walidacja wykrywania — sprawdź, czy alerty są uruchamiane
• Inżynieria wykrywania — twórz nowe reguły na podstawie luk
• Wspólne ćwiczenia – czerwony i niebieski pracują razem
• Metryki — mierz zasięg wykrywania w czasie

Fioletowy zespół przekształca ustalenia zespołu czerwonego w możliwości zespołu niebieskiego. To właśnie jest sednem sprawy.