A equipa roxa combina o ataque da equipa vermelha com a defesa da equipa azul. A equipa vermelha ataca. A equipa azul defende. A equipa roxa fica entre elas, partilhando o que funciona e o que não funciona. O objetivo não é vencer o exercício, mas sim melhorar a deteção e a resposta. Uma falha identificada pela equipa vermelha que não é corrigida representa um esforço desperdiçado. A equipa roxa garante que ela seja solucionada.

O trabalho é colaborativo e iterativo. Os membros da equipa vermelha executam uma técnica. Os membros da equipa azul monitorizam as suas ferramentas e observam o que é detetado. Se nada for detetado, criam uma nova regra de deteção. Em seguida, executam novamente a técnica para confirmar se a regra funciona. Este ciclo repete-se ao longo do ciclo de vida do ataque. O trabalho em equipa roxa é especialmente valioso para as organizações que realizam exercícios regulares de equipa vermelha, mas têm dificuldade em transformar as descobertas em melhorias. Também é útil quando as equipas vermelha e azul operam isoladamente. Reunir as equipas quebra a dinâmica do "nós contra eles". A equipa vermelha aprende o que a equipa azul consegue ver. A equipa azul aprende o que a equipa vermelha consegue fazer. Ambas se aperfeiçoam. O resultado é um conjunto documentado de melhorias na deteção, e não apenas um relatório.

Atividades da equipa roxa

• Emulação do adversário — executar técnicas de ataque conhecidas
• Validação da deteção — verificar se os alertas foram disparados.
• Engenharia de deteção — construir novas regras a partir de lacunas
• Exercícios conjuntos — vermelho e azul a trabalhar em conjunto
• Métricas — medem a cobertura de deteção ao longo do tempo.

A abordagem "púrpura" transforma as descobertas da equipa vermelha em capacidades da equipa azul. Esta tradução é o objetivo principal.