Фиолетовая команда сочетает нападение красной команды с обороной синей. Красная команда атакует, синяя команда обороняется, а фиолетовая команда находится между ними, делясь опытом, что работает, а что нет. Цель не в том, чтобы выиграть учение, а в том, чтобы улучшить обнаружение и реагирование. Находка красной команды, оставленная без внимания, – это пустая трата усилий. Фиолетовая команда гарантирует, что проблема будет решена.

Работа носит совместный и итеративный характер. Специалисты «красной команды» проводят тестирование метода. Специалисты «синей команды» наблюдают за работой своих инструментов и видят, что срабатывает. Если ничего не срабатывает, они создают новое правило обнаружения. Затем они снова запускают тестирование метода, чтобы подтвердить работоспособность правила. Этот цикл повторяется на протяжении всего жизненного цикла атаки. Работа «фиолетовой команды» особенно ценна для организаций, которые регулярно проводят учения «красной команды», но испытывают трудности с преобразованием результатов в улучшения. Это также помогает, когда «красная» и «синяя» команды работают изолированно. Объединение их разрушает динамику «мы против них». «Красная команда» узнает, что видит «синяя команда». «Синяя команда» узнает, что может сделать «красная команда». Обе команды становятся лучше. Результатом является документированный набор улучшений в обнаружении, а не просто отчет.

Мероприятия команды «Фиолетовая»

• Эмуляция противника — использование известных методов атаки.
• Проверка обнаружения — подтверждение срабатывания оповещений.
• Разработка методов обнаружения — создание новых правил на основе пробелов в знаниях.
• Совместные учения — красные и синие работают вместе
• Метрики — измерение охвата обнаружения с течением времени.

Метод «фиолетовой команды» превращает результаты работы «красной команды» в возможности «синей команды». В этом и заключается вся суть.