Det lila laget blandar det röda lagets anfall med det blå lagets försvar. Det röda laget anfaller. Det blå laget försvarar. Det lila laget sitter mitt emellan dem och delar med sig av vad som fungerar och vad som inte fungerar. Målet är inte att vinna en övning. Det är att förbättra upptäckt och respons. Ett fel som det röda laget inte åtgärdar är bortkastad ansträngning. Ett lila lag ser till att det blir åtgärdat.

Arbetet är samarbetsinriktat och iterativt. Röda teammedlemmar kör en teknik. Blå teammedlemmar övervakar sina verktyg och ser vad som utlöses. Om ingenting larmar bygger de en ny detektionsregel. Sedan kör de tekniken igen för att bekräfta att regeln fungerar. Den loopen upprepas under hela attackens livscykel. Lila teaming är särskilt värdefullt för organisationer som kör regelbundna övningar i röda team men kämpar med att omvandla resultat till förbättringar. Det hjälper också när röda och blå team arbetar i silos. Att sammanföra dem bryter ner vi-mot-dem-dynamiken. Det röda teamet lär sig vad det blå teamet kan se. Det blå teamet lär sig vad det röda teamet kan göra. Båda blir bättre. Resultatet är en dokumenterad uppsättning detektionsförbättringar, inte bara en rapport.

Lila lagaktiviteter

• Adversary-emulering — kör kända angripartekniker
• Detektionsvalidering — verifiera brandlarm
• Detektionsteknik – skapa nya regler från luckor
• Gemensamma övningar — rött och blått arbetar tillsammans
• Mätvärden — mät detektionstäckning över tid

Lila teaming omvandlar det röda teamets resultat till det blåa teamets förmågor. Den översättningen är hela poängen.