紫队融合了红队的进攻和蓝队的防守。红队负责进攻，蓝队负责防守，紫队则夹在两者之间，分享哪些方法有效，哪些无效。他们的目标不是赢得演习，而是提升检测和响应能力。红队发现的问题如果得不到解决，就等于浪费了精力。紫队会确保这些问题得到修复。

这项工作是协作式和迭代式的。红队队员运行一种攻击技术，蓝队队员则监控他们的工具，观察触发的警报。如果没有警报，他们就构建新的检测规则。然后，他们再次运行该技术，以确认规则有效。这个循环会在整个攻击生命周期中不断重复。对于那些定期开展红队演练但难以将演练结果转化为改进措施的组织来说，紫队演练尤其有价值。当红队和蓝队各自为政时，紫队演练也同样有效。将他们聚集在一起可以打破“我们”和“他们”之间的对立局面。红队可以了解蓝队能够看到什么，蓝队可以了解红队能够做什么。双方都能得到提升。最终的成果是一套记录在案的检测改进方案，而不仅仅是一份报告。

紫队活动

• 敌手模拟——运行已知的攻击者技术
• 检测验证——验证警报是否触发
• 检测工程——从漏洞中构建新规则
• 联合演习——红蓝两队协同作战
• 指标——衡量随时间推移的检测覆盖率

紫队演练将红队发现的问题转化为蓝队的能力。这种转化才是关键所在。