紫隊融合了紅隊的進攻和藍隊的防守。紅隊負責進攻，藍隊負責防守，紫隊則夾在兩者之間，分享哪些方法有效，哪些無效。他們的目標不是贏得演習，而是提升偵測和回應能力。紅隊發現的問題如果無法解決，就等於浪費了精力。紫隊會確保這些問題得到修復。

這項工作是協作式和迭代式的。紅隊隊員運行一種攻擊技術，藍隊隊員則監控他們的工具，觀察觸發的警報。如果沒有警報，他們就建立新的檢測規則。然後，他們再次運行該技術，以確認規則有效。這個循環會在整個攻擊生命週期中不斷重複。對於那些定期開展紅隊演練但難以將演練結果轉化為改進措施的組織來說，紫隊演練尤其有價值。當紅隊和藍隊各自為政時，紫隊演練也同樣有效。將他們聚集在一起可以打破「我們」和「他們」之間的對立局面。紅隊可以了解藍隊能夠看到什麼，藍隊可以了解紅隊能夠做什麼。雙方都能得到提升。最終的成果是一套記錄在案的檢測改善方案，而不僅僅是一份報告。

紫隊活動

• 敵手模擬－運行已知的攻擊者技術
• 檢測驗證－驗證警報是否觸發
• 檢測工程－從漏洞中建構新規則
• 聯合演習－紅藍兩隊協同作戰
• 指標－衡量隨時間推移的偵測覆蓋率

紫隊演練將紅隊發現的問題轉化為藍隊的能力。這種轉化才是關鍵。