Definicja Purple Team
Purple team to najczęściej mylone z tych trzech pojęć - nie jest to trzeci, osobny zespół obok red team i blue team. To tryb pracy, w którym obie strony celowo współpracują i wymieniają się informacjami w trakcie ćwiczenia, zamiast trzymać wyniki w tajemnicy aż do końcowego raportu. Firma nie zatrudnia "purple teamu" jako trzeciej grupy ludzi - wystawia własnych czerwonych i niebieskich w trybie purple.
Nazwa odwołuje się do mieszania barw - czerwony i niebieski dają purpurę - i to jest jedyne uzasadnione znaczenie koloru w tym pojęciu. Fioletowy nie oznacza nowej kompetencji ani nowego stanowiska, tylko nakładkę na dwie istniejące role, aktywowaną na czas konkretnego ćwiczenia.
Rozróżnienie ma praktyczne konsekwencje przy zakupie usługi. Organizacja szukająca dostawcy purple teamingu nie kupuje trzeciego rodzaju specjalisty - kupuje sposób prowadzenia ćwiczenia, w którym wykonawcy red team i blue team (własni albo dostarczeni przez tego samego dostawcę) pracują w bezpośrednim kontakcie, zamiast w oddzielnych, nierównoległych etapach.
Jak to działa
Ćwiczenie w trybie purple przebiega jako zamknięta pętla, powtarzana dla kolejnych technik ataku, a nie jako jednorazowa sekwencja z wyraźnym końcem. To różni go strukturalnie od liniowego przebiegu klasycznego ćwiczenia red team.
Red team zapowiada konkretną technikę ataku, którą zamierza wykonać, zamiast trzymać ją w tajemnicy do końca ćwiczenia. Po wykonaniu techniki obie strony obserwują równolegle - red team potwierdza wykonanie kroku, blue team sprawdza własną telemetrię w SIEM albo EDR/XDR w poszukiwaniu śladu. Następuje wspólna ocena detekcji: czy technika została wykryta, przez jaki mechanizm i z jakim opóźnieniem.
Gdy detekcja zawodzi, zespoły od razu tworzą albo poprawiają regułę w SIEM lub SOAR, zamiast zapisywać to jako rekomendację w raporcie końcowym. Ostatni krok pętli to powtórzenie tej samej techniki, by potwierdzić, że poprawka faktycznie działa - dopiero wtedy zespoły przechodzą do kolejnej techniki z listy.
Struktura i klasyfikacja
Rozróżnienie między trybem a zespołem jest czyste na poziomie definicji, ale rozmywa się na poziomie oferty rynkowej, co samo w sobie jest źródłem nieporozumienia opisanego szerzej w dalszej sekcji.
| Ujęcie | Co faktycznie oznacza | Kto to wykonuje |
|---|---|---|
| Definicja techniczna | Tryb współpracy red i blue team w trakcie ćwiczenia | Ci sami ludzie co w klasycznym red i blue team |
| Oferta komercyjna "purple team" | Usługa sprzedawana pod nazwą osobnej pozycji w cenniku | Ten sam dostawca wystawia zespół ofensywny i defensywny naraz |
| Błędne rozumienie | Osobna, trzecia grupa specjalistów | Nie istnieje jako samodzielna rola zawodowa |
To, że dostawca sprzedaje usługę purple team jako osobną pozycję w cenniku, nie zaprzecza definicji - sprzedaje sposób prowadzenia ćwiczenia, nie nową kategorię ludzi. Praktyczna różnica wobec osobnego zamówienia pentestu i przeglądu SOC polega na tym, że w trybie purple ta sama firma koordynuje obie strony jednocześnie i odpowiada za jakość wymiany informacji między nimi w czasie rzeczywistym.
W szerszym kontekście
Purple team zakłada, że czytelnik rozumie już, czym z osobna są red team i blue team - to hasło nie powtarza ich definicji, tylko opisuje moment, w którym obie role zaczynają pracować razem zamiast po kolei.
Konsekwencją wyboru trybu purple jest inne tempo poprawy niż w klasycznym ćwiczeniu.
W klasycznym red teamingu poprawa konkretnej luki w detekcji następuje tygodnie po zakończeniu ćwiczenia, gdy zespół obronny wdroży rekomendacje z raportu. W trybie purple ta sama poprawa dzieje się w godziny - obie strony pracują nad tym samym problemem w tym samym momencie, zamiast po kolei. Ta różnica tempa nie oznacza, że tryb purple jest lepszy - mierzy inną rzecz, co rozwija kolejna sekcja.
Zastosowanie w praktyce
Purple teaming sprawdza się jako uzupełnienie, nie zamiennik, cyklicznego pentestu i pełnego ćwiczenia red team - najczęściej po nim, żeby domknąć konkretne luki w detekcji, które ujawnił SOC. Tempo z poprzedniej sekcji tłumaczy dlaczego: tryb purple szybko zamyka pojedynczą, znaną już lukę, ale nie mierzy gotowości organizacji na niezapowiedziany atak tak dobrze, jak klasyczny red team, w którym obrońcy nie znają terminu ćwiczenia.
W praktyce sesja purple ma sens w kilku konkretnych sytuacjach:
- Domykanie luk po klasycznym red teamie - najczęstsze zastosowanie, opisane wyżej.
- Wdrożenie nowej reguły detekcji - zespół chce sprawdzić natychmiast, czy reguła faktycznie działa na realnej technice, zamiast czekać na kolejny pełny cykl ćwiczeń.
- Szkolenie zespołu blue team - obserwowanie technik red teamu na żywo buduje kompetencje analityków szybciej niż sama lektura raportu.
- Ograniczony budżet na pełne ćwiczenie - sesja purple, skupiona na wąskim zestawie technik, kosztuje mniej niż pełny, wielotygodniowy red teaming.
Firmy prowadzące tego typu ćwiczenia znajdziesz w kategorii Testy Penetracyjne i Audyty.
Najczęstsze nieporozumienia
To najczęstsze i najważniejsze nieporozumienie dotyczące tego pojęcia, rozstrzygnięte już w definicji wyżej - purple to tryb pracy dwóch istniejących zespołów, nie nowa grupa ludzi. Firma oferująca usługę purple team i tak wystawia własnych specjalistów ofensywnych i defensywnych, tyle że każe im współpracować w czasie rzeczywistym, zamiast dostarczać dwa osobne raporty.
Nieprawda - sekcja Zastosowanie w praktyce wyżej wprost pokazuje, że to uzupełnienie, nie zamiennik. Tryb purple nie sprawdza, czy obrona wykryje niezapowiedziany atak, bo obrona z definicji wie, co się dzieje - to zupełnie inny test niż klasyczne ćwiczenie z ukrytym terminem.
Zbyt duże uproszczenie - wymaga tych samych kompetencji ofensywnych i defensywnych co osobne ćwiczenia, plus dodatkowej umiejętności koordynacji między stronami w czasie rzeczywistym, której klasyczny model nie wymaga wcale.
Zależy od celu. Jeśli celem jest szybkie domknięcie znanej luki - tak. Jeśli celem jest sprawdzenie realnej gotowości organizacji na atak, o którym nikt nie wie z wyprzedzeniem, klasyczny red team mierzy to lepiej, właśnie dlatego że blue team działa bez podpowiedzi.
FAQ
Czym różni się purple team od klasycznego red teamingu?
Klasyczny red team ukrywa termin i technikę przed blue teamem, a wymiana wiedzy następuje dopiero w raporcie po zakończeniu ćwiczenia - tygodnie po fakcie. Tryb purple odwraca ten rytm: red team zapowiada technikę na bieżąco, blue team od razu sprawdza detekcję, a poprawki wdraża się w godziny, nie tygodnie.
Czy purple team to osobny zespół specjalistów?
Kiedy warto wybrać tryb purple zamiast pełnego ćwiczenia red team?
Czy firma może kupić samą usługę purple team bez wcześniejszego pentestu?
Technicznie tak, ale rekomendowana kolejność zaczyna od podstawowej higieny bezpieczeństwa i przynajmniej jednego pentestu. Bez tego fundamentu sesja purple sprawdza detekcję luk, które i tak zostałyby znalezione szybciej i taniej klasycznym testem.
Powiązane pojęcia
- Red Team - zespół ofensywny, który w trybie purple ujawnia technikę na bieżąco zamiast dopiero w raporcie.
- Blue Team - zespół obronny, który w trybie purple dostraja detekcję od razu podczas ćwiczenia.
- Pentest - węższy test, po którym często następuje sesja purple domykająca konkretne luki.
- SOC - operacyjne centrum, którego reguły detekcji tryb purple dostraja w czasie rzeczywistym.
- SIEM - narzędzie, w którym obie strony wspólnie weryfikują, czy technika została wykryta.
Testy Penetracyjne i Audyty
Znajdziesz tu firmy prowadzące ćwiczenia purple team i pełne testy ofensywne.