Jedna strona wykonuje uzgodnione zachowanie przeciwnika; druga obserwuje, co środowisko rejestruje i jak reaguje proces obronny. Strony wymieniają kontekst, korygują luki i powtarzają test, aż zamierzony rezultat zostanie zademonstrowany.
„Purple team" to etykieta branżowa, a nie powszechnie ustandaryzowana struktura zespołu. Może opisywać zlecenie, fazę ćwiczenia red team lub stały sposób współpracy między istniejącymi funkcjami red i blue. Tworzenie stałego trzeciego zespołu jest opcjonalne; cechą definiującą jest celowa pętla sprzężenia zwrotnego między emulacją ataku a obroną.
Najważniejsze punkty
HipotezaPrzed testem określ zachowanie, oczekiwany wynik kontroli, wymaganą telemetrię, logikę detekcji i rezultat reakcji.
Bezpieczne wykonanieStosuj autoryzowany zakres, kontrolowane konta i dane, monitoring, porządkowanie, dekonfliktację i udokumentowane warunki zatrzymania.
Współdzielenie dowodówPorównuj działania operatora z obserwacjami punktów końcowych, tożsamości, sieci, chmury i aplikacji, zamiast polegać wyłącznie na statusie alertu.
Pętla remediacjiPrzypisuj właścicieli, wprowadzaj zmiany, testuj ponownie i zachowuj powtarzalne przypadki testowe do kontroli regresji.
Istotne ograniczenieŚciśle zapisana w scenariuszu współpraca może efektywnie walidować znane scenariusze, ale nie odtwarza całej niepewności ani kreatywności niezależnego przeciwnika.