Purple Teaming
Bij purple teaming werken aanvallers (het red team) en verdedigers (het blue team) samen in één oefening. De aanvallers voeren echte aanvalstechnieken uit, terwijl de verdedigers direct kijken of ze die opmerken en stoppen. Zo verbeter je stap voor stap hoe snel je aanvallen ontdekt.
Wat is Purple Teaming?
Purple teaming is een manier van werken, geen vast team. Het brengt twee rollen samen: het red team dat aanvallen simuleert (de offensieve kant) en het blue team dat systemen bewaakt en verdedigt (de defensieve kant).
Bij klassiek red teaming werken beide kanten los van elkaar. Het red team valt heimelijk aan en het blue team weet van niets. Bij purple teaming is de oefening juist transparant: beide teams delen kennis en werken in real time samen. Zo leren aanvallers en verdedigers direct van elkaar.
Hoe werkt Purple Teaming?
Het red team voert gerichte aanvalstechnieken uit, vaak gekoppeld aan MITRE ATT&CK (een bekende kennisbank van aanvalstechnieken). Het blue team kijkt live mee of het de aanval opmerkt en er goed op reageert.
Een oefening verloopt meestal in deze stappen:
- Het red team kiest een aanvalstechniek en voert die uit.
- Het blue team controleert of monitoring en alarmen de aanval zien.
- Beide teams bespreken direct wat wel en niet werd opgemerkt.
- Je stelt detectieregels en alerts bij om gaten te dichten.
Wat is de rol van Purple Teaming binnen een SOC?
Een Security Operations Center (SOC) is het team dat je omgeving continu bewaakt op dreigingen. Purple teaming toetst hoe goed dat SOC aanvallen echt ziet en stopt.
Door de oefeningen te herhalen, verbeter je de detectieregels en de reactietijd stap voor stap. Zo blijven de use cases van het SOC actueel tegen nieuwe aanvalstechnieken. Ook een Managed SOC van Aumatics met 24/7 monitoring gebruikt purple teaming om detectie en respons scherp te houden.
