Oltre la singola vulnerabilità.
Un Red Team simula un avversario orientato a un obiettivo, combinando tecniche diverse per valutare l'efficacia complessiva delle difese. Il Purple Team trasforma le evidenze in apprendimento condiviso: attaccanti e difensori lavorano insieme per verificare telemetria, regole, playbook e tempi di risposta.
Obiettivi possibili
- accesso a un'applicazione o a un segmento critico;
- compromissione controllata di identità privilegiate;
- simulazione di persistenza e movimento laterale;
- verifica di detection su endpoint, rete, cloud e identity;
- test delle escalation tra SOC, IT e management.
Pianificazione
L'incarico richiede regole di ingaggio rigorose: obiettivi, tecniche consentite, soggetti informati, gestione dei dati, limiti temporali e condizioni di arresto. L'intento non è sorprendere l'organizzazione a ogni costo, ma ottenere una misura affidabile senza creare rischi sproporzionati.
Attività Purple Team
- mappatura degli scenari a tecniche e comportamenti osservabili;
- esecuzione controllata e verifica della telemetria prodotta;
- tuning di regole SIEM, EDR/XDR e alert cloud;
- aggiornamento di use case e playbook di risposta;
- ripetizione dei test per verificare il miglioramento.
Risultati
La restituzione comprende catena d'attacco, controlli aggirati o efficaci, visibilità disponibile, tempi di rilevamento e opportunità di miglioramento. Il valore principale è mostrare come persone, processi e tecnologie lavorano insieme sotto pressione.