Was ist Purple Teaming und wie führen Sie eine Purple-Team-Übung durch?
Kurzantwort
Purple Teaming ist kollaborativ statt gegnerisch: Die rote Seite führt konkrete, vereinbarte TTPs aus (oft an MITRE ATT&CK ausgerichtet), während die blaue Seite ihre Telemetrie in Echtzeit beobachtet, um zu bestätigen, ob jede Technik geloggt, alarmiert und erkennbar ist. Sie messen die Detektionsabdeckung Technik für Technik, justieren Detektionen und schließen Lücken sofort, dann testen Sie erneut. Das Deliverable ist eine verbesserte, messbare Detektion — keine Liste, wer gewonnen hat.
Purple Teaming existiert, weil gegnerische Rot-gegen-Blau-Übungen oft mit einem Bericht enden, den niemand operationalisiert. Interviewer fragen danach, um zu sehen, ob Sie verstehen, dass der Sinn der Offensive in einem reifen Programm darin besteht, die Verteidigung messbar besser zu machen, nicht Punkte zu sammeln.
Kollaborativ, nicht gegnerisch
In einem klassischen Red Team wird das blaue Team im Dunkeln gehalten, um die Detektion realistisch zu testen. In einem Purple Team arbeiten beide Seiten im selben Raum (oder Call). Die rote Seite führt eine bekannte, vereinbarte Technik aus; die blaue Seite beobachtet ihr SIEM, EDR und ihre Logs in Echtzeit, um pro Technik eine Frage zu beantworten: Haben wir es gesehen, haben wir darauf alarmiert, und hätten wir reagieren können?
Die Schleife
- Planen. Die zu testenden Techniken auswählen, fast immer an MITRE ATT&CK ausgerichtet, damit die Abdeckung strukturiert und über die Zeit vergleichbar ist. Threat Intelligence leitet, welche TTPs welches Akteurs priorisiert werden.
- Ausführen. Rot führt jede Technik gezielt aus — Frameworks wie Atomic Red Team oder Caldera bieten wiederholbare, atomare Tests.
- Beobachten. Blau prüft, ob die Aktivität Telemetrie erzeugte, ob eine Detektion auslöste und wie laut oder leise sie war.
- Sofort verbessern. Wo es eine Lücke gibt — kein Log, kein Alert oder ein False Negative — schreibt oder justiert Blau auf der Stelle eine Detektion.
- Erneut testen. Die Technik erneut ausführen, um zu bestätigen, dass die neue Detektion tatsächlich auslöst.
Warum es funktioniert
Es trennt zwei oft verwechselte Dinge: Sichtbarkeit (wird die Aktivität überhaupt geloggt?) und Detektion (löst etwas aus?). Eine Technik kann vollständig geloggt und dennoch völlig unentdeckt sein. Purple Teaming bringt genau zutage, welche ATT&CK-Techniken in welche Kategorie fallen, und erzeugt eine konkrete Abdeckungskarte.
Worauf Interviewer achten
Sie wollen den kollaborativen Rahmen, MITRE ATT&CK als gemeinsame Sprache, die Unterscheidung Log gegen Alert und ein Ergebnis, das als verbesserte Detektionsabdeckung gemessen wird, die nach der Übung fortbesteht — kein Punktestand.
Wahrscheinliche Anschlussfragen
- Wie hilft MITRE ATT&CK, einen Purple-Team-Einsatz zu strukturieren?
- Was ist der Unterschied zwischen einer Detektion, die auslöst, und einer, die nur geloggt wird?
- Wie verwandeln Sie Purple-Team-Ergebnisse in dauerhafte Detektionsabdeckung?