Qu'est-ce que le purple teaming et comment menez-vous un exercice de purple team ?
Réponse courte
Le purple teaming est collaboratif plutôt qu'adversarial : le côté rouge exécute des TTP précis et convenus (souvent reliés à MITRE ATT&CK) pendant que le côté bleu observe sa télémétrie en temps réel pour confirmer si chaque technique est journalisée, alertée et détectable. On mesure la couverture de détection technique par technique, on ajuste les détections et comble les lacunes immédiatement, puis on re-teste. Le livrable est une détection améliorée et mesurable — pas une liste de qui a « gagné ».
Le purple teaming existe parce que les exercices adversariaux rouge contre bleu se terminent souvent par un rapport que personne n'opérationnalise. Les recruteurs interrogent dessus pour voir si vous comprenez que le but de l'offensive dans un programme mature est de rendre la défense mesurablement meilleure, pas de marquer des points.
Collaboratif, pas adversarial
Dans une red team classique, l'équipe bleue est tenue dans l'ignorance pour tester la détection de manière réaliste. Dans une purple team, les deux côtés travaillent dans la même pièce (ou en visioconférence). Le côté rouge exécute une technique connue et convenue ; le côté bleu observe son SIEM, son EDR et ses journaux en temps réel pour répondre à une question par technique : l'avons-nous vue, avons-nous alerté dessus, et aurions-nous pu répondre ?
La boucle
- Planifier. Sélectionner les techniques à tester, presque toujours reliées à MITRE ATT&CK pour que la couverture soit structurée et comparable dans le temps. Le renseignement sur la menace guide les TTP de quel acteur prioriser.
- Exécuter. Le rouge exécute chaque technique délibérément — des frameworks comme Atomic Red Team ou Caldera offrent des tests atomiques reproductibles.
- Observer. Le bleu vérifie si l'activité a produit de la télémétrie, si une détection s'est déclenchée, et à quel point elle était bruyante ou discrète.
- Améliorer immédiatement. Là où il y a une lacune — pas de journal, pas d'alerte, ou un faux négatif — le bleu écrit ou ajuste une détection sur-le-champ.
- Re-tester. Réexécuter la technique pour confirmer que la nouvelle détection se déclenche réellement.
Pourquoi cela fonctionne
Cela sépare deux choses souvent confondues : la visibilité (l'activité est-elle même journalisée ?) et la détection (quelque chose alerte-t-il ?). Une technique peut être entièrement journalisée tout en restant complètement indétectée. Le purple teaming fait ressortir exactement quelles techniques ATT&CK tombent dans chaque catégorie, produisant une carte de couverture concrète.
Ce que recherchent les recruteurs
Ils veulent le cadrage collaboratif, MITRE ATT&CK comme langage commun, la distinction journal contre alerte, et un résultat mesuré comme une couverture de détection améliorée qui persiste après l'exercice — pas un tableau de scores.
Questions de suivi probables
- Comment MITRE ATT&CK aide-t-il à structurer une mission de purple team ?
- Quelle est la différence entre une détection qui se déclenche et une simplement journalisée ?
- Comment transformez-vous les résultats de purple team en couverture de détection durable ?