Eine Purple-Team-Übung durchführen

Eine Purple-Team-Übung ist ein strukturierter Prozess und keine spontane Hacking-Sitzung. Sie folgt einem wiederholbaren Lebenszyklus:

• Planen — Ziele, Scope und Techniken auswählen
• Vorbereiten — Telemetrie, Tools und Genehmigung bestätigen
• Ausführen — Techniken durchführen und live beobachten
• Analysieren — Ergebnisse klassifizieren und Lücken dokumentieren
• Verbessern — Erkennungen optimieren und erneut testen
• Berichten — Kennzahlen und Maßnahmen festhalten

Die Betrachtung als Lebenszyklus sorgt dafür, dass Ergebnisse über die Zeit vergleichbar bleiben.

Beginnen Sie mit einem klaren, an Bedrohungsinformationen ausgerichteten Ziel. Vage Ziele („unsere Sicherheit testen“) führen zu vagen Ergebnissen.

Gute Ziele sind spezifisch und messbar:

• Die Erkennung von Techniken für den Zugriff auf Zugangsdaten validieren, die von Ransomware-Affiliates verwendet werden
• Die Sichtbarkeit über die gesamte Taktik Lateral Movement hinweg bestätigen
• Die mittlere Erkennungszeit für eine bekannte Eindringkette messen

Verankern Sie das Ziel in einem für Ihre Organisation relevanten Bedrohungsakteur oder Szenario, damit Sie die Techniken testen, mit denen Sie wahrscheinlich konfrontiert werden.

Übersetzen Sie das Ziel in eine geordnete Liste von Techniken mit konkreten Prozeduren. Das ist Ihr Emulationsplan.

Jeder Eintrag sollte die Technik-ID, die Prozedur, die erwartete Telemetrie und die zu prüfende Hypothese angeben:

• Technik: T1003.001 LSASS Memory
• Prozedur: LSASS mit einem harmlosen Testtool dumpen
• Erwartete Telemetrie: Sysmon Event ID 10 (Prozesszugriff auf lsass.exe)
• Hypothese: EDR löst bei unbefugtem Handle-Zugriff auf LSASS einen Alarm aus

Holen Sie vor der Ausführung eine schriftliche Genehmigung ein und dokumentieren Sie die Einsatzregeln (ROE). Das schützt das Team rechtlich und operativ.

• Festgelegter Scope: beteiligte Hosts, Netzwerke und Konten
• Zeitfenster und eine eindeutige Abbruchbedingung
• Genehmigte und verbotene Techniken
• Notfallkontakte und ein Abbruchsignal
• Datenverarbeitung: Niemals echte vertrauliche Daten exfiltrieren

Auch kooperative Tests können Alarme auslösen oder Dienste beeinträchtigen. Daher müssen die ROE eindeutig formuliert und von den Beteiligten genehmigt sein.

Stellen Sie vor der Live-Session sicher, dass die Grundlagen funktionieren. Andernfalls verlieren Sie die Zeit mit der Fehlersuche bei der Protokollierung.

• Überprüfen Sie, dass Endpoint-Agents und Sysmon bereitgestellt sind und Daten melden
• Bestätigen Sie, dass die Protokolle mit akzeptabler Verzögerung das SIEM erreichen
• Stellen Sie die Emulations-Tools bereit (Atomic Red Team, Caldera)
• Bereiten Sie gespeicherte SIEM-Abfragen für jedes erwartete Artefakt vor

Ein kurzer Smoke-Test, bei dem beispielsweise das Auftreten eines bekannten Ereignisses geprüft wird, validiert die Pipeline, bevor die eigentlichen Techniken beginnen.

Führen Sie während der Ausführung jeweils nur eine Technik in einem kontrollierten Zeitfenster durch, damit Ursache und Wirkung eindeutig bleiben. Red beschreibt die Aktion und notiert den genauen Zeitstempel.

Beispielsweise beim Ausführen eines Atomic-Tests für die Persistenz über geplante Aufgaben:

Unmittelbar nach der Ausführung führt das Blue Team die vorbereitete Abfrage aus und hält fest, was beobachtet wurde. Klassifizieren Sie das Ergebnis eindeutig:

• Verhindert — die Aktion wurde vollständig blockiert
• Alarm ausgelöst — eine Erkennung wurde ausgelöst
• Nur protokolliert — es liegen Belege vor, aber kein Alarm
• Keine Telemetriedaten — es wurde nichts erfasst

Erfassen Sie die Zeitstempel sowohl der Aktion als auch des Alarms, damit Sie später die Zeit bis zur Erkennung berechnen können.

Viele Emulationswerkzeuge erzeugen Artefakte: geplante Tasks, Registrierungsschlüssel, Dateien oder Konten. Bereinigen Sie die Umgebung nach jeder Technik, damit sie funktionsfähig bleibt und künftig keine Fehlbefunde entstehen.

Atomic Red Team stellt Bereinigungsbefehle bereit:

Das entscheidende Merkmal von Purple Teaming ist, Lücken in derselben Sitzung zu schließen. Wenn eine Technik übersehen wird, erstellt der Detection Engineer einen Regelentwurf. Anschließend führt das Team die Technik erneut aus, um zu bestätigen, dass die Erkennung nun ausgelöst wird.

• Lücke gefunden: Die Erstellung geplanter Tasks löst keinen Alarm aus
• Regel für Event ID 4698 (Task-Erstellung) mit verdächtigen Mustern entwerfen
• Den Atomic-Test erneut ausführen
• Bestätigen, dass die neue Regel ausgelöst wird, und den Erfolg dokumentieren

Diese unmittelbare Iteration ist deutlich effektiver, als Korrekturen auf ein Backlog zu verschieben.

Erst eine sorgfältige Dokumentation macht die Übung später wertvoll. Protokollieren Sie für jede Technik ein strukturiertes Ergebnis:

• Technik-ID und Vorgehensweise
• Ergebnis (verhindert / Alarm ausgelöst / protokolliert / keine Telemetriedaten)
• Beobachtete Datenquelle
• Ausgelöste Erkennungsregel (oder die neu erstellte Regel)
• Zeit bis zur Erkennung und gegebenenfalls erforderliche Folgeaktion

Tools wie VECTR speichern diese Ergebnisse und ermöglichen den Vergleich mehrerer Durchläufe im Zeitverlauf, um messbare Verbesserungen zu zeigen.

Beenden Sie die Übung mit einer Nachbesprechung, solange die Details noch frisch sind. Das Ergebnis sollte eine priorisierte, umsetzbare Liste sein, keine Textwand.

• Was erkannt, übersehen und neu abgedeckt wurde
• Nach Risiko und Wahrscheinlichkeit geordnete Erkennungslücken
• Verantwortliche und Fälligkeitstermine für jede Behebung
• Techniken, die im nächsten Zyklus erneut validiert werden sollen

Übergeben Sie die Erkennungsaufgaben aus dem Backlog an das Engineering und planen Sie den nächsten Durchlauf. Die Übung zahlt sich nur aus, wenn die Maßnahmen tatsächlich umgesetzt werden.

Sie können jetzt eine Purple-Team-Übung vollständig durchführen:

• Folgen Sie dem Lebenszyklus planen, vorbereiten, ausführen, analysieren, verbessern, berichten
• Definieren Sie bedrohungsorientierte Ziele und einen konkreten Emulationsplan
• Sichern Sie Autorisierung und ROE und überprüfen Sie zunächst die Telemetrie
• Führen Sie eine Technik nach der anderen aus, beobachten Sie sie live und klassifizieren Sie die Ergebnisse
• Bereinigen Sie Artefakte und schließen Sie Lücken noch in derselben Sitzung
• Dokumentieren Sie strukturierte Ergebnisse und beenden Sie die Übung mit einer priorisierten Übergabe

Als Nächstes lernen Sie, die Abdeckung zu messen und Erkennungslücken mit Kennzahlen zu schließen, die Verbesserungen vorantreiben.