Pourquoi le purple teaming

Le travail en équipe violette est une pratique de sécurité collaborative dans laquelle les fonctions offensive (rouge) et défensive (bleue) travaillent ensemble au sein du même cycle plutôt que de manière isolée.

Le but n’est pas de « gagner » l’une contre l’autre, mais d’améliorer conjointement la détection et la réponse. L’équipe rouge reproduit le comportement réel des adversaires ; l’équipe bleue vérifie si elle peut le voir et l’arrêter ; les deux équipes améliorent ensemble les contrôles.

• L’équipe rouge apporte le savoir-faire de l’attaquant et l’émulation
• L’équipe bleue apporte la télémétrie, les détections et la réponse
• L’équipe violette constitue la boucle de rétroaction entre les deux

Les interventions traditionnelles des équipes rouges se terminent souvent par un rapport qui n’arrive que des mois plus tard. L’équipe bleue découvre ce qui lui a échappé seulement après coup, avec peu de contexte sur la technique exacte ou la télémétrie concernée.

Cela produit une rétroaction lente et coûteuse. Un constat comme Domain admin compromised in 3 days vous indique que vous avez échoué, mais pas quelle détection aurait dû se déclencher.

• Les constats de l’équipe rouge arrivent tard et manquent de détails sur la détection
• L’équipe bleue ne peut pas reproduire l’attaque pour ajuster ses règles
• Les mêmes lacunes réapparaissent lors de l’intervention suivante

Le travail en équipe violette réduit le cycle de plusieurs mois à quelques heures. L’équipe rouge exécute une technique, l’équipe bleue vérifie immédiatement la présence de données dans SIEM/EDR, puis l’équipe décide sur-le-champ si la couverture existe.

Un micro-cycle typique se déroule ainsi :

• L’équipe rouge exécute une technique ATT&CK dans une fenêtre contrôlée
• L’équipe bleue interroge la télémétrie à la recherche de l’artefact attendu
• Si aucune alerte ne se déclenche, une lacune de détection est consignée immédiatement
• Une nouvelle règle est rédigée et testée à nouveau au cours de la même session

Ce rythme exécuter-observer-améliorer est au cœur du travail en équipe violette.

Le travail en équipe violette distingue clairement la prévention (l’attaque est bloquée) de la détection (l’attaque est autorisée, mais visible et signalée).

Pour chaque technique testée, classez le résultat :

• Bloquée — le contrôle a arrêté l’action (par exemple AppLocker, AV)
• Détectée (avec alerte) — la télémétrie a généré une alerte
• Consignée (sans alerte) — des éléments probants existent, mais rien ne s’est déclenché
• Aucune télémétrie — angle mort total

Le pire résultat est « aucune télémétrie », car il est impossible de créer une détection à partir de données qui ne sont jamais collectées.

Un travail en équipe violette efficace repose sur le renseignement sur les menaces. Au lieu de tester des outils arbitraires, vous reproduisez les techniques utilisées par les adversaires qui ciblent réellement votre secteur.

Par exemple, un établissement financier peut reproduire les techniques, tactiques et procédures associées à FIN7 ou à un affilié connu de rançongiciel, en mappant chaque étape sur ATT&CK.

• Choisissez un acteur malveillant pertinent pour votre secteur
• Élaborez un plan d’émulation à partir de techniques, tactiques et procédures documentées
• Testez les techniques auxquelles vous êtes le plus susceptible d’être confronté

Cette approche rend les tests réalistes et donne la priorité aux détections qui comptent le plus.

Un exercice en équipe violette nécessite des rôles clairement définis pour que la session reste productive :

• Opérateur de l’équipe rouge — exécute les techniques et décrit chaque action
• Analyste de l’équipe bleue — pilote SIEM/EDR et confirme la visibilité
• Ingénieur détection — écrit ou ajuste les règles en temps réel
• Animateur/rédacteur — veille au respect du plan et consigne les résultats

La transparence est essentielle : contrairement à un test discret de l’équipe rouge, celle-ci annonce ici ce qu’elle fait afin que l’équipe bleue puisse mettre précisément ses actions en corrélation avec la télémétrie.

Plusieurs cadres gratuits rendent le travail en équipe violette reproductible. Ils permettent à l’équipe rouge d’exécuter des techniques cohérentes et documentées que l’équipe bleue peut vérifier.

• Atomic Red Team — petits cas de test mappés sur ATT&CK
• MITRE Caldera — émulation automatisée d’adversaires
• VECTR — suivi des résultats d’évaluation et de la couverture au fil du temps

Un test Atomic Red Team est lancé avec l’ID de sa technique, par exemple :

Bien que les deux équipes coopèrent, le travail en équipe violette touche aux systèmes de production et doit être mené de manière responsable et éthique.

• Obtenez une autorisation écrite et définissez précisément le périmètre
• Privilégiez d’abord un environnement de laboratoire ou de préproduction représentatif
• Prévoyez un plan de restauration et de nettoyage pour chaque technique
• Coordonnez le calendrier afin que les équipes d’astreinte ne soient pas prises au dépourvu

Les techniques destructrices (chiffrement par rançongiciel, exfiltration de données réelles) doivent être simulées avec des substituts inoffensifs et ne doivent jamais être exécutées réellement contre des données de production.

Le travail en équipe violette transforme une assurance vague en couverture mesurable. Après chaque exercice, vous pouvez exprimer les résultats sous forme de pourcentage de techniques détectées.

Une vue simple de la couverture par tactique pourrait se présenter ainsi :

• Accès initial : 4 techniques détectées sur 6
• Exécution : 5 détectées sur 5
• Mouvement latéral : 1 détectée sur 4 (lacune)

Reporter ces données sur la matrice ATT&CK sous forme de carte thermique rend les angles morts visibles pour la direction et permet de guider les prochains investissements.

La plus grande valeur du travail en équipe violette vient de sa mise en œuvre continue. Les détections perdent de leur efficacité à mesure que les environnements évoluent, que la journalisation cesse de fonctionner et que les adversaires adaptent leurs méthodes.

• Réalisez de nouveau les évaluations des lacunes précédemment comblées afin de détecter les régressions
• Ajoutez de nouvelles techniques lorsque de nouvelles informations sur les menaces apparaissent
• Suivez l’évolution de la couverture d’un trimestre à l’autre

Certaines équipes automatisent cette démarche sous la forme d’une validation continue, où l’émulation s’exécute selon un calendrier et alerte l’équipe lorsqu’une détection connue cesse de se déclencher.

Au-delà des métriques techniques, le travail en équipe violette améliore la relation entre les équipes offensive et défensive. Les analystes découvrent le savoir-faire des attaquants ; les opérateurs apprennent quelle télémétrie leurs actions génèrent.

• L’équipe bleue acquiert une compréhension pratique des tactiques, techniques et procédures réelles
• L’équipe rouge apprend quels comportements sont bruyants plutôt que discrets
• Les deux équipes développent un langage commun autour d’ATT&CK

Cette compréhension commune est souvent le résultat le plus durable : elle perdure longtemps après l’archivage du rapport d’un exercice donné.

Évaluez votre compréhension de l’objectif fondamental du travail en équipe violette.

Vous comprenez maintenant pourquoi le travail en équipe violette existe et ce qu’il apporte :

• Il relie les équipes rouge et bleue au sein d’une seule boucle exécuter-observer-améliorer
• Il classe les résultats comme bloqués, détectés, journalisés ou correspondant à un angle mort
• Il repose sur une émulation d’adversaire fondée sur les menaces et associée à ATT&CK
• Des outils tels qu’Atomic Red Team, Caldera et VECTR le rendent reproductible
• Il doit être mené de manière éthique, avec des plans d’autorisation, de définition du périmètre et de nettoyage
• Sa valeur augmente lorsqu’il est exécuté continuellement afin de détecter la dégradation des détections

Ensuite, vous apprendrez à associer des attaques précises à des détections au moyen du cadre MITRE ATT&CK.