Waarom purple teaming

Purple teaming verkort de cyclus van maanden naar uren. Het rode team voert een techniek uit, het blauwe team controleert onmiddellijk SIEM/EDR en het team bepaalt ter plekke of er dekking is.

Een gebruikelijke microcyclus ziet er als volgt uit:

• Het rode team voert één ATT&CK-techniek uit binnen een gecontroleerd tijdvenster
• Het blauwe team bevraagt de telemetrie op het verwachte artefact
• Als niets afgaat, wordt er meteen een detectiegat vastgelegd
• In dezelfde sessie wordt een nieuwe regel opgesteld en opnieuw getest

Dit ritme van uitvoeren-waarnemen-verbeteren vormt de kern van purple teaming.

Purple teaming maakt duidelijk onderscheid tussen preventie (de aanval wordt geblokkeerd) en detectie (de aanval wordt toegestaan, maar is zichtbaar en levert een alarmmelding op).

Voor elke geteste techniek classificeer je het resultaat:

• Geblokkeerd — de beveiligingsmaatregel stopte de actie (bijvoorbeeld AppLocker, AV)
• Gedetecteerd (alarmmelding) — de telemetrie genereerde een alarmmelding
• Vastgelegd (geen alarmmelding) — er is bewijs, maar niets sloeg aan
• Geen telemetrie — volledige blinde vlek

Het slechtste resultaat is 'geen telemetrie', omdat je geen detectie kunt bouwen op gegevens die je nooit verzamelt.

Effectief purple teaming wordt gestuurd door dreigingsinformatie. In plaats van willekeurige hulpmiddelen te testen, boots je de technieken na die worden gebruikt door tegenstanders die zich daadwerkelijk op jouw sector richten.

Een financiële instelling kan bijvoorbeeld de TTP's nabootsen die horen bij FIN7 of een bekende ransomwarepartner, waarbij elke stap aan ATT&CK wordt gekoppeld.

• Kies een dreigingsactor die relevant is voor jouw sector
• Stel op basis van gedocumenteerde TTP's een nabootsingsplan op
• Test de technieken waarmee je waarschijnlijk het vaakst te maken krijgt

Zo blijven de proeven realistisch en krijgen de belangrijkste detecties prioriteit.

Voor een purple-teamoefening zijn duidelijke rollen nodig, zodat de sessie productief blijft:

• Rode operator — voert technieken uit en licht elke actie toe
• Blauwe analist — bedient SIEM/EDR en bevestigt de zichtbaarheid
• Detectie-engineer — schrijft of stemt regels in realtime af
• Facilitator/notulist — houdt zich aan het plan en legt resultaten vast

Transparantie is essentieel: in tegenstelling tot een heimelijke red-teamtest kondigt het rode team hier aan wat het doet, zodat het blauwe team dit precies aan de telemetrie kan koppelen.

Verschillende gratis raamwerken maken purple teaming herhaalbaar. Ze laten het rode team consistente, gedocumenteerde technieken uitvoeren die het blauwe team kan verifiëren.

• Atomic Red Team — kleine, aan ATT&CK gekoppelde testgevallen
• MITRE Caldera — geautomatiseerde nabootsing van tegenstanders
• VECTR — beoordelingsresultaten en dekking in de loop van de tijd bijhouden

Eén Atomic-test wordt bijvoorbeeld aangeroepen met de ID van de techniek:

Hoewel beide kanten samenwerken, raakt purple teaming productiesystemen en moet het verantwoord en ethisch worden uitgevoerd.

• Vraag schriftelijke toestemming en definieer de afbakening nauwkeurig
• Geef eerst de voorkeur aan een representatieve lab- of preproductieomgeving
• Maak voor elke techniek een plan voor terugdraaien en opschonen
• Stem de timing af zodat teams die dienst hebben niet voor verrassingen komen te staan

Destructieve technieken (versleuteling door ransomware, het onttrekken van echte gegevens) moeten worden gesimuleerd met onschadelijke vervangers en mogen nooit echt tegen productiegegevens worden uitgevoerd.

Purple teaming verandert vaag vertrouwen in meetbare dekking. Na elke oefening kun je de resultaten uitdrukken als het percentage technieken dat is gedetecteerd.

Een eenvoudig overzicht van de dekking per tactiek kan er zo uitzien:

• Initiële toegang: 4 van 6 technieken gedetecteerd
• Uitvoering: 5 van 5 gedetecteerd
• Laterale verplaatsing: 1 van 4 gedetecteerd (lacune)

Door dit als een warmtekaart op de ATT&CK-matrix in kaart te brengen, worden blinde vlekken zichtbaar voor leidinggevenden en zie je waar je vervolgens in moet investeren.

De grootste waarde van purple teaming haal je uit het continu uitvoeren ervan. Detecties nemen af naarmate omgevingen veranderen, logregistratie uitvalt en tegenstanders zich ontwikkelen.

• Test eerder gesloten lacunes opnieuw om terugval op te sporen
• Voeg nieuwe technieken toe zodra er nieuwe dreigingsinformatie binnenkomt
• Volg trends in dekking per kwartaal

Sommige teams automatiseren dit als continue validatie, waarbij simulaties volgens een schema worden uitgevoerd en het team een melding krijgt zodra een bekende detectie niet meer afgaat.

Naast technische meetwaarden verbetert purple teaming de relatie tussen het redteam en het blueteam. Analisten leren de werkwijze van aanvallers; beveiligingsbeheerders leren welke telemetrie hun acties opleveren.

• Het blueteam doet praktische ervaring op met echte tactieken, technieken en procedures (TTP's)
• Het redteam leert welk gedrag veel ruis veroorzaakt en welk gedrag heimelijk is
• Beide teams ontwikkelen een gedeelde terminologie rond ATT&CK

Deze gedeelde kennis is vaak het meest blijvende resultaat: ze blijft bestaan lang nadat een afzonderlijk oefeningsrapport is gearchiveerd.

Je begrijpt nu waarom purple teaming bestaat en wat het oplevert:

• Het brengt redteam en blueteam samen in één lus van uitvoeren, observeren en verbeteren
• Het classificeert uitkomsten als geblokkeerd, gedetecteerd, geregistreerd of een blinde vlek
• Het is gebaseerd op dreigingsgestuurde simulatie van tegenstanders die aan ATT&CK is gekoppeld
• Tools zoals Atomic Red Team, Caldera en VECTR maken het herhaalbaar
• Het moet ethisch worden uitgevoerd met toestemming, afbakening en opschoningsplannen
• De waarde neemt toe wanneer het continu wordt uitgevoerd om afnemende detecties op te sporen

Vervolgens leer je hoe je specifieke aanvallen aan detecties koppelt met het MITRE ATT&CK-raamwerk.