Purple team
Exercice collaboratif où attaquants (red team) et défenseurs (blue team) travaillent ensemble pour améliorer la détection.
Définition complète
Le purple teaming associe la red team, qui simule des attaques, et la blue team, qui défend l'organisation (SOC, équipes informatiques). Au lieu de s'affronter à l'aveugle, les deux équipes travaillent côte à côte : l'attaquant rejoue une technique, le défenseur vérifie en direct si ses outils l'ont vue, et les réglages sont corrigés immédiatement.
Le cadre européen TIBER-EU, porté par la Banque centrale européenne pour les tests fondés sur la menace, le définit comme une activité collaborative menée pendant un test, impliquant la red team qui simule une cyberattaque et la blue team qui défend l'entité. Son objectif est d'adopter une démarche exploratoire pour que les défenseurs comprennent mieux les forces et faiblesses de leurs capacités de protection et de détection.
Le purple team est souvent organisé après un exercice red team, ou de façon autonome pour valider qu'un SOC, un EDR ou un SIEM détecte bien les techniques d'attaque les plus courantes.
Source : Banque centrale européenne, TIBER-EU Purple Teaming Best Practices
Exemple concret
Une mutuelle régionale de 250 salariés vient de déployer un EDR et un SOC externalisé. Elle organise deux journées de purple team : un auditeur rejoue une vingtaine de techniques utilisées par les groupes de rançongiciels, pendant que l'analyste du SOC observe les alertes. Six techniques passent inaperçues ; les règles de détection sont ajustées sur place et vérifiées à nouveau le lendemain.
Comment se protéger
- Choisir des techniques d'attaque réalistes pour son secteur
- Réunir attaquants, analystes SOC et administrateurs dans la même session
- Noter pour chaque technique : détectée, alertée, bloquée ou invisible
- Corriger les règles de détection pendant l'exercice et les retester
- Rejouer régulièrement les mêmes scénarios pour vérifier que la détection ne se dégrade pas
Questions fréquentes
Non. Un purple team peut être organisé seul, par exemple après le déploiement d'un EDR ou d'un SOC, pour vérifier concrètement ce qui est détecté.
Il suppose d'avoir des outils de détection et une équipe ou un prestataire pour les exploiter. Une PME qui a externalisé sa supervision peut le demander à son prestataire.
Termes liés
Analyste SOC
Professionnel qui surveille en continu le système d'information pour détecter, analyser et qualifier les activités suspectes.
Red team
Équipe qui simule une attaque réaliste et ciblée, sur la durée, pour éprouver la prévention, la détection et la réaction d'une organisation.
Test d'intrusion (pentest)
Attaque simulée et autorisée, menée par des auditeurs, pour trouver les failles exploitables d'un site, d'un réseau ou d'une application.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
Vous avez besoin d'un expert en Purple team ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.