Purple Team

Wat is een Purple Team?

Een Purple Team is een samenwerkingsvorm waarin het Red Team (de aanvallers) en het Blue Team (de verdedigers) openlijk samen aanvalstechnieken uitvoeren, waarnemen en bespreken, zodat detectie en respons van een organisatie direct en meetbaar verbeteren. Waar een red team-test heimelijk meet of de verdediging een aanval zelfstandig opmerkt, draait purple teaming om leren: elke techniek wordt uitgevoerd, het Blue Team kijkt mee in SIEM en EDR, en gaten in de detectie worden meteen gedicht. Purple is letterlijk de menging van rood en blauw.

In plaats van los van elkaar te werken, delen beide teams kennis en inzichten om sneller te leren, detectieregels te verbeteren en het totale beveiligingsniveau te verhogen.

🧠 Wat doet een Purple Team?

Een Purple Team:

• Fungeert als brug tussen Red en Blue Team - aanvalskennis komt rechtstreeks terecht bij de mensen die detectieregels en playbooks onderhouden
• Speelt bekende aanvalstechnieken na - op basis van dreigingsinformatie en de TTP’s van aanvallers die voor de sector relevant zijn
• Kijkt live mee - terwijl Red een techniek uitvoert, controleert Blue of er logregels, alerts of blokkades ontstaan
• Geeft directe feedback over wat werkt en wat niet, zonder te wachten op een eindrapport
• Test, verbetert en documenteert de effectiviteit van detectie- en responsmaatregelen, en test na een aanpassing opnieuw

Purple teaming is in de praktijk vaker een werkwijze dan een vaste afdeling. Het Purple Team Exercise Framework (PTEF) van SCYTHE onderscheidt drie vormen: losse purple team-oefeningen, een doorlopend virtueel team met mensen uit Red, Blue en threat intelligence, en een toegewijd team met eigen medewerkers.

🔄 Wat is het verschil met een Red Team, Blue Team en pentest?

Een red team-oefening beantwoordt de vraag “zien we een echte aanval?“. Een purple team-oefening beantwoordt de vraag “welke technieken zien we niet, en hoe lossen we dat op?“. Daarom sluiten veel organisaties een red team-test af met een purple teaming-sessie.

🔧 Hoe verloopt een purple team-oefening?

1. Kies een dreiging - selecteer met threat intelligence een realistische aanvaller en vertaal diens gedrag naar technieken in MITRE ATT&CK of, voor industriële omgevingen, MITRE ATT&CK for ICS.
2. Leg spelregels vast - scope, systemen, testvenster, verboden acties, een noodstop en een communicatiekanaal tussen beide teams.
3. Red voert een techniek uit - bijvoorbeeld Phishing, privilege escalation in Active Directory, laterale beweging of misbruik van ingebouwde beheertools (Living Off The Land).
4. Blue probeert het te detecteren met tools zoals SIEM, EDR, NDR en SOAR.
5. Beide teams evalueren samen:
   • Is het opgemerkt, en hoe snel?
   • Hoe werd er gereageerd?
   • Welke logbronnen waren bruikbaar of ontbraken?
   • Wat kan beter?
6. Verbeter en herhaal - nieuwe detectieregels, alerts of playbooks worden toegevoegd, waarna Red dezelfde techniek opnieuw uitvoert om de verbetering te bewijzen.

Per techniek legt het team de uitkomst vast in een vaste schaal. Zo ontstaat een dekkingskaart die laat zien waar de verdediging sterk en zwak is:

🧰 Welke tools en technieken gebruikt een Purple Team?

• MITRE ATT&CK - gemeenschappelijke taal om technieken te benoemen en dekking te meten; MITRE D3FEND beschrijft de bijbehorende verdedigingsmaatregelen
• Atomic Red Team - open-source bibliotheek van Red Canary met kleine, aan ATT&CK gekoppelde tests onder MIT-licentie
• MITRE Caldera - open-source platform voor geautomatiseerde aanvalsemulatie; de plugins van Caldera for OT spreken onder meer Modbus, DNP3, BACnet, PROFINET DCP en IEC 61850 MMS
• Commerciële Breach and Attack Simulation - platforms zoals AttackIQ die scenario’s herhaalbaar en gepland afspelen
• SIEM, EDR, SOAR voor loganalyse en automatisering
• Threat Hunting en alert tuning - hypotheses uit de oefening worden zoekopdrachten in de logs
• Feedbackcycli binnen het SOC - lessen worden vastgelegd in playbooks voor Incident Response

🏭 Hoe past u purple teaming veilig toe in OT?

In OT gaan beschikbaarheid en veiligheid voor alles. Een onbedoeld commando naar een PLC kan een machine laten bewegen of een proces stilleggen. Purple teaming past daar goed bij, omdat iedereen weet wat er gebeurt en een procesingenieur direct kan meekijken. Praktische regels:

• Riskante stappen op een testbank - schrijfacties naar controllers en protocolaanvallen gebeuren op een testopstelling of digital twin, niet op het draaiende proces.
• Productie alleen passief - in de productieomgeving test u vooral of een passieve OT-IDS van bijvoorbeeld Nozomi, Claroty of Dragos een ongebruikelijke engineeringsessie, een nieuwe verbinding vanaf een engineering-werkstation of een Modbus-schrijfcommando opmerkt.
• Nooit het SIS raken - veiligheidssystemen blijven buiten de oefening; aanvallen als TRITON laten zien waarom.
• Scenario’s uit echte OT-aanvallen - technieken uit Industroyer of PIPEDREAM vormen realistische uitgangspunten.
• De IT/OT-grens centraal - oefen of het OT SOC laterale beweging vanuit het kantoornetwerk via de jump server of toegang op afstand ziet. Dat toetst ook de zonering uit IEC 62443.

🔐 Welke kaders en regels noemen purple teaming?

De TIBER-EU-richtlijn noemt verschillende vormen. Tijdens de testfase gaat het om catch-and-release, een gezamenlijke proof-of-concept en een war game. In de afsluitende fase gaat het om een tabletop-discussie en het opnieuw of verder verkennen van aanvalspaden op live systemen. Voor industriële bedrijven is purple teaming geen wettelijke plicht, maar wel een concrete manier om aan te tonen dat securitymonitoring in lijn met IEC 62443 in de praktijk werkt.

📈 Wat levert een Purple Team op?

Purple teaming verkleint ook blind spots in infrastructuur en monitoring, en levert realistische oefenscenario’s op voor een volgende dreigingssimulatie.

❓ Veelgestelde vragen

Is een Purple Team een apart team?

Een Purple Team is meestal geen vaste afdeling, maar een werkwijze waarin Red Team en Blue Team samenwerken. Grotere organisaties richten soms wel een doorlopend of toegewijd purple team in. Het Purple Team Exercise Framework onderscheidt losse oefeningen, een virtueel team en een toegewijd team.

Hoe lang duurt een purple team-oefening?

Een purple team-oefening duurt meestal enkele dagen per scenario, afhankelijk van het aantal technieken. Onder DORA en TIBER-EU moet de purple teaming in de afsluitende fase uiterlijk 10 weken na de actieve red team-fase zijn afgerond. Doorlopende purple teaming herhaalt technieken periodiek.

Wanneer kiest u voor purple teaming in plaats van red teaming?

Purple teaming is de betere keuze als u detectie stap voor stap wilt opbouwen of meten welke ATT&CK-technieken u ziet. Red teaming past beter als monitoring al volwassen is en u wilt toetsen of een heimelijke aanval wordt opgemerkt. Veel organisaties combineren beide.

Is purple teaming verplicht onder NIS2?

Purple teaming is onder NIS2 en de Cyberbeveiligingswet niet verplicht; de wet vraagt wel dat u de effectiviteit van uw maatregelen beoordeelt. Voor financiële entiteiten die onder DORA een threat-led penetration test uitvoeren, is purple teaming in de afsluitende fase wel een vast onderdeel.

Kan purple teaming veilig in een OT-omgeving?

Purple teaming kan veilig in een OT-omgeving als riskante technieken op een testbank of digital twin worden uitgevoerd en het SIS buiten de oefening blijft. In productie test u vooral of passieve OT-monitoring ongebruikelijk verkeer ziet. Een procesingenieur kijkt mee en kan de oefening stoppen.

Welke tools zijn nodig voor purple teaming?

Voor purple teaming zijn een emulatietool zoals Atomic Red Team of MITRE Caldera nodig, plus de bestaande SIEM, EDR of OT-IDS om de detectie te meten. MITRE ATT&CK dient als gemeenschappelijke taal. Een eenvoudige registratie per techniek maakt de voortgang zichtbaar.

📌 Samengevat

Een Purple Team is vooral een samenwerkingsproces tussen aanvallers (Red) en verdedigers (Blue) om beveiligingsmaatregelen techniek voor techniek te testen, te versterken en versneld te verbeteren.

Waar een Red Team meet of een heimelijke aanval wordt opgemerkt, maakt purple teaming zichtbaar welke technieken de verdediging mist en dicht die gaten direct. MITRE ATT&CK, emulatietools als Atomic Red Team en Caldera, en kaders als TIBER-EU en DORA geven structuur. In OT gebeurt dat met een testbank, passieve monitoring en een procesingenieur aan tafel.