Purple Team: cuándo combinar Red Team y Blue Team

El Purple Team no es un tercer equipo: es una forma de trabajar en la que el equipo rojo (atacante) y el equipo azul (defensor) colaboran en tiempo real, en vez de operar de forma encubierta y separada como en un Red Team clásico. El objetivo cambia de "medir si nos detectáis" a "mejorar juntos vuestra detección lo más rápido posible".

Qué es exactamente el Purple Teaming

En un ejercicio de Purple Team, el equipo ofensivo ejecuta una técnica concreta —por ejemplo, una técnica de movimiento lateral vía WMI— y, en el mismo momento, el equipo defensivo comprueba en directo si su SIEM o EDR la detectó, qué regla se disparó (o debería haberse disparado) y ajusta la detección ahí mismo. Es un ciclo iterativo de ataque-observación-ajuste, con ambos equipos en la misma sala o videollamada, técnica a técnica.

Purple Team vs Red Team encubierto: cuándo usar cada uno

Un Red Team encubierto mide una reacción genuina, sin aviso previo — es la mejor forma de evaluar el estado real de vuestra capacidad de detección hoy. Un Purple Team no mide, mejora: es colaborativo y transparente, ideal cuando ya sabéis que tenéis huecos de detección (por un Red Team previo, un incidente real o un cambio reciente de infraestructura) y queréis cerrarlos de forma eficiente, técnica por técnica, en vez de esperar al siguiente ejercicio encubierto para comprobar si funcionó.

Cuándo tiene más sentido el modelo colaborativo

El Purple Team encaja especialmente bien cuando: acabáis de desplegar un nuevo SIEM/EDR y queréis validar su cobertura de forma sistemática frente al framework MITRE ATT&CK; un Red Team previo reveló huecos de detección concretos y queréis cerrarlos con foco; tenéis un equipo de detección joven y el objetivo es formación práctica tanto como mejora técnica; o el presupuesto/tiempo no permite un Red Team completo pero sí varias sesiones dirigidas a las técnicas de mayor riesgo para vuestro sector.

FAQ

¿El Purple Team requiere el mismo tiempo que un Red Team?

Normalmente menos y de forma más predecible: al ser colaborativo y dirigido a técnicas concretas (no a un objetivo libre por descubrir), una sesión de Purple Team puede acotarse a días en vez de semanas, cubriendo un conjunto específico de TTPs de MITRE ATT&CK.

¿Podemos hacer primero un Red Team y luego un Purple Team?

Es la secuencia más habitual y recomendable: el Red Team revela qué técnicas no detectasteis; el Purple Team posterior trabaja específicamente esas técnicas en modo colaborativo hasta cerrar el hueco, con validación inmediata de que la mejora funciona.