Purple Teaming: Aus jeder Angriffstechnik eine funktionierende Detection machen.

Purple Teaming ist eine geplante, gemeinsame Übung von Red Team (Angriff) und Blue Team (Verteidigung), in der jede Technik einzeln ausgeführt und live gemessen wird: Sieht das SIEM den Angriff? Feuert das Alert? Reagiert das SOC? Ziel ist nicht „Report abliefern“, sondern messbar bessere Detection & Response.

Ein Red Team Assessment ist verdeckt und zielorientiert - es misst das Gesamtergebnis. Purple Teaming ist offen und technikorientiert - es misst jede einzelne TTP. Beide ergänzen sich: Red Team zeigt, was heute funktioniert; Purple Team schließt gezielt die Detection-Lücken.

Wir wählen ein Set an MITRE-ATT&CK-Techniken (typischerweise 20-40 pro Sprint). Für jede Technik: Ihr Blue Team schaut auf SIEM/EDR, unser Operator führt aus, wir protokollieren gemeinsam Detection-Status (kein Alert / Alert / Alert + Response). Am Ende: Detection-Coverage-Matrix und konkrete SIEM-/EDR-Regel-Vorschläge.

Wenn ein Red Team gezeigt hat, dass Techniken durchrutschen. Wenn Sie ein neues SIEM/EDR eingeführt haben und die Content-Coverage validieren müssen. Wenn eine Regulierung (z.B. DORA) den Nachweis wirksamer Detection verlangt. Nicht sinnvoll, wenn noch keine Grundtelemetrie steht.

Für eine mittelgroße Organisation: 2-4 Sprints pro Jahr, je 3-5 Tage, mit klarem Fokus (z.B. Identity, Cloud, Ransomware-TTPs). Häufiger als quartalsweise lohnt sich selten - die Zwischenzeit brauchen Sie fürs Detection Engineering.

MITRE ATT&CK als Sprache für Techniken, D3FEND und Sigma für die Defense-Seite, Atomic Red Team und eigene C2-Tooling für die Ausführung. Jede Session hinterlässt eine ATT&CK-Coverage-Matrix, mit der Sie intern und gegenüber Auditor:innen sprechen können.