Red Team operasyonu sonuçları "ne yapmamız lazım?" listesini verir. Purple Team ise yaparken birlikte öğrenme oturumlarıdır — bizim saldırgan ekibimiz ile sizin SOC/savunma ekibiniz aynı odada çalışır.
Nasıl çalışır?
- Senaryo seçimi — sektörünüze özel MITRE ATT&CK teknikleri
- Kontrollü saldırı — birim birim, adım adım uygulanır
- Anlık tespit ölçümü — SOC ekibiniz ne gördü, ne göremedi?
- Boşluk analizi — neden tespit edilmedi: log, kural, ya da yetenek?
- Düzeltme uygulaması — kuralı düzelt, tekrar test et
Tipik teknikler
- T1059 — Komut yorumlayıcı kullanımı
- T1055 — Process injection
- T1078 — Geçerli hesap kullanımı
- T1486 — Veri şifreleme (ransomware)
- T1071 — Standart uygulama protokolü ile C2
Çıktılar
- MITRE ATT&CK heat-map (tespit kapsama yüzdesi)
- Düzeltilen tespit kuralları listesi
- SOC ekibinizin teknik kapasite gelişim raporu
