Purple team
Purple teaming es una forma de colaboración entre capacidades ofensivas y defensivas para mejorar controles y visibilidad mediante pruebas transparentes. No exige crear un tercer equipo permanente ni consiste en mezclar red y blue sin objetivos.
Ciclo de validación
Sección titulada «Ciclo de validación»- seleccionar un riesgo, comportamiento o técnica relevante
- definir prerrequisitos, telemetría y resultado esperado
- ejecutar una prueba pequeña, segura y reproducible
- observar qué previene, registra, detecta y escala la defensa
- corregir configuración, telemetría, lógica o procedimiento
- repetir la misma prueba para demostrar la mejora
- registrar cobertura, limitaciones y trabajo pendiente.
La repetición es esencial porque una detección escrita pero no validada sigue siendo una hipótesis.
Qué puede descubrir
Sección titulada «Qué puede descubrir»- el evento necesario no se registra o se pierde durante el envío
- la regla detecta la herramienta concreta, pero no el comportamiento
- existe alerta, pero carece de contexto para decidir
- el procedimiento de respuesta no tiene propietario o permisos
- un control preventivo funciona en un entorno y no en otro
- la prueba no representa el riesgo que pretendía validar.
Cuándo utilizar red team en su lugar
Sección titulada «Cuándo utilizar red team en su lugar»Un ejercicio de red team preserva incertidumbre para medir una respuesta realista. Purple teaming prioriza aprendizaje inmediato y puede compartir cada acción con la defensa. Ambos enfoques son útiles, pero responden a preguntas distintas y no deben interferir entre sí.
Métricas útiles
Sección titulada «Métricas útiles»Son métricas útiles la cobertura validada sobre tácticas, técnicas y procedimientos (TTP) prioritarios, la calidad de la telemetría, el tiempo hasta la investigación, los controles corregidos y la repetición satisfactoria. El número bruto de pruebas ejecutadas no demuestra mejora.
Preguntas de repaso
Sección titulada «Preguntas de repaso»- ¿Por qué purple team no tiene que ser un equipo independiente?
- ¿Qué demuestra repetir exactamente una prueba tras el ajuste?
- ¿Cuándo conviene preservar el desconocimiento del blue team?