PURPLE TEAM - кибербезопасность с огоньком
Более десяти лет кибербезопасность жила в аккуратной дуальности: Red Team атакует, Blue Team защищает. Одна сторона имитирует злоумышленников, другая обнаруживает и реагирует. Индустрия привыкла к этой схеме, потому что она соответствовала прежней эпохе - миру монолитных систем, предсказуемых периметров и ограниченного числа известных уязвимостей.
Современные предприятия уже не линейные системы. Это распределённые экосистемы микросервисов, SaaS-платформ, облачных уровней, CI/CD-конвейеров, гибридных идентичностей, эфемерных рабочих нагрузок и потоков данных в реальном времени. Атакующие адаптировались куда быстрее корпоративных защитных механизмов. А уже реальные хакеры чаще всего на несколько лет опережают своих зажатыми рамками и лимитами дозволенного корпоративных коллег. Тактики злодеев эволюционируют куда быстрее, чем защитников. Их творческий подход намного превосходит ожидания традиционных систем детектирования. В результате ни Red, ни Blue в одиночку больше не способны обеспечить устойчивую защиту бизнеса.
Появилась третья дисциплина - стратегический мост между наступлением и обороной с широкими полномочиями: Purple Team. Настоящий Purple Team - это не смесь двух команд и не компромисс между ними. Фактически это внутрикорпоративная электронная контразведка, исследовательский слой для detection engineering, операционной устойчивости и организационного обучения. Такая команда не просто проверяет защитные меры - она проектирует будущее защитной архитектуры компании.
В этом смысле Purple Team Lead - не просто инженер. Это интерпретатор угроз, дизайнер защитной архитектуры и прежде всего — художник, работающий в области, которая в основном ещё не определена.
Почему Red и Blue больше недостаточно
В начале 2010-х безопасность опиралась в основном на сигнатуры, статические правила и известные уязвимости. Новые варианты вредоносного ПО попадали в заголовки СМИ. Патчи выходили по чётким циклам. SIEM-системы выявляли отклонения от базовой линии. Red Team использовала хорошо изученные инструменты.
Но сегодня:
- большинство атак не полагаются на известные CVE и даже на C2 (трушные хакеры относятся к кобальту или метасплоиту, как к общественному туалету, при том грязному и обвешанному скрытыми камерами);
- большая часть инцидентов связана с легитимными учётными данными, ошибками в API, злоупотреблением облачными идентичностями или LOLBins;
- значительная часть атакующего поведения не описана ни в документации, ни в исследованиях, ни в учебных материалах.
Говорить, что ландшафт угроз меняется уже неточно - он уже изменился. Старая модель в виде реактивного Blue и наступательного Red совершенно точно не успевает за противниками, которые создают кастомные инструменты, адаптируются в реальном времени и бьют по архитектурным слабостям, а не по программным уязвимостям. Более того очень часто бьют прямо по самим системам информационной безопасности. Именно поэтому Purple Team становится критически важной.
Purple Team как интерпретатор между хаосом и структурой
Уникальная когнитивная роль Purple Team
Зрелая Purple Team - это машина организационного обучения. Её задача - это не помогать Red или поддерживать Blue, а производить новые знания, преобразовывая атакующее творчество в защитные возможности. Это требует не только технических навыков, но и умения интерпретировать, видеть паттерны в неполных данных и прогнозировать направления эволюции атак, а не просто реагировать на них.
Purple Team работает в серой зоне, где угрозы возникают задолго до того, как будут формально признаны:
- когда неправильно настроенная IAM-роль пока не эксплуатируется - но скоро будет;
- когда микросервис генерирует необычный API-паттерн - задолго до того, как этот паттерн станет частью атаки;
- когда пробел в облачном логировании создаёт идеальные условия для скрытого lateral movement.
Эта зона неопределённа, изменчива и не имеет чётких границ. Она требует мышления, более похожего на стратегический дизайн или научный метод, чем на традиционные IT-операции. Хороший Purple Team Lead умеет работать с неопределённостью, связывать разрозненные элементы и создавать ясность там, где её не было.
В полном смысле — это стратегические художники.
Почему MITRE, CVE и SIGMA покрывают менее 20% реальных угроз
Миф о полном покрытии фреймворков
Организации часто чрезмерно полагаются на три источника:
- MITRE ATT&CK — описание поведения злоумышленников
- CVE — реестр известных уязвимостей
- SIGMA — шаблоны правил детектирования
Они действительно полезны. Но Purple Teams понимают их ограничения: вместе они отражают лишь до 25% реальных атакующих техник.
Почему так мало?
Потому что:
- MITRE описывает наблюдаемые техники, а не те, что появятся завтра;
- CVE отражает ошибки кода, а не архитектурные уязвимости, ошибки логики, цепочки идентичностей, API-эксплойты или облачные misconfigurations;
- SIGMA описывает формат правил, а не истинное поведение; злоумышленнику достаточно изменить контекст исполнения, чтобы обойти их.
Современные атаки не так уж и часто совпадают с шаблонами. Атакующие комбинируют примитивы облачных систем, расширяют open-source инструменты, используют легитимные механизмы и создают полностью новые цепочки, которых никогда не существовало в каталогах.
Другими словами: если защищать только то, что задокументировано, вы защищаетесь от прошлого — а не от будущего.
Как работает Purple Team: непрерывный цикл творчества и инженерии
Purple Team — это не одноразовая проверка. Это CI/CD-конвейер безопасности, непрерывный цикл улучшения, превращающий атакующие инсайты в защитные возможности.
Assessment — определение реального положения дел
- выявление уязвимостей в архитектуре: облако, идентичности, сеть, приложения;
- анализ существующего покрытия MITRE ATT&CK;
- оценка полноты и качества телеметрии во всех системах.
Planning — проектирование сценария атаки
- выбор TTP на основе риска и актуальной разведки;
- определение цепочек атаки, которые с наибольшей вероятностью выявят detection gaps;
- создание реалистичных сценариев Red/Blue взаимодействия.
Simulation — контролируемое исполнение атаки
- Red Team выполняет TTP;
- Purple Team управляет сценарием и ограничениями;
- Blue Team наблюдает и реагирует в условиях «реального боя».
Analysis — обнаружение того, что организация не видит
- выявление ложных отрицаний;
- определение отсутствующих логов;
- анализ обходов EDR и нестабильной телеметрии;
- связывание каждого пробела с рисками бизнеса.
Improvement — инженерия защитных механизмов
- создание и обновление playbooks для SOC/IR;
- разработка новых Sigma/YARA правил;
- улучшение Sysmon и endpoint конфигураций;
- проектирование SOAR-автоматизаций.
Automation — масштабирование устойчивости
- перевод ручных шагов в автоматические;
- интеграция обогащения, корреляции и containment в SOAR;
- распространение новых детектов во все системы.
Validation — доказательство эффективности
- повторная симуляция атаки;
- если защита не сработала — улучшение и новый цикл.
Это производственный процесс безопасности, а не эксперимент.
MTTD и MTTR: ключевые метрики, которые Purple Team меняет радикально
Чтобы понять ценность Purple Team, руководителям нужно понимать две фундаментальные метрики:
Mean Time To Detect (MTTD)
Время от начала атаки до момента её обнаружения. Чем выше MTTD, тем дольше злоумышленник остаётся невидимым.
Mean Time To Respond / Recover (MTTR)
Время реагирования, локализации и восстановления. Высокий MTTR = высокий ущерб.
Purple Team напрямую снижает обе метрики. Каждый цикл симуляций, каждая новая гипотеза, каждое правило, каждая автоматизация — это шаг к ускорению обнаружения и улучшению реагирования. Такой системности нет ни у одной другой функции.
Кейс 1. Обнаружение PowerShell-атак: снижение MTTD на 35%
Финансовая компания сталкивалась с аномальным поведением серверов, но:
- EDR молчал,
- SIEM не выдавал алертов,
- логи выглядели «нормально».
Purple Team провела симуляцию PowerShell → EncodedCommand → WMI → эксфильтрация.
Blue Team ничего не увидела.
Анализ выявил критические пробелы: отсутствие Sysmon 4688, отсутствие правил на encoded-команды, неполную корреляцию в SIEM.
Purple Team:
- перестроила телеметрию,
- создала SIGMA-правила,
- добавила анализ родительских процессов,
- внедрила автоматическую изоляцию хоста.
Повторная симуляция снизила MTTD на 35%.
Это был результат не новых инструментов, а нового мышления.
Кейс 2. Lateral Movement, отсутствующий в MITRE ATT&CK
Red Team использовала технику lateral movement, включавшую:
- нетипичные SMB-сессии,
- сервисные учётные записи,
- DCOM-вызовы,
- недостаточное логирование.
MITRE ATT&CK не описывал такой цепочки. Blue Team пропустила атаку полностью.
Purple Team:
- включила Event ID 5145,
- создала корреляции для SMB-поведения,
- задала пороги аномалий,
- проверила детектирование через PurpleSharp.
Повторная симуляция была обнаружена за 12 секунд.
Кейс 3. RCE в API Gateway → рождение зрелого DevSecOps
Red Team обнаружила RCE. Обычный путь — исправить уязвимость и двигаться дальше.
Purple Team Lead сделал противоположное:
- провёл threat modeling по PASTA для всей микросервисной архитектуры;
- выявил пробелы в CI/CD;
- внедрил SAST/DAST в pull-requests;
- изменил конфигурацию Kubernetes-логирования;
- создал SOAR-процесс, изолирующий Pod при подозрительных API-вызовах.
Организация получила не просто патч — появилась новая дисциплина DevSecOps.
Threat Hunting как научное ядро Purple Team
Настоящий Threat Hunting — не реакция на алерты. Это научный метод. Он начинается с вопросов:
- «Если злоумышленник захочет обойти EDR, как он это сделает?»
- «Если произойдёт цепочка компрометаций облачных идентичностей, какие слабые сигналы останутся?»
- «Как в телеметрии проявится техника, которой пока нет в MITRE?»
Purple Team превращает эти вопросы в гипотезы, проводит эксперименты, строит корреляции, автоматизирует выводы и валидирует их через атаки. Каждый hunt пополняет корпоративную базу знаний и повышает зрелость защиты.
В зрелых компаниях Threat Hunting — это исследовательская функция, а Purple Team — её научный центр.
Почему инструменты важны меньше, чем процессы, которые создаёт Purple Team
Компании часто считают, что безопасность улучшается благодаря покупке новых SIEM, EDR, SOAR или NDR-платформ. Но разрыв между возможностями инструмента и его реальной эффективностью определяется процессами, которые его окружают.
Purple Team проектирует эти процессы:
- какую телеметрию собирать;
- как обогащать данные;
- какие поведенческие сигналы считать значимыми;
- как автоматизировать реагирование;
- как развивать playbooks;
- как связать detection engineering с управлением рисками.
Инструменты сами по себе не создают устойчивость. Её создаёт Purple Team.
Ключевые технологии, обеспечивающие работу Purple Team
Purple Team нуждается в инструментах, позволяющих наблюдать, симулировать, анализировать и улучшать защиту.
SIEM — аналитический фундамент
- Splunk
- Elastic SIEM
- Azure Sentinel
EDR/XDR — видимость поведения атакующих
- CrowdStrike Falcon
- Microsoft Defender for Endpoint
- SentinelOne
SOAR — автоматизация реагирования
- Cortex XSOAR
- Splunk Phantom
- TheHive/Cortex
Network Detection — анализ сетевого поведения
- Zeek
- Suricata
- Security Onion
Threat Intelligence — контекст для поведения
- MISP
- OpenCTI
Adversary Simulation — проверка готовности
- Atomic Red Team
- MITRE Caldera
- PurpleSharp
Hunting & Forensics — изучение возникающих угроз
- Velociraptor
- OSQuery
Как оценить эффективность Purple Team
Руководители часто спрашивают, как понять, работает ли Purple Team. Основные признаки:
- Рост покрытия MITRE ATT&CK Не потому что команда “гонится за ATT&CK”, а потому что улучшилась видимость.
- Снижение MTTD/MTTR Постоянное, а не разовое.
- Появление уникальных детектов Если организация использует только правила от вендора — Purple Team не создаёт новое.
- Интеграция безопасности в культуру разработки Когда Dev, Ops и архитекторы начинают мыслить категориями детектирования.
Purple Team Lead — стратегический художник киберзащиты
Зрелый Purple Team Lead выходит за рамки традиционных ролей. Он думает как атакующий, анализирует как учёный данных, проектирует как архитектор и коммуницирует как стратег.
Главная характеристика — творческое мышление.
Атакующие изобретают новое ежедневно. Защита должна изобретать быстрее.
Когда CVE, SIGMA и MITRE покрывают лишь 20% угроз, творчество — не роскошь и не хобби. Это фундамент устойчивости.
Purple Team Lead:
- придумывает оригинальные сценарии атак;
- создаёт защитные playbooks с нуля;
- проектирует межфункциональные учения;
- ведёт организацию к защите от угроз, которые ещё не появились.
Это архитектор неопределённости.
Purple Team как новая операционная система защиты через наступление
По мере усложнения цифровых систем и эволюции атакующие становятся всё адаптивнее. Организациям нужна не просто новая технология, а новая дисциплина мышления — основанная на творчестве, экспериментах, непрерывном обучении и структурных улучшениях.
Этой дисциплиной является Purple Team. Это стратегический слой, который преобразует обе команды.
Это механизм, в котором знания накапливаются, устойчивость растёт, а неопределённость становится управляемой. Это способность превращать теоретические исследования угроз в практическое операционное преимущество. Де-факто Purple Team Lead — это хороший инженер, при этом он же и аналитик, он же и стратег угроз и конечно же художник кибербезопасности в мире, где 80% угроз находятся за пределами документации, а злоумышленники развиваются быстрее, чем обновляются инструменты.