什麼是網路安全中的 Purple Team？

網路攻擊如網路釣魚、勒索軟體和惡意軟體正持續增加，且網路犯罪分子的手法愈發先進。根據 AAG，全球網路攻擊在 2021 年較前一年暴增 125%，而且這股趨勢並未放緩。這波激增清楚表明，企業需要強大的網路安全策略才能維持防護。為了因應這些威脅，越來越多組織開始採用所謂的 purple teaming，也就是融合紅隊與藍隊功能的概念。

這種方法促進即時分享洞察與策略，進而提升組織預防、回應及偵測攻擊的能力。

然而，Purple Team 究竟是什麼？它們為安全帶來了哪些價值？本文將嘗試說明這個概念，並闡述其對建立更具韌性的安全系統所帶來的顛覆性影響。

什麼是 Purple Team？

Purple Team 是由網路安全從業人員組成的團隊，與紅隊（執行攻擊的攻擊性安全團隊）及藍隊（保護組織的防禦性安全團隊）合作，以提升組織的整體安全性。

Purple Team 將紅隊與藍隊整合在一起，使溝通與協作更加順暢，進而改善組織偵測、回應及阻止威脅的能力。

Purple Team 不再讓各團隊各自運作，而是透過結合紅隊的攻擊戰術與藍隊的防禦策略來彌合彼此之間的落差。

Purple Team 的重要性

傳統上，紅隊與藍隊往往各自獨立運作，雙方發現的內容之間缺乏交叉協作。Purple Team 則透過確保紅隊的攻擊模擬能直接促成藍隊更強的防禦來解決這個問題，形成持續改善的循環。

透過協同合作，紅隊與藍隊可以快速發現偵測與回應機制中的缺口。Purple Team 的洞察可協助藍隊制定更好的偵測規則、微調防禦系統，並加快事件回應速度。

由於 Purple Team 促成直接協作，因此無需等待各自獨立評估即可改善安全措施。這種持續不斷的攻擊、回饋與改進循環，使安全防護更快速且更具適應性。

Purple Team 不只是對威脅做出反應，還能透過持續即時測試與改進防禦，協助企業保持領先，打造更主動的網路安全方法。

Purple Team 的職責是什麼？

Purple Team 的主要職責是作為紅隊與藍隊之間的橋樑。他們促進溝通與資訊共享，以提升對攻擊的防禦能力，同時精進攻擊戰術，以更有效地模擬真實世界的威脅。

以下是他們執行的其他任務：

執行模擬攻擊

Purple Team 監督由紅隊主導的滲透測試與模擬攻擊執行，以評估組織安全系統中的弱點。他們的工作是確保模擬攻擊具備真實性，並涵蓋廣泛的潛在威脅。

獵捕潛在威脅

Purple Team 不會只是等待攻擊發生，而是主動進行威脅獵捕，也就是主動搜尋可能危及組織防禦的潛在威脅。

改善防禦措施

Purple Team 與藍隊合作，以強化安全控制、實作新的防禦機制，並根據紅隊發現的弱點微調現有安全政策。

制定攻擊與防禦策略

Purple Team 會分析攻擊與防禦作業雙方的表現。他們結合紅隊對弱點的洞察與藍隊對防禦缺口的了解來精進策略，打造強健且分層的安全系統。

強化事件回應

他們也專注於改善事件回應計畫，方法是觀察藍隊對團隊模擬攻擊的反應成效。根據這些觀察，他們會更新回應流程，並即時提出防禦機制的改進建議。

評估安全工具

Purple Team 會評估組織安全工具與技術的有效性。他們致力於確保藍隊充分發揮這些工具的效益，微調設定，並在必要時套用更新。

訓練與知識分享

Purple Team 透過分享對最新網路攻擊技術、工具與防禦措施的洞察與知識，協助提升紅隊與藍隊雙方的技能。這種持續的回饋循環可確保兩個團隊都能掌握不斷演變的威脅與因應措施。

Purple Teams、Red Teams 與 Blue Teams 的比較

當你了解紅隊、藍隊與 Purple Team 之間的差異與角色時，就更能掌握 Purple Team 為組織安全帶來的獨特價值。

紫隊

此團隊結合紅隊與藍隊的經驗與知識。他們並非獨立運作，而是促進兩個團隊之間的合作。他們制定可改善並強化攻擊與防禦的戰術或策略。他們分享知識、整合兩個團隊，並促進跨團隊活動。

紅隊

一個紅隊是由專業的道德駭客或安全人員組成的團隊，執行攻擊行動以發掘組織內部的弱點。他們作為對手行動，使用與網路犯罪分子入侵系統時相同的技術。

他們扮演敵方角色，並採用網路犯罪分子在攻擊系統時使用的相同策略。紅隊的目標包括以下幾點：揭露薄弱環節、識別缺口，並展示真實攻擊者可能如何利用這些弱點進行入侵。

藍隊

一個藍隊負責防禦網路攻擊。所有與威脅監控相關的安全措施，包括網路、其分析，以及安全事件回應，皆屬於此團隊的職責範圍。他們的角色是保護性的，藉此防止來自紅隊的真實攻擊行動。

紫隊如何運作？

紫隊結合紅隊的攻擊手法與藍隊的防禦策略。此團隊位於持續回饋循環的核心，紅隊從模擬攻擊中獲得的知識可協助藍隊強化其防禦態勢。

以下是紫隊的運作方式：

1. 對手模擬

紅隊使用 Advanced Persistent Threats 等技術或 MITRE ATT&CK 等框架執行真實世界攻擊模擬。目標是找出組織防禦中的薄弱點。

2. 發現結果文件化

紅隊在執行攻擊模擬後開始準備報告，記錄他們在組織基礎架構中識別出的所有弱點與攻擊向量。

3. 藍隊風險評估

藍隊優先處理風險最高的弱點，評估報告中列出的已知弱點相關風險，並認知到某些風險無可避免。

4. 日誌分析與控制項配置

此類事件由藍隊記錄於日誌檔案中，並加以處理以遏止任何可能的敵對活動。若發生錯誤且日誌未正確記錄，他們可以調整管理控制項，確保驗證與識別在下次能更有效運作。

5. 實施緩解策略

藍隊運用所學進行修正，無論是微調安全控制項，還是新增工具，以更有效地發現並回應威脅。

6. 紅隊重新測試

在藍隊強化防禦後，紅隊會再次進行測試，以確認防禦是否有效。反覆的調整與測試有助於兩個團隊獲得新知識，並提升其在真實面對實際威脅時的準備程度。

紫隊角色與職責

紫隊成員承擔紅隊與藍隊任務的混合職責，另加額外職務以維持一切協調並順暢運作。關鍵角色包括：

• 紫隊主管： 管理團隊間的協作，確保一致性與目標達成
• 紅隊成員： 執行模擬攻擊以發掘系統弱點，並提供有價值的洞察
• 藍隊成員： 專注於防禦系統，並根據紅隊回饋強化防禦策略
• 安全分析師： 評估演練成果、監控進度，並找出可改進的領域
• 事件回應團隊： 支援在模擬或實際攻擊期間對即時事件的管理
• 威脅獵捕人員： 主動尋找可能已規避藍隊偵測的進階威脅

紫隊演練有哪些好處？

在這些紫隊演練期間，團隊可以測試數百種攻擊技術。由於紅隊與藍隊共同合作，他們可以即時修正問題。

這表示相較於傳統的紅隊或藍隊配置，安全性可更快速且更有效地提升。

透過紫隊演練，您的組織可獲得：

• 更佳的協作： 紫隊打破了紅隊與藍隊之間設下的隔閡。它為這兩組專業人員提供一個統一且具包容性的環境，以分享想法、知識與策略，進而更有效地強化您的安全態勢。

• 持續改進： 紫隊持續進行測試並提供回饋，讓安全防護能隨著新威脅保持最新狀態。這種主動式方法可協助企業領先因應潛在風險。

• 真實威脅模擬： 紫隊執行真實世界的攻擊情境，協助藍隊根據實際威脅強化其防禦能力。藉由這種方式，回應團隊能第一手體驗在非演練情況下會面臨的狀況，並提升安全人員的整備程度。

• 全面性的安全態勢： 透過結合攻擊與防禦策略，紫隊可建立更穩固的安全態勢。由此產生的綜效，對於將資料安全列為高度優先事項的產業尤其有幫助，例如金融與醫療保健。

紫隊面臨哪些挑戰？

紫隊在提升安全營運方面也有一些會造成問題的瓶頸。其中包括：

• 抗拒協作： 要打造一支無可匹敵的足球隊，需要十一位具備不同個性、技能與理念的人。問題在於，紅隊與藍隊通常擁有不同的思維模式，這可能進而造成摩擦。紅隊專注於找出弱點，而藍隊則著重於保護安全。讓他們順暢合作，是紫隊必須持續努力的事情。
• 工具整合： 紫隊需要混合使用紅隊與藍隊的工具，而當這些工具彼此無法良好協作時，情況就會變得棘手，進而拖慢安全流程並造成效率不彰。
• 資源供應緊縮： 建立一支有效的紫隊需要時間、聘用具備技能的人才，以及資金。當預算緊縮時，就很難取得合適的工具、訓練與人員來讓紫隊運作發揮成效。
• 技能落差： 紫隊需要具備雙向能力，他們必須了解 IT 安全中攻擊與防禦兩方面的細微差異，因此很難找到同時精通兩者的人才。紅隊與藍隊之間的交叉訓練也需要時間與資源。
• 缺乏明確指標： 要判斷紫隊運作的成效可能相當棘手。不同於一般滲透測試或防禦監控，紅隊與藍隊之間的知識分享與協作成效更難衡量。

紫隊的最佳實務是什麼？

若要讓紫隊發揮最大效益，重點應放在鼓勵持續改進與團隊合作。請嘗試導入自動化流程以減輕負擔。以下建議的實務可提供協助：

#1. 建立明確目標

請確保紫隊演練具有明確定義的目標，例如測試防禦能力或提升偵測技能。讓紅隊與藍隊對齊認知，以避免優先順序混亂。

#2. 擁抱自動化

將威脅偵測與攻擊模擬等工作自動化，可讓紫隊營運更有效率。使用能整合攻擊性任務（例如滲透測試）與防禦性任務的工具，讓整體流程更順暢且更容易擴展。

#3. 進行聯合演練

讓紅隊與藍隊在即時模擬中共同合作。這可實現快速回饋與持續改進。請使用基於真實世界攻擊的情境，包括新興與正在出現的威脅。

#4. 保持溝通順暢

定期安排兩個團隊之間的會議，以鼓勵知識分享，並確保從攻擊模擬中獲得的經驗教訓可用於改善防禦。建立溝通管道，例如共享文件與協作工具，讓流程更順暢。

#5. 建立持續回饋循環

確保紅隊到藍隊以及反向之間存在持續不斷的回饋循環。紅隊識別出的每一項弱點或漏洞，都應促成藍隊可執行的改進措施。

#6. 投資交叉訓練

透過提供交叉訓練來提升團隊技能。藍隊成員應學習攻擊戰術，而紅隊成員則應熟悉防禦策略與技術。

SеntinеlOnе 如何提供協助？

SentinelOne 的 Purple AI 正在改變紫隊資安團隊的工作方式，讓威脅偵測與回應更快速。

Purple AI 可將複雜問題簡化，並透過自然語言協助調查。作為唯一支援 Open Cybersecurity Schema Framework (OCSF) 的 AI 分析師，它讓團隊能在單一位置清楚檢視所有資料。

您可以使用預先填入的 Threat Hunting Quick Starts 快速識別並處理隱藏風險，實現一鍵調查。它也會套用演算法支援的建議式查詢，並以自然語言摘要測試結果/輸出，讓您立即掌握解讀方式，並縮短回應與調查時間。

此外，它還可透過共享、可匯出的調查筆記本，以及自動產生的電子郵件來促進協作。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

紫隊在連結紅隊與藍隊方面扮演關鍵角色，並推動協作環境以強化貴公司的安全態勢。

透過結合攻擊與防禦戰術，這些團隊提供持續回饋與真實威脅模擬，有助於識別並修補漏洞。這種主動式方法可協助組織領先因應不斷演變的威脅。

若要妥善執行紫隊運作，您必須設定明確的目標與宗旨。首先篩選人才並挑選合適的團隊成員，制定計畫，鼓勵兩個團隊之間願意合作的文化，使用自動化工具，並追蹤進度以持續改進。

您也可以 預約示範，與 SentinelOne 一同了解其先進的 Purple AI 如何協助您的安全團隊進行威脅偵測、改善協作並加速調查。