Méthode
Blue team et purple team
Aussi appeléBlue teamPurple teamÉquipe bleueÉquipe violette
En résumé
La blue team désigne l’équipe qui défend, détecte et répond aux attaques ; la purple team est un mode de travail où attaquants et défenseurs collaborent en direct, technique par technique, pour améliorer la détection plutôt que pour mesurer un résultat à l’insu de la défense.
Blue team et purple team, en détail
Le vocabulaire des couleurs vient des exercices militaires. La red team joue l’attaquant, la blue team défend : elle comprend les équipes de supervision, d’administration système, de réponse à incident et de sécurité opérationnelle. Son travail inclut la configuration des outils de détection, le tri des alertes, l’investigation et la remédiation. La purple team n’est pas une équipe supplémentaire mais une méthode. Un opérateur exécute une technique d’attaque précise, connue d’un catalogue comme MITRE ATT&CK : définition, et le défenseur vérifie en direct si l’outil de détection l’a vue, si l’alerte a été levée et si elle était compréhensible. Quand la détection manque, on la corrige immédiatement, puis on rejoue la technique pour confirmer.
Cette approche est plus efficace qu’un exercice en aveugle lorsque l’objectif est de combler des lacunes de détection : le retour est immédiat, la connaissance se transmet et chaque cycle augmente la couverture mesurable. Elle complète la red team, qui vérifie, elle, le fonctionnement d’ensemble en conditions de surprise. On les enchaîne souvent : purple team pour construire la détection, red team pour l’éprouver.
Qu’est-ce que cela change pour vous ?
Pour un RSSI qui veut améliorer sa détection de façon mesurable, un exercice purple team fournit une liste concrète de techniques couvertes et non couvertes, bien plus actionnable qu’un rapport d’incident simulé.
Exemple illustratif (fictif)
Imaginons un atelier d’une demi-journée où un exercice purple team rejoue plusieurs techniques de mouvement latéral contre le parc d’une entreprise. Certaines génèrent une alerte exploitable, d’autres une alerte incompréhensible ou aucune ; les règles sont corrigées avant la fin de l’atelier.
La confusion fréquente
Croire que la purple team est une équipe distincte, ou la mettre en opposition avec la red team. Il s’agit d’un mode de collaboration, qui répond à un besoin différent du test en aveugle.
Quelles prestations s’appuient sur ce terme ?
- Purple team : la prestationRejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Aller plus loin
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début