Purple team
Сотрудничество наступательной «красной» команды (атакующие) и оборонительной «синей» (защитники) в реальном времени для улучшения обнаружения и реагирования — вместо того чтобы red team пыталась победить, а blue team узнавала обо всём постфактум. Красный плюс синий — фиолетовый.
Отличие от классического red team: там атакующие действуют скрытно и отчитываются в конце (синяя команда задним числом узнаёт, как её взломали). На purple team-учениях красная команда выполняет известную технику, а синяя наблюдает вживую: «сейчас мы делаем kerberoasting — видите в логах? Нет? Тогда чиним правило обнаружения, повторяем и проверяем, что поймали». Итеративно, прозрачно, с обучением. Выигрыш: защита реально улучшается (покрытие обнаружением техник MITRE ATT&CK), а не просто фиксируется её слабость. «Purple team» — чаще вид деятельности или функция, чем постоянная команда. Современный идеал превращения наступательных знаний в лучшую защиту.