DefiniciónEl Purple Team es la colaboración entre ataque y defensa: el Red Team y el Blue Team trabajan lado a lado, técnica por técnica, para que cada ataque simulado se convierta en una mejora concreta de detección o de respuesta.
Cómo funciona
El Purple Team no es necesariamente un tercer equipo, sino una forma de trabajar. En un ejercicio tradicional de Red Team, el informe llega semanas después. En el Purple Team, el equipo ofensivo ejecuta una técnica, el defensivo verifica en el momento lo que vio, y ambos ajustan antes de seguir. El vocabulario común suele ser MITRE ATT&CK, base pública de tácticas y técnicas observadas en ataques reales.
- Elegir la amenaza relevante para el sector, con base en inteligencia de amenazas.
- Armar el plan de emulación, mapeando las técnicas de ese adversario en ATT&CK.
- Ejecutar y observar cada técnica de forma controlada, con el Blue Team acompañando.
- Clasificar el resultado: bloqueada, alertada, solo registrada en log o sin rastro.
- Ajustar y volver a probar: crear reglas en el SIEM y el EDR, activar fuentes de log que faltaban, revisar playbooks y repetir la técnica.
Purple Team vs Red Team
El Red Team mide, de forma encubierta, si la defensa detecta un ataque y entrega el resultado al final del ejercicio. El Purple Team trabaja a la vista: el objetivo no es sorprender a la defensa, sino enseñarle. Ambos se complementan: el Red Team revela las brechas; el Purple Team acelera su cierre.
Por qué importa
El resultado es medible: cuántas técnicas relevantes pasaron a ser detectadas o bloqueadas, dónde todavía falta telemetría y qué reglas necesitan ajuste. Esto responde a una pregunta que muchos gestores hacen y pocas pruebas responden: ¿el SOC detectaría un ataque real?
En Network Secure, el Purple Team se apoya en los servicios CTD (Cyber Timeline Defense) y Respuesta a Incidentes.
Preguntas frecuentes
¿El Purple Team sustituye al Red Team?
No. El Red Team prueba la defensa de forma encubierta, sin aviso; el Purple Team trabaja a la vista para mejorar la detección. Muchas organizaciones usan el Purple Team para cerrar las brechas que reveló el Red Team.
¿Necesito un equipo de Purple Team separado?
No necesariamente. El Purple Team es una forma de trabajo entre los equipos ofensivo y defensivo, que puede llevarse a cabo con profesionales internos, con un proveedor o con ambos.