DEF CON 33 - Redefining Purple Teaming for Max impact - A Pennington, S Marrone, L Proehl

Purple teaming（紫隊演習）與傳統紅藍隊演習的根本區別在於協作模式。傳統模式中紅隊致力於造成最大破壞，藍隊被動防禦，雙方缺乏溝通；紫隊則從規劃階段就融合紅藍隊視角，共同決定技術選擇、實時觀察進展、事後共同學習。這種透明協作的價值在於：紅隊了解防禦實際能力後更能模擬真實威脅，藍隊在觀察攻擊過程中改進檢測邏輯，雙方在碰撞中互相提升。講者強調，若紅隊使用虛構的高級技術（如自主開發 C2、DNS 外洩），即使成功入侵，若這些技術與組織面臨的真實威脅無關，對防禦改進也毫無助益——重點不在於破壞本身，而在於驗證組織對真實威脅的防禦能力。

對手選擇是紫隊成功的首要因素。演習應針對組織實際面臨的威脅，而非虛構的攻擊向量。若擁有威脅情報團隊，應優先選擇已入侵過該組織的對手；若缺乏專業威脅情報，可利用地理位置、行業背景、同行入侵情況等線索推斷。講者建議查閱開源資源如 Thailand 威脅演員百科（搜尋 "Thaiert threat actor"），或向安全供應商請求針對組織的威脅概況。至關重要的是，演習必須在生產環境或盡可能接近生產的環境進行，因為檢測邏輯的有效性完全取決於實際的日誌記錄和工具配置；在虛擬環境中驗證的檢測在生產環境中可能完全失效。

向管理層展示價值需要精心構築敘事，而非技術細節。講者建議使用多維度指標：新增檢測數（如「本年新增 50 個檢測」）、覆蓋的 MITER ATT&CK 技術百分比（如「覆蓋 30% 技術」）、生成的文檔數量與工單完成時間。一個高度有說服力的論述是驗證供應商聲稱——供應商聲稱「100% ATT&CK 覆蓋」，但紫隊演習驗證他們缺乏 50 個實際檢測能力，這既驗證了安全投資的真實效果，又為管理層向董事會爭取預算提供了有力故事。講者特別強調若管理層困惑「為什麼在零次入侵的情況下還要演習」，應類比醫療概念——「預防性服藥以防止疾病，而非治療已發生的疾病」。

組織準備度決定了紫隊的啟動時機。基礎條件是完善的日誌系統、有效的事件應對流程；此後可進階到威脅狩獵，再到紫隊演習。講者承認不是所有組織都有資源自行運營，對資源受限的小型組織，建議考慮商業方案或在年度合規滲透測試上疊加紫隊元素。開源（如 Caldera）與商業方案的選擇取決於預算結構——若資本預算豐富但人力有限，商業解決方案更划算；若開發人員眾多但採購預算有限，開源方案可自行定製。

歷史數據與藍天攻擊的平衡問題沒有單一答案。在威脅情報有限的領域（如 OT/ICS），應增加藍天演習比例以應對未知威脅；在成熟的企業環境中，應持續驗證已知技術同時允許紅隊探索新攻擊向量，確保不過度依賴歷史情報。AI 工具（如 Claude）可協助威脅狩獵和攻擊規劃，降低進入門檻，但講者預估目前尚無法獨立自主進行紫隊演習。