Purple teaming: la difesa si misura una tecnica alla volta
Purple teaming nasce per chiudere un cortocircuito che la sicurezza offensiva si porta dietro da sempre. Il red team entra, dimostra che si poteva entrare, consegna un report. Il blue team lo legge, corregge qualcosa, e l’esercizio si esaurisce lì. Quello che quasi mai accade è la verifica sistematica di una domanda diversa e più utile: quando l’attaccante ha eseguito quella precisa tecnica, la difesa l’ha vista? L’ha bloccata? L’ha segnalata a chi doveva? Il purple teaming esiste per rispondere a questa domanda in modo misurabile, e per farlo trasforma una gara in una collaborazione.
Il nome trae in inganno, perché suggerisce un terzo team che si aggiunge agli altri due. Non è così. Il viola non è una squadra, è il colore che si ottiene mescolando il rosso e il blu, ed è esattamente questo il punto: attacco e difesa che lavorano insieme, nello stesso momento, condividendo in tempo reale ciò che l’uno fa e ciò che l’altro vede. La posta non è chi vince, ma quanto la difesa migliora, e di quanto esattamente.
Il problema del red contro blue
La modalità tradizionale tratta sicurezza offensiva e difensiva come avversari. Il red team ha successo se riesce a non farsi scoprire, il blue team se respinge l’attacco, e tra i due si apre una logica da partita in cui ciascuno ha interesse a non rivelare le proprie carte. È spettacolare, a volte utile, ma produce poco apprendimento strutturato. Alla fine resta un documento che elenca ciò che è andato male, senza garantire che la prossima volta andrà meglio, e senza dire con precisione quali capacità di rilevamento mancavano.
Il difetto è che l’informazione più preziosa, il momento esatto in cui una tecnica d’attacco passa inosservata, va sprecata. Se il difensore scoprisse in quell’istante che la sua regola non è scattata, potrebbe correggerla subito e riprovare. Nel modello a punteggio, invece, quella scoperta arriva settimane dopo, in forma di paragrafo in un report, quando il contesto è svanito. Il purple teaming recupera proprio quel momento, e lo mette al centro.
Non è un terzo team, è un modo di lavorare
In un esercizio di purple teaming le due parti operano in parallelo e si parlano. Il red team annuncia ed esegue una tecnica specifica. Il blue team osserva in diretta i propri strumenti, il Security Operations Center e le sue dashboard, e verifica se quella tecnica genera un segnale. Se il segnale c’è, si controlla che sia corretto, prioritario, azionabile. Se non c’è, si è trovata una lacuna, e la si affronta nel momento stesso in cui è visibile: si scrive o si corregge la regola di rilevamento, e il red team ripete la tecnica per confermare che ora viene intercettata.
È un ciclo stretto, fatto di esecuzione, osservazione, correzione e nuova prova. La differenza con il penetration test e con il red team classico non sta negli strumenti d’attacco, che sono gli stessi, ma nell’obiettivo: non dimostrare che si può entrare, ma misurare e aumentare la capacità di accorgersene. L’attacco diventa uno strumento diagnostico al servizio della difesa, non un fine in sé.
Purple teaming si misura su ATT&CK, una tecnica alla volta
Perché questo dialogo funzioni serve un linguaggio comune, e quel linguaggio esiste. Il framework MITRE ATT&CK cataloga le tattiche e le tecniche degli attaccanti in un vocabolario condiviso: dà al red team un repertorio di comportamenti da cui attingere per costruire gli scenari, e dà al blue team un modo per descrivere la propria copertura di rilevamento negli stessi termini. Quando entrambe le parti parlano di una tecnica con lo stesso identificativo, la verifica diventa puntuale: questa tecnica è coperta, quest’altra no.
È qui che il purple teaming smette di produrre opinioni e inizia a produrre misure. L’esito di un esercizio fatto bene non è un giudizio generico sulla maturità difensiva, ma una mappa di copertura tecnica per tecnica, in cui ogni voce è marcata come rilevata, bloccata o sfuggita. Quella mappa è anche il programma di lavoro della detection engineering, perché ogni casella scoperta è una regola da scrivere e una da testare. Il valore non è il numero di attacchi riusciti, ma il numero di tecniche che, dopo l’esercizio, la difesa è in grado di vedere e che prima le sfuggivano.
Dagli atomic test all’emulazione automatizzata
Per rendere ripetibile questo lavoro, la comunità ha prodotto strumenti che traducono le tecniche di ATT&CK in prove eseguibili. La libreria Atomic Red Team, aperta e mantenuta da una vasta comunità di professionisti, raccoglie test piccoli e autonomi, gli atomics, ciascuno mappato a un identificativo di tecnica, per esempio T1059 per l’abuso di interpreti di comandi e script o T1003 per il dumping delle credenziali dal sistema operativo. Ogni test gira in pochi minuti e richiede una configurazione minima, così il difensore può verificare una singola tecnica senza allestire un’intera campagna. Sul versante dell’automazione completa, piattaforme di emulazione avversaria come MITRE Caldera orchestrano sequenze d’attacco allineate ad ATT&CK e restituiscono quali controlli hanno funzionato e quali no. È l’evoluzione del purple teaming nella forma della breach and attack simulation, dove le prove non si fanno una volta l’anno ma in modo programmato e continuo.
Dall’esercizio alla pratica continua
Il limite del purple teaming inteso come evento è lo stesso di qualunque collaudo isolato: fotografa un istante. Un’organizzazione che valida la propria copertura una volta e poi cambia un sistema, aggiorna uno strumento o modifica una regola torna a non sapere cosa rileva davvero. Per questo la direzione matura è la pratica continua, in cui le tecniche più rilevanti vengono rieseguite con regolarità e ogni regressione, una regola che smette di scattare dopo un aggiornamento, emerge subito invece che durante il prossimo incidente.
In questa forma il purple teaming smette di essere un appuntamento e diventa un processo, intrecciato con l’automazione della sicurezza e con il lavoro quotidiano del centro operativo. L’attacco simulato alimenta la scrittura dei rilevamenti, i rilevamenti vengono verificati da nuovi attacchi simulati, e la copertura cresce in modo documentato anziché per intuizione.
Il punto di arrivo è un cambio di mentalità più che di strumenti. Finché sicurezza offensiva e difensiva restano due squadre che tengono il punteggio, il risultato è un verdetto: si è entrati, oppure no. Quando diventano un’unica funzione che misura e migliora, il risultato è una capacità: sapere, tecnica per tecnica, cosa si rileva e cosa ancora sfugge, e vedere quel divario restringersi prova dopo prova. È questa la promessa concreta del purple teaming, e spiega perché, in un panorama in cui gli attaccanti riusano le stesse tecniche per anni, misurare la propria difesa una tecnica alla volta è più utile di qualunque esercitazione vinta o persa.
