Purple Team Hizmeti

Red team operasyonu, savunmanın nerede başarısız olduğunu gösterir ama genellikle iş bittikten sonra raporlanır. Purple team'de ise her teknik uygulandığı anda SIEM, EDR ve diğer araçlardaki iz birlikte incelenir; eksik kayıt veya kural aynı oturumda ele alınır.

Sonuç, ölçülebilir bir tespit kapsama haritası ve somut olarak iyileştirilmiş kurallardır.

1. Senaryo seçimi: Sektörünüzü hedefleyen tehditlere göre öncelikli MITRE ATT&CK teknikleri belirlenir.
2. Başlangıç ölçümü: Mevcut log kaynakları, SIEM ve EDR kuralları gözden geçirilir.
3. Ortak uygulama: Her teknik kontrollü biçimde çalıştırılır; SOC ekibi alarmı, logu ve görünürlüğü kontrol eder.
4. Boşluk analizi: Tespit edilemeyen veya geç tespit edilen teknikler için eksik log kaynağı veya kural belirlenir.
5. İyileştirme ve tekrar: Yeni veya güncellenen tespit kuralları aynı teknikle yeniden test edilir.

• MITRE ATT&CK üzerinde çalışma öncesi ve sonrası tespit kapsama haritası.
• Her teknik için sonuç: Engellendi, tespit edildi, kayda geçti ya da görünmedi.
• Önerilen ve test edilmiş tespit kuralı mantığı ile log kaynağı iyileştirmeleri.
• SOC süreçleri ve müdahale adımları için öneriler.

Kendi SOC'unu işleten veya hizmet olarak alan, yeni bir SIEM ya da EDR yatırımının etkinliğini ölçmek isteyen ve analistlerinin gerçek saldırı izlerini tanımasını hedefleyen kurumlar için uygundur.

Purple team genellikle önceden planlanmış oturumlar halinde, uzaktan veya yerinde yürütülür. Her oturumda belirli bir saldırı aşamasına (örneğin ilk erişim, yetki yükseltme, yanal hareket) odaklanılır.

Oturumlar, SOC analistleriniz için aynı zamanda uygulamalı bir eğitim işlevi görür.