Équipe violette

Définition

L'équipe violette, ou purple team, est un mode de collaboration structuré entre l'équipe rouge, chargée de l'attaque simulée, et l'équipe bleue, chargée de la défense, visant à maximiser l'efficacité pédagogique des exercices de sécurité offensive. Contrairement à un engagement de red team classique où la défense n'est pas informée à l'avance, l'exercice purple team se déroule en transparence : chaque technique d'attaque exécutée, souvent référencée par son identifiant MITRE ATT&CK, est immédiatement analysée conjointement pour vérifier si elle a été détectée, et sinon, pourquoi les règles de détection du SIEM ou de l'EDR n'ont pas déclenché d'alerte. Cette approche itérative permet d'ajuster en temps réel les cas d'usage de détection, de corriger des lacunes de visibilité et de renforcer immédiatement la posture défensive, plutôt que d'attendre un rapport final produit plusieurs semaines après un test d'intrusion traditionnel. L'équipe violette n'est pas nécessairement une équipe permanente distincte : elle désigne le plus souvent une fonction ou un mode opératoire réunissant temporairement des membres des équipes rouge et bleue, parfois animée par un facilitateur dédié. Cette pratique s'inscrit dans une logique d'amélioration continue de la détection, particulièrement adaptée aux organisations disposant déjà d'un SOC mature souhaitant valider et affiner ses règles de corrélation face à des scénarios d'attaque réalistes et documentés.