Purple Team OT

Définition

Le Purple Team OT désigne une démarche collaborative structurée réunissant une équipe offensive (red team), chargée de simuler des tactiques, techniques et procédures d'attaquants réels ciblant les environnements industriels, et une équipe défensive (blue team), responsable de la détection et de la réponse, avec pour objectif explicite d'améliorer conjointement les capacités défensives plutôt que de simplement démontrer des vulnérabilités. Contrairement à un pentest OT classique mené en silo, l'exercice purple team se déroule généralement en mode transparent et itératif : chaque technique simulée par l'équipe offensive, par exemple une tentative de mouvement latéral d'un réseau IT compromis vers un poste d'ingénierie OT, ou l'injection de trafic Modbus anormal, est immédiatement analysée par l'équipe défensive pour évaluer sa détectabilité par les outils de supervision en place (Nozomi, Claroty, Dragos) et ajuster en temps réel les règles de détection. Les scénarios s'appuient couramment sur le framework MITRE ATT&CK for ICS, qui catalogue les tactiques observées lors d'incidents réels sur des infrastructures industrielles, offrant une base commune de référence entre attaquants et défenseurs. En raison des risques d'impact physique inhérents aux environnements OT, ces exercices se déroulent généralement sur des environnements de test ou des cyber ranges répliquant l'architecture de production, rarement en conditions réelles sur des systèmes en exploitation.