Welche Ihrer Erkennungsregeln ist schon einmal gegen eine echte Angriffstechnik gelaufen?
Eine Purple-Team-Übung prüft gemeinsam mit Ihrem Team, welche Angriffstechniken nach MITRE ATT&CK Ihre Erkennung bemerkt und wie Sie reagieren. Wir starten aus einer Assumed-Breach-Position, also wie nach einem erfolgreichen Erstzugriff, und gehen von Discovery bis Lateral Movement. Lücken in Logquellen und Regeln klären wir im selben Termin und nehmen dabei Bezug auf MITRE D3FEND und NIST SP 800-61.
Ob eine Erkennungsregel greift, zeigt sich erst, wenn eine echte Angriffstechnik gegen sie läuft. Entscheidend sind Logquellen, Filter und ob jemand den Alarm zur richtigen Zeit sieht. Die Frage stellt sich besonders nach Einführung eines neuen EDR, beim Wechsel des SOC-Dienstleisters oder wenn nach NIS2 die Wirksamkeit der Maßnahmen zu bewerten ist.
In der Übung führen wir abgestimmte Techniken aus einer Assumed-Breach-Position aus und bewerten die Ergebnisse gemeinsam mit Ihrem Team. Wo die Erkennung ausbleibt, klären wir, welche Datenquelle oder Regel fehlt. Die Übung kann als Gemeinschaftsprojekt mit ProSec Defense angeboten werden: ProSec Networks greift an, ProSec Defense begleitet Erkennung und Auswertung. Alternativ übernimmt Ihr Team selbst die Rolle der Verteidigung.
Auswahl entlang realistischer Angriffsketten, von Discovery über Privilege Escalation bis Lateral Movement.
Start von einem Standardbenutzerkonto oder einer Test-Workstation, wie nach einem erfolgreichen Erstzugriff.
Für jede Technik prüfen wir, ob und wo ein Alarm entsteht und ob er beim richtigen Menschen ankommt.
Wir beobachten, ob Eskalation und Gegenmaßnahmen so laufen, wie Ihre Prozesse es vorsehen.
Fehlende Erkennungen werden direkt besprochen, damit Ihr Team Regeln oder Logquellen anpassen kann.
Eine Purple-Team-Übung führt abgestimmte ATT&CK-Techniken aus und klärt zusammen mit Ihren Analysten, ob Logquelle und Alarm greifen und die Meldung beim richtigen Menschen ankommt. Gedacht ist sie für Teams mit SOC, EDR oder SIEM, die ihre Erkennung offen und nachvollziehbar verbessern wollen. Sie lässt sich mit Assessment-Scoping und Detect & Respond verbinden. Eine spätere Wiederholung zeigt, ob sich Erkennung und Reaktion verbessert haben.
Wir wählen Techniken und Szenarien passend zu Ihrer Umgebung und legen Kommunikationswege fest.
Angriff nach Angriff mit Zeitstempel, Ihr Team beobachtet und dokumentiert parallel.
Gegenüberstellung von Angriff und Beobachtung, Bewertung von Erkennung und Reaktion je Technik.
Ergebnisse mit priorisierten Lücken und den Stärken Ihres Teams.
Zuerst die gemeinsam bewertete Abdeckung je Angriff und die bereits nachgeschärften Regeln, dann der Plan für das Detection Engineering. Eine Bescheinigung für Dritte gehört nicht zu dieser Übung.
Jeder Angriff mit Zeitstempel und gemeinsamer Bewertung: erkannt, teilweise oder nicht erkannt. Regeln und Logquellen, die wir im Termin nachgeschärft haben, lassen sich direkt erneut prüfen.
Die verbleibenden Lücken in Regeln, Logquellen und Reaktionsabläufen, priorisiert und mit Verantwortlichkeiten, damit Ihr Team sie eigenständig schließt.
Die Bestätigung der durchgeführten Übung und ihrer Ergebnisse, ohne technische Details preiszugeben. Für Auditoren und Aufsicht, etwa nach NIS2 oder DORA, und für Ihre Cyberversicherung.
„Euer Konzept und eure professionelle Vorgehensweise runden unsere umgesetzten Security Maßnahmen – von Next Generation FW bis SIEM & SOC – erst ab.“
Dominique Doré, Leitung IT, VRM Service GmbH & Co. KG
Die Purple-Team-Übung verbessert Erkennung und Reaktion gemeinsam mit Ihrem Team. Davor lässt sich die Auswahl der Techniken festlegen, danach die Abdeckung systematisch messen oder die Rechtekette dahinter analysieren.
Wenn Sie die Abdeckung von EDR und SIEM über viele Techniken systematisch messen wollen, ohne gemeinsamen Termin, schließt Detect & Respond an.
Zur LeistungKombinierbar, sobald vor der Übung festgelegt werden soll, welche Techniken für Ihre Bedrohungslage zählen und in welcher Form sie geprüft werden.
Zur LeistungWenn die Übung Wege zu hohen Rechten sichtbar macht, arbeitet der Angriffspfad-Workshop die Berechtigungsketten in Ihrem AD gemeinsam mit Ihrem Team auf.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Während der Durchführung sollte mindestens eine Person pro Schicht verfügbar sein, die Alarme sieht und bearbeitet. Hinzu kommen Scoping und die gemeinsame Auswertung. Die Dauer hängt von der Zahl der Techniken ab und wird im Scoping festgelegt.
Das Risiko ist gering. Wir wählen Techniken so, dass der Betrieb möglichst nicht beeinträchtigt wird, und kündigen kritische Schritte vorher an. Techniken mit Risiko für produktive Systeme führen wir nur nach Ihrer Freigabe aus.
Ja. Wir stimmen uns vorab mit ihm ab, damit Alarme und Rückmeldungen im Übungskanal ankommen.
Red Teaming ist verdeckt und misst, ob Ihre Verteidigung einen Angriff ohne Vorwarnung erkennt, Purple Teaming ist offen und verbessert die Erkennung gemeinsam mit Ihrem Team. Beim Red Teaming sehen Sie das Ergebnis am Ende, in der Purple-Team-Übung Technik für Technik. Purple Teaming eignet sich oft als Vorbereitung auf ein Red Team.
Die Auswahl richtet sich nach Ihrer Bedrohungslage und Ihren vorhandenen Erkennungen, typischerweise entlang realistischer Ketten von Discovery über Privilege Escalation bis Lateral Movement. Wir stimmen sie vorab mit Ihnen ab. Für eine strukturierte Auswahl eignet sich das Assessment-Scoping nach MITRE ATT&CK.
Eine Wiederholung ist sinnvoll, sobald Regeln und Logquellen angepasst wurden, um die Verbesserung zu belegen, und nach größeren Änderungen an Ihrer Erkennungsinfrastruktur. Den passenden Abstand legen wir gemeinsam fest.
Nein, ein eigenes SOC ist keine Voraussetzung. Die Übung funktioniert mit einem internen Team, einem externen Dienstleister oder einer Mischung aus beidem. Wichtig ist, dass die Personen teilnehmen, die Alarme sehen und bearbeiten.
Die Purple-Team-Übung ist ein gemeinsamer Termin, in dem Ihr Team Erkennung direkt nachschärft. Detect & Respond misst die Abdeckung über viele Techniken, ohne gemeinsames Nachschärfen. Wie schnell erkannt und reagiert wird, misst Detect & Respond auf Wunsch mit (MTTD & MTTR).
