Mor takım egzersizi kurgusu, saldırıyı yürüten kırmızı takım ile savunmayı yöneten mavi takımı karşı karşıya değil yan yana getiren bir tatbikatın tasarımıdır. Klasik kırmızı takım çalışmasında saldırı gizlice yapılır ve sonuç raporla teslim edilir; mor takım kurgusunda ise iki taraf gerçek zamanlı olarak birbiriyle konuşur, her saldırı adımının savunmada ne iz bıraktığı anında incelenir. Kurgu, bu iş birliğini rastlantıya bırakmadan adım adım planlar.

Mor takım egzersizi, saldırıyı bir sınav olmaktan çıkarıp savunucunun canlı olarak öğrendiği ortak bir laboratuvara dönüştüren kurgudur.

Kurgunun İskeleti

İyi bir mor takım egzersizi, denenecek saldırı tekniklerinin önceden seçilmesiyle başlar. Bu seçim gelişigüzel değildir; genellikle kurumu tehdit eden aktörlerin bilinen davranışlarından türetilir. Her teknik için önce kırmızı takım eylemi uygular, sonra mavi takım o eylemin kendi izleme ekranlarında görünüp görünmediğini kontrol eder. Görünmüyorsa, eksikliğin nedeni birlikte araştırılır ve giderilir.

• Kapsam ve hedef tespit yeteneklerini belirle; hangi tekniklerin sınanacağını netleştir.
• Her teknik için beklenen tespit çıktısını önceden tanımla.
• Kırmızı takım tekniği uygular; mavi takım eş zamanlı olarak günlük ve uyarıları izler.
• Tespit oluştu mu, geç mi kaldı, hiç mi olmadı diye kaydet.
• Boşluk varsa kuralı, günlüğü veya süreci düzelt ve tekniği yeniden dene.

Bu kurgunun bel kemiği, tekniklerin ortak bir referansa bağlanmasıdır. Tatbikat çoğunlukla MITRE ATT&CK çerçevesi üzerinden düzenlenir; her sınanan teknik çerçevedeki bir kimlikle eşleştirilir, böylece hangi taktik ve tekniklerin kapsandığı ve hangilerinin kör nokta kaldığı ölçülebilir bir haritaya dökülür.

Kırmızı ve Mavi Tarafın Rolü

Egzersizdeki saldırı ayağı, gerçekçi olmak için bir kırmızı takım operasyonu disiplininden beslenir; teknikler gerçek saldırganların yöntemlerini taklit etmelidir, yoksa sınav yapay kalır. Savunma ayağının çıktısı ise doğrudan tespit mühendisliği çalışmasına akar; bulunan her boşluk yeni bir tespit kuralına, iyileştirilmiş bir günlük kaynağına ya da düzeltilmiş bir korelasyona dönüşür. Egzersizin değeri, ürettiği bu somut düzeltmelerle ölçülür.

Tekniklerin tutarlı ve tekrarlanabilir biçimde uygulanması için kurumlar giderek daha çok ihlal ve saldırı simülasyonu araçlarından yararlanır. Bu araçlar seçilen saldırı adımlarını otomatik ve kontrollü biçimde çalıştırarak, egzersizin her turda aynı temele oturmasını ve iyileşmenin ölçülebilmesini sağlar.

Sürekliliğin Önemi

Mor takım egzersizi tek seferlik bir gösteri olarak yapıldığında değeri sınırlı kalır; asıl kazanç, egzersizin düzenli aralıklarla tekrarlanıp önceki turda kapatılan boşlukların gerçekten kapalı kaldığının doğrulanmasıyla gelir. Her tur, kurumun tespit haritasını biraz daha doldurur ve savunucularla saldırı simülasyonu arasında ortak bir dil oluşturur. Bu döngüyü kurgulamak ve yürütmek, Privia Security’nin siber tatbikat hizmetinin kapsamındadır.