Avancé30-40h

Comment enseigner le Purple Team

Combiner attaque et défense pour améliorer la posture sécurité

Pourquoi enseigner ce domaine

Le Purple Team est la rencontre organisée entre les équipes offensives et défensives. C'est une approche de plus en plus adoptée par les entreprises matures en cybersécurité, car elle permet d'améliorer la détection en boucle courte. Enseigner le Purple Team, c'est former des profils capables de penser à la fois attaque et défense : une double compétence rare et très valorisée.

Prérequis étudiants

✓Bases solides en pentest (reconnaissance, exploitation)
✓Expérience en détection (SIEM, règles de détection)
✓Compréhension du framework MITRE ATT&CK
✓Administration système Linux/Windows

Progression pédagogique recommandée

Philosophie et méthodologie Purple Team

Comprendre la différence entre Red/Blue/Purple, le cycle d'amélioration continue et le rôle du Purple Team

MITRE ATT&CK opérationnel

Utiliser le framework pour structurer les tests : choisir les techniques, mapper la couverture de détection

Atomic Red Team et émulation

Exécuter des tests atomiques, observer les logs générés, valider ou créer des règles de détection

Exercices collaboratifs Red vs Blue

Mener des exercices où attaquants et défenseurs travaillent ensemble pour améliorer la détection en temps réel

Reporting et amélioration continue

Documenter la couverture de détection, les gaps identifiés et les recommandations d'amélioration

Erreurs courantes des formateurs

Transformer le Purple Team en simple pentest : l'objectif est l'amélioration de la détection, pas la compromission

Oublier la collaboration : Red et Blue doivent travailler ensemble, pas en opposition

Ne pas structurer autour de MITRE ATT&CK : sans framework commun, la communication est impossible

TP et exercices concrets

Atomic Red Team sprint

Exécuter 10 techniques MITRE ATT&CK avec Atomic Red Team et vérifier la détection SIEM pour chacune

⏱ 3h📄 Matrice de couverture avec statut détection par technique🔧 Atomic Red Team, Wazuh/ELK

Purple Team live

Exercice collaboratif : le Red exécute des techniques, le Blue ajuste les détections en temps réel

⏱ 4h📄 Rapport de couverture avant/après avec nouvelles règles créées🔧 Caldera, SIEM, EDR

Gap analysis ATT&CK

Cartographier la couverture de détection d'un SOC sur la matrice ATT&CK et identifier les trous

⏱ 2h📄 Heat map ATT&CK avec plan de remédiation priorisé🔧 ATT&CK Navigator, SIEM

Outils et environnement de lab

MITRE ATT&CK NavigatorAtomic Red TeamCalderaWazuhELK StackSigma rules

Comment évaluer les étudiants

Exercice Purple Team complet sur un lab : l'étudiant joue les deux rôles (attaque + défense), exécute un scénario d'attaque multi-étapes, crée les règles de détection correspondantes, et produit un rapport de couverture avec recommandations.

Questions fréquentes

Comment structurer un cours de purple-team ?

Un cours de purple-team se structure en 5 blocs progressifs : Philosophie et méthodologie Purple Team, MITRE ATT&CK opérationnel, Atomic Red Team et émulation, Exercices collaboratifs Red vs Blue, Reporting et amélioration continue. Chaque bloc doit combiner théorie et pratique avec des exercices concrets.

Quels outils utiliser pour enseigner le purple-team ?

Les outils recommandés incluent : MITRE ATT&CK Navigator, Atomic Red Team, Caldera, Wazuh, ELK Stack, Sigma rules. Privilégiez les outils open source accessibles aux étudiants.

Quelles erreurs éviter en enseignant le purple-team ?

Transformer le Purple Team en simple pentest : l'objectif est l'amélioration de la détection, pas la compromission