Purple Team no SOC: como validar detecções com ATT&CK

Purple team no SOC é a função colaborativa em que um lado emula o comportamento de um adversário real e o outro verifica, em tempo real, se a telemetria, os alertas e os analistas detectam aquela atividade. O objetivo não é o ataque vencer nem a defesa perder, mas maximizar o aprendizado por técnica, emulando um comportamento conhecido, observando se os alertas o capturam e então ajustando e retestando. Cada achado vira melhoria de detecção expressa na linguagem comum do MITRE ATT&CK, o que torna a cobertura mensurável em vez de especulativa e fecha o ciclo entre ataque e defesa.

O que é purple team

A base que sustenta esse vocabulário é o MITRE ATT&CK, descrito por seus mantenedores como uma base de conhecimento globalmente acessível de táticas e técnicas de adversários baseada em observações do mundo real. Com ele, cada detecção recebe um identificador de técnica — por exemplo, T1003.001 para extração de credenciais da memória do LSASS — e pode ser testada, contada e comparada. A escolha por validar técnicas, e não apenas indicadores como hashes e IPs, apoia-se na chamada Pirâmide da Dor: segundo esse modelo, detecções construídas sobre TTPs custam muito mais ao adversário para contornar do que detecções frágeis baseadas em IoCs.

Por que validar detecções importa

Detecções se degradam silenciosamente: uma fonte de log para de enviar dados, o EDR sofre descompasso de configuração, uma regra é desativada por engano. O relatório State of SIEM Detection Risk 2025, da CardinalOps, encontrou cobertura média de apenas 21% das técnicas do MITRE ATT&CK em SIEMs corporativos. O dashboard mostra verde, mas nenhum alerta é gerado quando um adversário executa a técnica correspondente. O mesmo estudo aponta que cerca de 13% das regras de detecção existentes estão quebradas e nunca disparam, por falhas como fontes de dados mal configuradas e campos de log ausentes. A persistência de regras quebradas cria um risco onde ameaças ativas passam despercebidas, uma desconexão entre percepção e realidade para o SOC. Sem reexecutar periodicamente a técnica, a organização carrega falso negativos por meses.

O ciclo de validação de detecção

O núcleo do purple team é um loop aplicado a cada técnica: seleciona-se uma técnica do ATT&CK relevante ao modelo de ameaças, emula-se essa técnica de forma controlada em um host monitorado, observa-se se houve telemetria e se um alerta chegou ao SOC, ajusta-se a lacuna, retesta-se a mesma técnica e atualiza-se o heatmap do Navigator. A estrutura de referência para amadurecer essa prática vem do Hunting Maturity Model, desenvolvido por David Bianco na Sqrrl, que descreve cinco níveis de capacidade de caça, do HM0 ao HM4. Esse modelo define o ciclo de hunting em quatro fases: criação de hipótese, investigação habilitada por ferramentas, detecção de padrões e TTPs e analytics automatizados.

Como rodar um exercício

A matriz ATT&CK é grande demais para cobertura total, então a organização prioriza as técnicas usadas pelos adversários que realmente ameaçam seu setor. O procedimento prático segue uma sequência:

Definir escopo, hosts monitorados e autorização.
Emular cada técnica isoladamente.
Observar os quatro desfechos: sem telemetria, telemetria sem alerta, alerta não triado, alerta triado corretamente.
Corrigir a lacuna e reexecutar até a detecção disparar sem regressão.
Atualizar o heatmap do Navigator e registrar a técnica como coberta.

Esse procedimento alinha-se diretamente às funções DETECT e RESPOND do NIST Cybersecurity Framework 2.0: o purple team é o mecanismo recorrente e baseado em evidência que valida se essas funções funcionam contra comportamentos reais.

Ferramentas de emulação e detecção

Do lado ofensivo, o Atomic Red Team, mantido pela Red Canary, é uma biblioteca de testes pequenos e portáteis indexados por identificador de técnica do ATT&CK, ideal para validação granular por técnica. O MITRE CALDERA, da própria MITRE, é uma plataforma de emulação automatizada que encadeia habilidades em operações usando perfis de adversário mapeados ao ATT&CK. Já o Stratus Red Team, da Datadog, leva o mesmo conceito de emulação para ambientes de nuvem como AWS, Azure, GCP e Kubernetes. Do lado defensivo, o Sigma é um formato de regra de detecção genérico e neutro em relação a fornecedor que compila para várias linguagens de consulta de SIEM e EDR e carrega tags de técnica do ATT&CK — o ponto natural onde um achado vira detecção durável. Para registrar e medir campanhas, o VECTR, da Security Risk Advisors, é a ferramenta de propósito específico para planejar, pontuar e reportar exercícios de purple team ao longo do tempo.

Métricas que provam o resultado

O MTTD (Mean Time To Detect) cai à medida que detecções ausentes ou lentas são corrigidas, e o MTTR (Mean Time To Respond) mede o tempo entre a detecção e a contenção, testando também o runbook de resposta. A porcentagem de cobertura de técnicas relevantes do ATT&CK com detecção validada é acompanhada como tendência entre exercícios. A razão entre lacunas identificadas e lacunas fechadas é o indicador real de saúde do programa.

Para aprofundar como esses achados viram regras de baixo falso positivo, consulte o guia de engenharia de detecção no SOC e a análise de como o threat hunting complementa a detecção automatizada. A diferença entre um SOC que valida detecções e um que apenas as escreve é saber, com evidência, o que suas regras realmente capturam.