Hacıoğlu zeichnet das nächtliche Bild eines Sicherheitsbetriebs: Ein Analyst kopiert einen Hash aus einem PDF in eine SIEM-Abfrage, ein Red-Team-Skript wird von Hand umgeschrieben, damit das Blue-Team es nutzen kann, und ein Patch wartet auf ein Freigabefenster, das länger ist als das Zeitfenster, in dem die Schwachstelle ausgenutzt werden kann. Nicht die Menschen seien das Problem, sondern das System mit seinen unsauberen Übergaben.
Während die Uhr der Verteidiger inzwischen in Stunden laufe, sei die der Angreifer auf Sekunden gesprungen. Für die meisten Organisationen, so die Autorin, dauere allein der Freigabeprozess für Änderungen länger als das Zeitfenster bis zur Ausnutzung einer Lücke.
Das Konzept des Purple Teaming beschreibt Hacıoğlu schlicht: Das Red-Team findet die Wege, die ein Angreifer nehmen würde, das Blue-Team prüft, ob Erkennung und Abwehr greifen. Die Ausgabe des einen wird zur Eingabe des anderen, und der Kreislauf verbessert die Sicherheitslage fortlaufend statt einmal im Quartal. In der Praxis laufe dieser Kreislauf aber kaum als echte Schleife — die Teams sprächen zu selten miteinander, der Engpass sei fast immer der Mensch.
Die Autorin schildert die zersplitterte Verantwortung: Das Netzwerkteam betreibt Firewalls, das SOC verarbeitet Alarme, das Red-Team führt Übungen durch, das Blue-Team baut Erkennungen, das Schwachstellenmanagement jagt CVEs, der IT-Betrieb spielt Patches ein. Jedes Werkzeug erzeuge ein Artefakt — einen Fund, einen Alarm, einen Bericht, ein Ticket —, das weitergereicht und neu interpretiert werde. Eine quartals- oder selbst monatsweise Purple-Team-Übung sei damit keine Schleife mehr, sondern eine abzuhakende Momentaufnahme einer bereits geschlagenen Schlacht.
Dieselbe Technologie, die die Uhr der Angreifer verkürze, könne auch die der Verteidiger verkürzen, argumentiert Hacıoğlu. Sie grenzt autonomes Purple Teaming dabei von einfacher Aufgabenautomatisierung ab — dem Erzeugen einer YARA-Regel, dem Zusammenfassen eines Alarms, dem Entwerfen eines Tickets. Echte Autonomie bedeute, dass ein Agent die gesamte Schleife durchlaufe, wobei jeder Schritt nachvollziehbar bleibe, um eingreifen, nachjustieren oder zurückrollen zu können. Es sei ein Regler, kein Sprung: manuell, dann geplant mit KI-Unterstützung, schließlich Ende-zu-Ende mit menschlicher Prüfung nur dort, wo nötig.
Drei Komponenten müssten dabei als ein System zusammenspielen: automatisiertes Penetration Testing als fortlaufend beantwortete Frage des Red-Teams, ob ein Angreifer die wichtigsten Werte erreichen kann; Breach and Attack Simulation (BAS) als Antwort des Blue-Teams, ob Firewall, EDR, SIEM-Regel und Reaktion wie vorgesehen funktionierten; und KI-gestützte Mobilisierung. Letztere übernehme eine Kette spezialisierter Agenten: Ein CTI-Agent reichert einen eingehenden CISA-Alarm mit Umgebungsdaten an, ein Baseliner-Agent zieht die aktuelle Sicherheitslage heran, Red- und Blue-Agenten führen Simulation und Validierung parallel aus, ein Mobilizer-Agent rollt risikoarme Fixes automatisch aus und öffnet Tickets für mittlere Fälle, ein Reporter-Agent schreibt je eine Sicht für Leitung und SOC.
Das Ergebnis seien nicht 50.000 nach CVSS sortierte CVEs, sondern eine durchgehende Handlungswarteschlange: was heute tatsächlich ausnutzbar sei, gegen die tatsächlich vorhandenen Kontrollen, und was dagegen zu tun sei, bevor das Zeitfenster sich schließe.
Der Beitrag verweist abschließend auf den Autonomous Validation Summit am 12. und 14. Mai, ausgerichtet mit Frost & Sullivan, mit Beteiligten von Kraft Heinz, Hacker Valley und Glow Financial Services sowie Picus-CTO Volkan Erturk. Der Text stammt von Sıla Özeren Hacıoğlu von Picus Security.