Im Zentrum von O’Dells Ansatz stehen menschliche Beziehungen innerhalb der Organisation. Nach seiner Darstellung ist ein Gefühl der Zusammengehörigkeit entscheidend dafür, dass Purple Teaming in den Security Operations funktioniert. Dieses Verständnis prägt bei Walmart mehrere Formate, darunter Tabletop-Übungen, Angriffssimulationen und die Emulation realer Angreifer.
Viele Unternehmen trennen defensive Blue-Teams und offensive Red-Teams strikt voneinander. Andere bauen ein eigenes Purple Team auf, das beide Perspektiven abdeckt. O’Dell verfolgt nach dem Bericht einen anderen Ansatz, der sich stärker daran orientiert, wie die Teams die Übungen erleben. Aus seiner Sicht muss das Vertrauen so weit wachsen, dass die „angeborene Reibung“ überwunden wird, die beim Antreten eines Teams gegen ein anderes leicht entsteht. Die Kultur dürfe nicht darauf ausgerichtet sein, eine Übung zu gewinnen oder zu verlieren.
O’Dell sagt, diese Wahrnehmung müsse verändert werden. Es brauche ein sicheres Umfeld, in dem allen klar sei, dass die entscheidende Frage laute, ob die Organisation durch die Kampagne und die geleistete Arbeit besser geworden ist. Der Nutzen für das Unternehmen steht damit über individuellen Erfolgen einzelner Teams.
Konkret hat Walmart Red- und Blue-Team in dieselbe Geschäftseinheit und an denselben physischen Ort verlegt. Hinzu kommt ein „Trusted Agent“-Modell für Purple Teaming. Bei vollständigen Angreiferemulationen begleiten Beobachter die jeweilige Kampagne. So sitzen etwa zwei Mitglieder des Blue-Teams direkt beim Red-Team, während dieses seine offensiven Aktivitäten durchführt. In Echtzeit prüfen sie, ob Telemetrie, Protokolle und Erkennungsmechanismen vorhanden sind.
Diese Blue-Team-Mitglieder haben dabei noch eine zweite Aufgabe: Sie sollen auch das Red-Team schützen, indem sie sicherstellen, dass während der Übung kein Schaden für das Unternehmen entsteht. Nach O’Dells Worten funktioniert das sehr gut, solange die beteiligten Blue-Team-Mitglieder ihrem restlichen Blue-Team keine Hinweise geben.
Für O’Dell ist genau diese enge Zusammenarbeit der Unterschied zu klassischen Red-Team-Einsätzen. Wenn das Red-Team lediglich angreift und anschließend einen Bericht abliefert, entstehe daraus nur begrenzter Nutzen. Anders sei es, wenn Vertreter des Red-Teams dem Blue-Team erläutern, was dieses tun könnte, um Angriffe zu erschweren. Dann verändere sich die Dynamik der Übung grundlegend.
Der Effekt: Das Red-Team müsse darauf reagieren und seinen Ansatz anpassen. Über die Zeit entstehe so eine schrittweise Weiterentwicklung auf beiden Seiten. Laut O’Dell steigert das sowohl die Fähigkeiten des Red-Teams als auch die des Blue-Teams und schafft damit messbaren Wert für die Organisation.
Der Bericht hebt zudem hervor, dass dieser Ansatz auch der Mitarbeiterbindung zugutekommt. Beide Teams hätten das Gefühl, ständig noch etwas lernen zu können. Die vollständige Darstellung von Walmarts Umbau der Security Operations umfasst laut Dark Reading darüber hinaus O’Dells Ansatz für die Kommunikation mit Führungskräften, sein Modell zum Ausgleich von Sicherheitsnutzen und operativer Reibung sowie seine Sicht auf Sicherheit als Faktor zur Unterstützung des Geschäfts.