紫队演练框架PTEF版本演进：从v1到v3的重要改进与最佳实践

【免费下载链接】purple-team-exercise-frameworkPurple Team Exercise Framework项目地址: https://gitcode.com/gh_mirrors/pu/purple-team-exercise-framework

紫队演练框架（Purple Team Exercise Framework, PTEF）是一款专为企业安全团队设计的综合工具，旨在通过红队与蓝队的协作模拟真实攻击场景，提升组织的网络安全防御能力。自v1版本发布以来，PTEF经历了三次重大迭代，逐步从单一的演练流程发展为成熟的紫队运营体系。本文将详细解析PTEF从v1到v3的核心改进，并分享各版本的最佳实践指南。

PTEFv1：紫队演练的奠基之作（2018）

核心功能与架构

PTEFv1作为框架的初始版本，首次定义了紫队演练的基本流程和方法论。它以MITRE ATT&CK框架为基础，将演练过程分为四个关键阶段：网络威胁情报（CTI）收集、准备阶段、演练执行和经验总结。这一版本的核心目标是打破传统红队与蓝队的壁垒，通过"全知识"协作模式提升检测与响应能力。

图1：PTEFv3中展示的紫队演练核心流程，包含规划、网络威胁情报、演练执行和经验总结四大模块

关键创新点

1. 协作式演练模式：首次提出红队与蓝队实时协作的"桌面讨论+实战操作"流程，红队在执行攻击时同步展示战术细节，蓝队即时分析并优化防御策略。
2. TTP驱动的攻击链设计：基于David Bianco的"痛苦金字塔"模型，重点关注 adversary 的战术（Tactics）、技术（Techniques）和流程（Procedures），而非单纯的IOCs（指标）。
3. 角色职责明确化：定义了包括演练协调员、CTI分析师、红队成员和蓝队成员在内的核心角色，明确各阶段的责任分工。

最佳实践

• 目标系统选择：优先使用生产环境中的典型终端（Windows 10、Linux、macOS各2台）和服务器，确保安全工具配置与实际环境一致。
• 攻击基础设施测试：红队需提前2-8周搭建外部C2服务器和内部攻击机，确保域名、IP和 payload 能通过企业防火墙和代理控制。
• 文档模板应用：使用 Emulation Plan Template.md 和 Template_Mapping_TTPs.xlsx 标准化TTP提取和ATT&CK映射流程。

PTEFv2：从单次演练到运营化紫队（2020）

核心升级

PTEFv2在v1基础上引入了运营化紫队（Operationalized Purple Team）概念，将一次性演练扩展为持续改进的循环过程。这一版本新增了紫队成熟度模型（PTMM），通过"部署-集成-创造"三个层级评估团队能力，并提供了远程演练支持方案。

图2：PTEFv2提出的运营化紫队循环模型，包含新威胁发现、TTP分析、攻击模拟、蓝队响应和检测优化五个阶段

关键改进

1. 成熟度评估体系：PTMM模型从"威胁理解"和"检测理解"两个维度衡量团队能力，帮助组织定位薄弱环节。
2. 第三方协作支持：针对没有内部CTI或SOC团队的企业，提供了与MSSP（托管安全服务提供商）和外部红队的协作流程。
3. 远程演练方案：支持通过视频会议工具（如Zoom、Teams）进行跨地域协作，解决了传统现场演练的物流限制。

最佳实践

• 指标量化：使用DETT&CT框架定义可测量指标，如"平均检测时间（Time to Detect）"和"遥测覆盖率"，建议在演练前通过 VECTR 或 PlexTrac 建立基线。
• TTP优先级分类：将待测试的TTP分为三类——"未阻止型"（需重点关注）、"可日志型"（适合狩猎团队训练）和"可告警型"（适合SOC流程测试）。
• 持续改进机制：每次演练后2周内完成经验总结报告，将发现的问题录入JIRA或GRC工具，跟踪修复进度。

PTEFv3：专业化紫队与TTP金字塔（2023）

里程碑式更新

PTEFv3是迄今为止最全面的版本，首次提出专职紫队（Dedicated Purple Team）概念，并引入Chris Peacock的TTP金字塔模型，将攻击流程细化到"战术-技术-流程"三级结构。这一版本还新增了与MITRE ATT&CK Navigator的深度集成，支持动态生成攻击路径图。

图3：PTEFv3引入的TTP金字塔模型，清晰区分战术（Tactics）、技术（Techniques）和流程（Procedures）的层级关系

核心增强

1. 专职紫队角色：定义了专职紫队协调员、攻击模拟工程师和检测优化专家等新角色，支持企业建立常设紫队团队。
2. 自动化攻击模拟：集成SCYTHE等攻击平台，实现TTP的自动化执行和重复测试，减少红队手动操作成本。
3. 攻击链可视化：通过ATT&CK Navigator生成动态热力图，直观展示各TTP的检测覆盖率和防御 gaps。

最佳实践

• TTP流程级提取：使用TTP金字塔模型细化攻击步骤，例如将"凭证转储"技术拆解为"使用procdump导出LSASS内存"等具体流程。
• 紫队成熟度提升：从PTMM模型的"部署级"（使用现成工具）逐步过渡到"创造级"（开发自定义攻击工具和检测规则）。
• 模板库扩展：利用 Purple Team Exercise Template.docx 创建标准化演练计划，包含预定义的议程、风险控制和应急响应流程。

版本对比与迁移建议

迁移路径建议

• 从v1到v2：重点建立运营化循环机制，部署VECTR等跟踪工具，将单次演练结果转化为持续改进任务。
• 从v2到v3：引入TTP金字塔模型，培养专职紫队人才，逐步实现攻击模拟自动化，建议优先集成MITRE ATT&CK Navigator进行检测覆盖率分析。

结语：紫队演练的未来趋势

PTEF的演进反映了紫队理念从"一次性演练"到"持续运营"再到"专职团队"的成熟过程。随着版本的迭代，框架越来越强调威胁情报驱动、自动化测试和跨团队协作。未来，PTEF可能会进一步整合AI辅助攻击路径生成和自动化防御规则优化，帮助组织在快速变化的威胁环境中构建更具弹性的安全体系。

无论是刚接触紫队的新手团队，还是已实施多年演练的成熟组织，选择合适版本的PTEF并遵循最佳实践，都将显著提升安全团队的协作效率和防御能力。建议从v3开始实践，利用其完善的成熟度模型和自动化工具支持，快速建立起符合企业实际需求的紫队运营体系。

要开始使用PTEF，可通过以下命令克隆仓库：

git clone https://gitcode.com/gh_mirrors/pu/purple-team-exercise-framework

仓库中包含各版本文档、演练模板和最佳实践指南，帮助团队快速上手紫队演练。

【免费下载链接】purple-team-exercise-frameworkPurple Team Exercise Framework项目地址: https://gitcode.com/gh_mirrors/pu/purple-team-exercise-framework