Red, Purple, EmulationAngriffe nachstellen.
Red Teaming, Purple Teaming und Adversary Emulation prüfen, ob Schutz, Erkennung und Reaktion einem realistischen Angreifer standhalten. Sie unterscheiden sich in Ziel, Zusammenarbeit mit dem Blue Team und Ergebnis.
Marktbild: Die Werkzeuge überschneiden sich stark; dieselben Plattformen unterstützen oft mehrere Testformen. Entscheidend sind Mandat, Szenario, Sicherheitsregeln und die gemeinsame Auswertung mit Blue Team und Management.
Gleiche Werkzeuge,
anderes Ziel.
Wofür: Für Organisationen, die die Wirksamkeit einer mehrschichtigen Verteidigung gegen ein klar definiertes Ziel prüfen müssen.
Abgrenzung: Red Teaming ist kein breit gestreuter Vulnerability Scan, kein automatisierter Pentest und keine dauerhafte Produktionssimulation. Scope, Stop-Kriterien und Executive Sponsorship sind zwingend.
Wofür: Für priorisierte Bedrohungsszenarien, etwa Ransomware, Cloud-Identitätsmissbrauch oder gezielte laterale Bewegung.
Abgrenzung: Eine Emulation ist kein vollständiges Red Team und keine Behauptung, einen bestimmten Angreifer exakt reproduziert zu haben. Sie prüft begründete Teile eines Szenarios.
Wofür: Für SOC-, Detection- und Infrastrukturteams, die aus priorisierten TTPs überprüfbare Verbesserungen machen wollen.
Abgrenzung: Ein Dashboard oder ATT&CK-Mapping macht noch kein Purple Team. Ohne Blue-Team-Owner, Regeländerung und Retest bleibt es eine Demonstration.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Typischer Einsatz | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| Fortra · Cobalt Strike | Red Teaming, Adversary Emulation | Command-and-Control-Framework | Erfahrene Red Teams in kontrollierten Engagements | Governance, Logging und rechtmässige Nutzung |
| Fortra · Core Impact | Pentest, Red Teaming | Kommerzielle Exploitation-Plattform | Strukturierte Infrastruktur- und Endpunktprüfungen | Tiefe manueller Testmethodik |
| SpecterOps · BloodHound | Red Teaming, Attack-Path-Analyse | Identity-Attack-Path-Analyse | Active Directory und Entra-Identitäten | Kein Ersatz für vollständiges Red-Team-Mandat |
| MITRE · Caldera | Red Teaming, Adversary Emulation, Purple Teaming | Open-Source-Emulation | Automatisierte Kampagnen und Lab-Tests | Engineering und sichere Ausführung |
| Bishop Fox · Cosmos | Red Teaming, Exposure Validation | Offensive-Security-Plattform | Kollaboration und Reporting für Engagements | Leistungsumfang je Mandat |
| Cobalt · Red Team Operations | Red Teaming | Service-Plattform | Organisationen mit wiederkehrenden Red-Team-Mandaten | Menschliche Leistung und Scope vor Produktfunktionen |
| Picus Security · Adversary Emulation | Adversary Emulation, Purple Teaming | Kommerzielle Kampagnenplattform | TTP-basierte, kontrollierte Emulation | Szenarien an eigene Bedrohungslage anpassen |
| Scythe · Plattform (PTEF-Methodik) | Adversary Emulation, Purple Teaming | Automatisierte Emulation | Kampagnen, Detection Validation und Purple-Team-Übungen | Technische Vorbereitung und Inhaltsbibliothek |
| AttackIQ · AttackIQ Platform | Adversary Emulation, Purple Teaming | BAS mit Emulationsbezug | Kontroll- und Detection-Tests | Tiefe der mehrstufigen Kampagnen |
| Cymulate · Exposure Validation | Adversary Emulation, Purple Teaming | Szenariobasierte Simulation | Mehrere Angriffsvektoren | Anpassbarkeit über Standardbibliotheken hinaus |
| Red Canary · Atomic Red Team | Adversary Emulation, Purple Teaming | Offene Testbibliothek | Einzelne ATT&CK-Techniken und Regressionstests | Keine vollständige Kampagnenorchestrierung |
| SafeBreach · Validate | Adversary Emulation, Purple Teaming | Exposure Validation | Kontrollwirkung und Detection-Lücken | Einbettung in das SOC-Betriebsmodell |
Vom Test
zum Nachweis.
Red Teaming
- Geschäftsziel, Nicht-Ziele, Stop-Kriterien und Eskalationsweg vor Testbeginn definieren.
- Blue-Team-Sicht und Management-Sicht getrennt auswerten.
- Massnahmen gegen erneut prüfbare Angriffsketten ableiten, nicht nur gegen Einzelbefunde.
Adversary Emulation
- Ein Szenario aus aktueller Bedrohungslage und eigenem Umfeld ableiten.
- Jede eingesetzte Technik mit erwarteter Telemetrie und erlaubter Wirkung dokumentieren.
- Abweichungen in Detection, Eskalation und Korrektur gemeinsam bewerten.
Purple Teaming
- Je Übung eine Technik, erwartete Datenquelle und Detection-Regel festlegen.
- Blue Team und testendes Team werten das Ergebnis gemeinsam aus.
- Verbesserung erst nach einem wiederholten, dokumentierten Test abschliessen.
Penetration Testing · Breach & Attack Simulation · Detection Engineering · Threat Intelligence · Incident Response
Die Herstellerangaben beschreiben Produktfunktionen. Ob ein Produkt den eigenen Scope abdeckt, zeigt erst ein kontrollierter Test mit den relevanten Datenquellen, Kontrollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 10
Im Gebiet Security Testing und Validation einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Testing und Validation. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.