# Red Team, Blue Team ve Purple Team Nedir? Aralarındaki Farklar Nelerdir?

**URL:** https://securesys.com.tr/tr/bilgi-merkezi/red-teaming-tehdit-istihbarati/red-team-blue-team-purple-team-farklari

![Red Team, Blue Team ve Purple Team Nedir? Aralarındaki Farklar Nelerdir?](/images/bilgi-merkezi/covers/cover-redteam-02.webp)

Bir kurum milyonlarca liralık siber güvenlik yatırımı yapabilir.

Firewall, EDR, XDR, SIEM, SOAR, WAF, PAM, DLP ve MFA gibi birçok güvenlik teknolojisi aynı anda kullanılabilir.

Ancak siber güvenliğin başarısını yalnızca kullanılan ürünlerin sayısı belirlemez.

Asıl önemli soru şudur:

#### Bir saldırı başladığında kurum bunu gerçekten fark edebiliyor ve durdurabiliyor mu?

Bu soruya cevap verebilmek için modern siber güvenlik dünyasında üç önemli kavram karşımıza çıkar:

**Red Team, Blue Team ve Purple Team.**

En basit ifadeyle;

**Red Team saldırgan gibi düşünür.**

**Blue Team savunmacı gibi hareket eder.**

**Purple Team ise saldırı ve savunma bilgisini bir araya getirerek kurumun güvenlik kabiliyetini geliştirir.**

Ancak bu üç kavram arasındaki ilişki bundan çok daha kapsamlıdır.

Çünkü gerçek bir saldırıya karşı başarılı olabilmek için yalnızca saldırı tekniklerini bilmek veya yalnızca güvenlik ürünlerini yönetmek yeterli değildir.

Saldırgan davranışlarının nasıl gerçekleştiğini, hangi güvenlik kontrollerinin bunları algılayabildiğini ve güvenlik ekiplerinin olaylara nasıl tepki verdiğini birlikte değerlendirmek gerekir.

#### Red Team Nedir?

Red Team, gerçek saldırganların kullanabileceği yöntemleri kontrollü şekilde simüle ederek kurumun güvenlik savunmasını test eden taraftır.

Red Team uzmanları kendilerine şu soruyu sorar:

**“Bu kuruma gerçekten saldırmak isteseydik hedefimize nasıl ulaşırdık?”**

Bu nedenle Red Team çalışmaları yalnızca güvenlik açığı taramakla sınırlı değildir.

Operasyonun kapsamına bağlı olarak;

- açık kaynak istihbaratı (OSINT),
- saldırı yüzeyi keşfi,
- sosyal mühendislik,
- kimlik güvenliği testleri,
- Active Directory saldırı senaryoları,
- yetki yükseltme,
- ağ içerisinde ilerleme,
- güvenlik kontrollerinden kaçınma,
- Command & Control simülasyonları,
- kritik sistemlere erişim senaryoları

gibi farklı teknikler değerlendirilebilir.

Buradaki temel amaç kuruma zarar vermek değildir.

Amaç gerçek bir saldırganın kullanabileceği yolları saldırgandan önce ortaya çıkarmaktır.

### Red Team'in Hedefi Açık Bulmak Değildir

Red Team ile klasik sızma testi arasındaki en önemli farklardan biri hedef yaklaşımıdır.

Bir web uygulaması sızma testinde hedef genellikle web uygulamasındaki güvenlik açıklarını tespit etmektir.

Red Team operasyonunda ise hedef daha farklı olabilir.

Örneğin:

**“İnternetten başlayan bir saldırıyla kritik finans sistemine erişilebilir mi?”**

veya:

**“Standart kullanıcı hesabından Domain Admin seviyesine ulaşılabilir mi?”**

ya da:

**“Kurumun güvenlik operasyon merkezi saldırgan davranışlarını tespit edebilir mi?”**

Bu durumda Red Team tek bir sistemi değil, hedefe ulaşabilecek saldırı yollarını araştırır.

Örneğin bir saldırı zinciri şu şekilde oluşabilir:

#### OSINT

↓

#### İlk Erişim

↓

#### Kullanıcı Hesabı

↓

#### Credential Access

↓

#### Privilege Escalation

↓

#### Lateral Movement

↓

#### Kritik Sistem

Burada her aşama ayrı bir güvenlik problemi olabilir.

Red Team'in görevi ise bu parçaların birbirine bağlanıp bağlanamadığını görmektir.

### Blue Team Nedir?

Red Team saldırıyı simüle ederken Blue Team savunmadan sorumludur.

Blue Team'in temel amacı kurumun sistemlerini, kullanıcılarını ve verilerini siber tehditlere karşı korumaktır.

Bu nedenle Blue Team faaliyetleri Red Team'e göre çok daha sürekli bir yapıya sahiptir.

Blue Team tarafında;

- güvenlik olaylarının izlenmesi,
- SIEM yönetimi,
- EDR/XDR operasyonları,
- log analizi,
- tehdit tespiti,
- alarm yönetimi,
- olay müdahale,
- güvenlik politikalarının uygulanması,
- endpoint güvenliği,
- ağ güvenliği,
- kimlik güvenliği,
- güvenlik kontrollerinin iyileştirilmesi

gibi birçok süreç bulunabilir.

SOC ekipleri de çoğunlukla Blue Team yapısının önemli bir parçasıdır.

Blue Team'in temel sorusu şudur:

**“Kurumumuza yönelik saldırıyı nasıl tespit eder ve durdururuz?”**

### Bir Alarm Gerçekten Güvenlik Sağlar mı?

Bir güvenlik ürününün alarm üretmesi tek başına saldırının tespit edildiği anlamına gelmez.

Örneğin bir EDR çözümünün şüpheli bir davranış algıladığını düşünelim.

Alarm oluştu.

Peki sonra?

SIEM bu alarmı aldı mı?

Alarm doğru önem seviyesinde sınıflandırıldı mı?

SOC analisti alarmı gördü mü?

Alarmın gerçek bir saldırının parçası olduğu anlaşıldı mı?

Kullanıcı hesabı kontrol edildi mi?

İlgili endpoint izole edildi mi?

Diğer sistemlerde aynı davranış araştırıldı mı?

Olay müdahale prosedürü devreye alındı mı?

İşte Blue Team'in gerçek başarısı burada ölçülür.

**Detection yalnızca alarm üretmek değildir.**

Tespit edilen davranışın anlamlandırılması ve doğru müdahalenin gerçekleştirilmesi gerekir.

### Red Team ve Blue Team Aynı Kurumda Ne Yapar?

Şimdi kontrollü bir senaryo düşünelim.

Bir kurum Red Team operasyonu gerçekleştiriyor.

Red Team'in hedefi kritik bir sisteme erişim sağlanıp sağlanamayacağını görmek.

Operasyon sırasında Red Team kontrollü biçimde farklı saldırgan davranışlarını simüle ediyor.

Blue Team ise günlük güvenlik operasyonlarını yürütmeye devam ediyor.

Red Team bir saldırı tekniği uyguluyor.

EDR bunu görüyor.

Alarm SIEM'e geliyor.

SOC analisti alarmı inceliyor.

Kullanıcı davranışları kontrol ediliyor.

İlgili sistem üzerinde araştırma başlatılıyor.

Blue Team saldırıyı tespit ederek müdahale ediyor.

Bu durumda Red Team'in hedefe ulaşamaması aslında kurum açısından kötü bir sonuç değildir.

Tam tersine:

**Savunma mekanizması çalışmıştır.**

Red Team operasyonlarının temel amaçlarından biri zaten bunu ölçmektir.

### Peki Blue Team Saldırıyı Göremezse?

Asıl değerli sonuçlardan biri de burada ortaya çıkar.

Red Team kontrollü bir saldırı tekniği gerçekleştiriyor.

Fakat;

EDR alarm üretmiyor.

SIEM olayı ilişkilendiremiyor.

SOC herhangi bir alarm görmüyor.

Saldırgan davranışı fark edilmeden devam ediyor.

Bu durumda operasyon önemli bir güvenlik görünürlük problemini ortaya çıkarmış olur.

Ancak burada şu ayrımı yapmak gerekir:

Sorun her zaman güvenlik ürününde olmayabilir.

Örneğin;

log kaynağı SIEM'e gönderilmiyor olabilir.

Doğru korelasyon kuralı bulunmayabilir.

EDR politikası yanlış yapılandırılmış olabilir.

Alarm seviyesi çok düşük olabilir.

SOC ekibinin ilgili davranış için use-case'i bulunmayabilir.

Ya da alarm oluşmasına rağmen yüksek alarm hacmi içerisinde gözden kaçmış olabilir.

Bu nedenle Red Team çalışmaları yalnızca saldırı yollarını değil, **Detection Engineering** kabiliyetini de test eder.

### Detection Engineering Nedir?

Detection Engineering, saldırgan davranışlarını tespit etmek amacıyla güvenlik kontrollerinin ve tespit kurallarının sistematik şekilde geliştirilmesidir.

Basit ifadeyle:

**“Bu saldırı tekniği kullanılırsa bunu nasıl görebiliriz?”**

sorusuna cevap arar.

Örneğin belirli bir saldırgan davranışı;

- Windows Event Log,
- EDR telemetrisi,
- firewall logları,
- Active Directory kayıtları,
- DNS sorguları,
- proxy kayıtları,
- kimlik doğrulama logları

üzerinden tespit edilebilir.

Ancak bu verilerin toplanıyor olması yeterli değildir.

Anlamlı hale getirilmeleri gerekir.

İşte Purple Team yaklaşımı tam bu noktada önem kazanır.

### Purple Team Nedir?

Purple Team bazen Red Team ve Blue Team arasında bulunan üçüncü bağımsız ekip olarak düşünülür.

Ancak Purple Team'i yalnızca ayrı bir takım olarak tanımlamak eksik kalır.

Purple Team aslında bir **iş birliği modelidir.**

Amaç Red Team'in saldırı bilgisini Blue Team'in savunma bilgisiyle bir araya getirmektir.

Red Team şu bilgiyi getirir:

**“Bu saldırı tekniğini bu şekilde gerçekleştirdik.”**

Blue Team ise şunu değerlendirir:

**“Bu davranışı şu log kaynaklarından görmemiz gerekiyordu.”**

Sonra birlikte şu soru sorulur:

**“Neden göremedik?”**

İşte Purple Teaming burada başlar.

### Purple Team Nasıl Çalışır?

Basit bir örnek düşünelim.

Red Team kontrollü olarak belirli bir saldırı tekniğini simüle ediyor.

Blue Team saldırıyı tespit edemiyor.

Klasik yaklaşımda rapora şu yazılabilir:

**“Saldırı davranışı SOC tarafından tespit edilemedi.”**

Purple Team yaklaşımında ise çalışma burada bitmez.

Öncelikle saldırının bıraktığı izler incelenir.

Hangi logların oluştuğuna bakılır.

EDR telemetrisi değerlendirilir.

SIEM kayıtları incelenir.

Mevcut korelasyon kuralları kontrol edilir.

Ardından yeni bir detection rule oluşturulur.

Red Team aynı saldırıyı tekrar gerçekleştirir.

Bu kez Blue Team alarmı görür.

Sonuç:

**Bir saldırı tekniği için kurumun tespit kabiliyeti geliştirilmiştir.**

Purple Teaming'in en önemli değerlerinden biri budur.

Yalnızca problemi göstermek yerine savunmanın gelişmesini sağlar.

### MITRE ATT&CK ile Red, Blue ve Purple Team

Red Team, Blue Team ve Purple Team çalışmalarında ortak bir dil oluşturmak için MITRE ATT&CK çerçevesinden yararlanılabilir.

MITRE ATT&CK saldırgan davranışlarını taktik ve teknikler altında sınıflandırır.

Örneğin saldırgan davranışları;

#### Initial Access

#### Execution

#### Persistence

#### Privilege Escalation

#### Defense Evasion

#### Credential Access

#### Discovery

#### Lateral Movement

#### Collection

#### Command and Control

#### Exfiltration

gibi farklı aşamalarda değerlendirilebilir.

Red Team belirli ATT&CK tekniklerini simüle edebilir.

Blue Team bu tekniklerin hangilerini tespit edebildiğini değerlendirebilir.

Purple Team ise tespit edilemeyen alanları geliştirebilir.

Böylece kurum için bir **MITRE ATT&CK Detection Coverage** görünümü oluşturulabilir.

### Detection Coverage Neden Önemlidir?

Bir kurumda EDR bulunması bütün endpoint saldırılarının tespit edildiği anlamına gelmez.

Aynı şekilde SIEM bulunması bütün saldırı davranışlarının görülebildiği anlamına gelmez.

Asıl önemli soru şudur:

#### Hangi saldırgan davranışlarını gerçekten tespit edebiliyoruz?

Örneğin kurum;

Initial Access tekniklerinin %70'ini,

Credential Access tekniklerinin %45'ini,

Lateral Movement tekniklerinin %30'unu,

Persistence tekniklerinin %55'ini

tespit edebiliyor olabilir.

Bu durumda güvenlik ekibi geliştirilmesi gereken alanları çok daha net görebilir.

Bu yaklaşım siber güvenlik yatırımlarının ölçülebilir hale gelmesini sağlar.

### Red Team Başarılı Oldu, Blue Team Başarısız mı?

Red Team operasyonlarında sık yapılan hatalardan biri çalışmayı bir yarışma olarak değerlendirmektir.

#### Red Team vs. Blue Team

yaklaşımı kulağa ilgi çekici gelebilir.

Fakat kurumsal siber güvenlik açısından amaç Red Team'in Blue Team'i yenmesi değildir.

Her iki ekibin hedefi aynıdır:

**Kurumun siber dayanıklılığını artırmak.**

Red Team saldırı yollarını ortaya çıkarır.

Blue Team saldırıları tespit etmeye ve engellemeye çalışır.

Purple Team ise bu iki bilgiyi bir araya getirerek savunmayı geliştirir.

Dolayısıyla Red Team'in fark edilmeden gerçekleştirdiği bir saldırı organizasyon açısından önemli bir öğrenme fırsatıdır.

Aynı şekilde Blue Team'in Red Team'i erken aşamada tespit etmesi de güvenlik kontrollerinin çalıştığını gösterir.

### SOC ile Blue Team Aynı Şey midir?

SOC ve Blue Team kavramları sıklıkla birbirinin yerine kullanılır.

Ancak tam olarak aynı değildir.

SOC – Security Operations Center genellikle güvenlik olaylarının sürekli izlenmesi ve müdahale edilmesi üzerine çalışan operasyonel yapıdır.

Blue Team ise daha geniş bir savunma yaklaşımını ifade edebilir.

Blue Team içerisinde;

SOC,

Incident Response,

Threat Hunting,

Detection Engineering,

Endpoint Security,

Network Security,

Identity Security

gibi farklı güvenlik fonksiyonları bulunabilir.

Bu nedenle SOC, Blue Team'in önemli parçalarından biri olarak değerlendirilebilir.

### Threat Hunting Bu Yapının Neresindedir?

Geleneksel güvenlik operasyonlarında ekipler çoğunlukla alarm oluşmasını bekler.

Alarm gelir.

Analist inceler.

Olay varsa müdahale edilir.

Threat Hunting yaklaşımında ise bunun tersi yapılır.

Güvenlik ekibi şu varsayımla hareket eder:

**“Saldırgan sistemimizin içerisinde olabilir fakat henüz alarm üretmemiş olabilir.”**

Ardından sistemlerde saldırgan davranışlarının izleri proaktif olarak aranır.

Örneğin;

olağan dışı kullanıcı davranışları,

beklenmeyen kimlik doğrulamalar,

şüpheli PowerShell aktiviteleri,

anormal ağ bağlantıları,

alışılmadık servis kullanımları,

beklenmeyen yönetici aktiviteleri

incelenebilir.

Red Team operasyonlarından elde edilen bilgiler Threat Hunting çalışmalarına son derece değerli girdiler sağlar.

Çünkü artık Blue Team gerçek bir saldırgan davranışının kurumun kendi altyapısında nasıl göründüğünü bilir.

### Purple Team Bir Ürün Değildir

Purple Teaming konusunda önemli bir yanlış anlaşılma da budur.

Purple Team bir SIEM ürünü değildir.

Bir EDR ürünü değildir.

Bir otomasyon platformu değildir.

Purple Team esas olarak **insan, süreç ve teknolojinin birlikte geliştirilmesine yönelik bir güvenlik yaklaşımıdır.**

Kurum en gelişmiş güvenlik teknolojilerine sahip olabilir.

Fakat Red Team ve Blue Team arasında bilgi paylaşımı yoksa aynı saldırılar tekrar tekrar tespit edilemeyebilir.

Purple Team yaklaşımı bu döngüyü kırmayı amaçlar.

### Purple Team Döngüsü

Etkili bir Purple Team çalışması basit şekilde şu döngüyle açıklanabilir:

#### \1. Tehdit Belirlenir

↓

#### \2. Saldırı Tekniği Seçilir

↓

#### \3. Red Team Tekniği Simüle Eder

↓

#### \4. Blue Team Tespit Kabiliyetini Ölçer

↓

#### \5. Loglar ve Telemetri Analiz Edilir

↓

#### \6. Detection Rule Geliştirilir

↓

#### \7. Saldırı Tekrar Simüle Edilir

↓

#### \8. Tespit Doğrulanır

↓

#### \9. Süreç Dokümante Edilir

Bu döngü farklı MITRE ATT&CK teknikleri için tekrarlandıkça kurumun güvenlik görünürlüğü giderek gelişir.

### Siber Tehdit İstihbaratı Bu Yapıya Nasıl Dahil Olur?

Red Team, Blue Team ve Purple Team çalışmalarının daha gerçekçi hale gelmesini sağlayan önemli kaynaklardan biri **Cyber Threat Intelligence – Siber Tehdit İstihbaratı**dır.

Çünkü teorik olarak binlerce farklı saldırı tekniği bulunmaktadır.

Ancak kurumun hepsini aynı anda test etmesi mümkün değildir.

Bu durumda şu soru önem kazanır:

**“Bizi hedefleyen saldırganlar hangi teknikleri kullanıyor?”**

Örneğin finans sektörünü hedefleyen belirli bir tehdit aktörünün;

phishing,

credential theft,

PowerShell,

belirli persistence yöntemleri,

belirli lateral movement teknikleri

kullandığı biliniyorsa Red Team operasyonu bu davranışlara göre şekillendirilebilir.

Blue Team de aynı teknikler için detection geliştirebilir.

Böylece güvenlik operasyonu genel tehditlerden ziyade **kurumun gerçek tehdit profiline** göre önceliklendirilebilir.

### Red Team, Blue Team ve Purple Team Arasındaki Temel Fark

Üç kavramı tek cümleyle özetlemek gerekirse:

#### Red Team: Saldırabilir miyiz?

#### Blue Team: Saldırıyı görebilir ve durdurabilir miyiz?

#### Purple Team: Bir sonraki saldırıda daha iyi olabilir miyiz?

Bu üç soru birlikte sorulduğunda siber güvenlik yalnızca ürünlerden oluşan bir yapı olmaktan çıkar.

Ölçülebilir ve sürekli geliştirilebilir bir savunma modeline dönüşür.

### Kurumlar Nereden Başlamalı?

Her kurumun aynı güvenlik olgunluk seviyesinde olması beklenemez.

Temel güvenlik kontrollerinin henüz yeterince olgunlaşmadığı organizasyonlarda öncelikle;

varlık yönetimi,

zafiyet yönetimi,

log yönetimi,

EDR/XDR,

SIEM,

kimlik ve erişim yönetimi,

ağ segmentasyonu,

düzenli sızma testleri,

olay müdahale süreçleri

gibi temel alanların güçlendirilmesi gerekebilir.

Belirli bir güvenlik olgunluğuna ulaşmış kurumlarda ise Red Team operasyonları savunmanın gerçek saldırgan davranışları karşısında test edilmesini sağlar.

Purple Team yaklaşımı ise bu testlerin sonucunu sürekli gelişime dönüştürür.

### Sonuç: Amaç Kazanmak Değil, Bir Sonraki Saldırıya Daha Hazır Olmaktır

Red Team, Blue Team ve Purple Team birbirinin rakibi değildir.

Aynı güvenlik probleminin farklı taraflarına bakarlar.

Red Team saldırganın gözüyle bakar.

Blue Team savunmacının gözüyle bakar.

Purple Team ise iki tarafın gördüklerini bir araya getirir.

Bir kurumun gerçek siber güvenlik olgunluğu yalnızca kaç güvenlik ürünü kullandığıyla ölçülemez.

Asıl önemli olan;

**saldırıyı ne kadar erken görebildiği,**

**ne kadar hızlı anlayabildiği,**

**ne kadar etkili müdahale edebildiği**

ve

**aynı saldırının tekrar başarılı olmasını engelleyip engelleyemediğidir.**

Çünkü siber güvenlikte güçlü savunma yalnızca saldırıları engellemek değildir.

**Her saldırı senaryosundan sonra daha zor bir hedef haline gelmektir.**