Il Vero Significato del Purple Teaming: Un Paradigma da Rivedere

Nel mondo della sicurezza informatica, la difesa di una rete può apparire caotica, soprattutto nelle ore più piccole della notte. Un analista, per esempio, potrebbe ritrovarsi a copiare e incollare hash da un PDF in una query SIEM, mentre uno script del team rosso viene riscritto a mano per essere utilizzato dal team blu. Nel frattempo, una patch aspetta un’approvazione che sembra durare più a lungo delle stesse finestre di sfruttamento delle vulnerabilità. Anche se nessuno in questo processo è inefficace, il problema risiede nel sistema e nei suoi workflow, spesso disorganizzati e lenti.

La Rapidità degli Attaccanti

Negli ultimi anni, i tempi di sfruttamento delle vulnerabilità hanno fatto registrare un’accelerazione incredibile. Nel 2024, il tempo medio che intercorreva dalla pubblicazione di un CVE all’emergere di un exploit funzionante era di 56 giorni, ridotto a soli 23 nel 2025 e a una media di 10 ore nel 2026. Per le aziende italiane, questa rapidità rappresenta una sfida significativa, poiché le misure di sicurezza tradizionali faticano a tenere il passo.

Chiaramente, l’industria della sicurezza ha tentato per anni di colmare questo divario attraverso il concetto di “purple teaming”. Si tratta di un approccio che unisce le forze tra il team rosso — incaricato di attaccare — e il team blu — impegnato nella difesa — ma, purtroppo, pochi ne hanno colto realmente l’essenza pratica, fino ad ora.

Problemi e Soluzioni nel Purple Teaming Tradizionale

Frizioni Umane e Inefficienze

La maggior parte delle organizzazioni non riesce a far funzionare il purple teaming come un ciclo integrato. Le squadre spesso comunicano poco, e quando lo fanno, sono sopraffatte da riunioni e report lunghi che rallentano qualsiasi progresso. La risposta agli attacchi si perde spesso nel trasporto delle informazioni: messaggi di Slack non letti, hash copiati, e ticket che aspettano l’approvazione. Le conseguenze di queste inefficienze sono drammatiche e possono risultare fatali in un contesto sempre più competitivo e pericoloso.

La Necessità di Coordinazione

La sicurezza informatica richiede una collaborazione funzionale tra diversi team — dal SOC ai team di reti, dalla gestione dei CVE agli operatori IT. Ogni gruppo utilizza strumenti diversi che generano artefatti e report, ma la collaborazione fra di essi è spesso caotica. In Italia, dove le amministrazioni e le aziende si trovano a fronteggiare attacchi sempre più sofisticati, il tempo perso nella comunicazione tra i gruppi può rivelarsi fatale.

La Sfida dell’Intelligenza Artificiale

Oggi gli attaccanti possono utilizzare strumenti avanzati, come i modelli di linguaggio di intelligenza artificiale, per attaccare le reti in tempi ridottissimi, mentre i difensori rimangono intrappolati in catene di approvazione prolungate. I team di difesa faticano a tenere il passo, e ogni esercitazione di purple teaming rischia di diventare irrilevante.

Verso un Purple Teaming Autonomo

La buona notizia è che la stessa tecnologia che accelera l’attacco può, in effetti, ottimizzare le difese. Il purple teaming autonomo è una metodologia in grado di correre alla velocità della macchina, chiudendo il ciclo tra i team in modo rapido e preciso. Gli agenti autonomi possono gestire i passaggi di informazioni in tempo reale, eliminando il bisogno di interventi umani.

Nel contesto del lavoro continuo, gli strumenti di Automazione del PenTesting e le Simulazioni di Attacco e Breccia (BAS) possono lavorare in sinergia per offrire una panoramica chiara delle vulnerabilità attuali e delle misure difensive attive. Qualunque segnale di allerta viene immediatamente gestito senza la necessità di un intervento umano, consentendo ai team di concentrarsi su aspetti strategici piuttosto che operativi.

Conclusione Pratica

Per le aziende e le amministrazioni italiane, abbracciare la metodologia del purple teaming autonomo non è solo una questione di efficienza, ma una necessità per garantire la sicurezza delle informazioni. Con l’aumento continuo delle minacce informatiche, le organizzazioni devono evolversi con una rapidità senza precedenti, sfruttando le tecnologie che consentono un ciclo di difesa continuo e reattivo. Solo così sarà possibile affrontare con successo le sfide imposte da avversari sempre più agguerriti.