Purple Team Gerçekten Var mı? Siber Savunmada Mitler ve Gerçekler
Purple team gerçeği yıllardır siber güvenlik toplantılarının vazgeçilmez başlıklarından. Peki bu sihirli kavram gerçekte ne kadar çalışıyor, yoksa sadece isim karmaşasından mı ibaret? Son veriler ve sahanın içinden yaşanmışlıklarla bakınca, teoride harika gözüken bu modelin pratikte çoğu zaman kâğıt üstünde kaldığını anlıyoruz.
Purple Team: Hayal mi, Gerçek mi?
Önce şu meşhur tabiri hatırlayalım: “Red team saldırır, blue team savunur, purple team ise ortalığı birleştirir.” Teoride kulağa hoş geliyor, ama gerçek dünyada işler o kadar pürüzsüz yürümüyor. Güvenlik profesyonelleri yıllardır bu işin döngüsel olması, yani saldırı ve savunmanın sürekli birbirine veri sağlayıp gelişmesi gerektiğini söyler. Fakat iş pratiğe gelince, süreçler genellikle kâğıt üzerinde kalıyor. Sektörün deneyimli isimlerine göre asıl mesele insan faktöründen çok sistemin ve süreçlerin verimsizliği.
Purple Team Klişesinin Arkasında Ne Var?
Çoğu şirket “bizim de purple team’imiz var” demeye bayılır. Ancak işin aslı, çoğu zaman kırmızı ve mavi ekiplerin aynı odada oturmasından ibaret. Birbirinin scriptlerini elle çevirip, e-posta zincirlerinde kaybolan hash’lerle, gerçek bir entegre döngüden söz etmek pek mümkün değil. Tıpkı bir evde herkesin ayrı odada maç izleyip, kimin önce gol dediğini anlamaya çalışmak gibi. Purple team gerçeği tam da bu noktada sorgulanıyor. Göz boyayan bir başlık mı, yoksa gerçekten riskleri azaltan bir uygulama mı?
10 Saatlik Zafiyet Penceresi: Saldırganlar Neden Daha Hızlı?
Bir zamanlar yeni bir zafiyet duyurusu ile aktif sömürülmesi arasında haftalar, hatta aylar vardı. Şimdi ise ortalama 10 saate düşmüş durumda. 2026’nın ilk aylarında yapılan analizlerde 3500’den fazla zafiyet için bu süre doğrulandı. Kısaca; saldırganlar, yamadan, onaydan, prosedürden çok daha hızlı. Hatta sistemin, kimin hangi ekibe mail attığı, onayın kimde kaldığıyla uğraşırken, saldırganlar saniyeler içinde ağına sızmış oluyor.
Purple Team Neden Çalışmıyor?
Burada esas problem teknolojiyle değil, insanla ilgili olduğu kadar iş akışıyla da ilgili. Saatler süren toplantılar, raporlar, bekleyen onaylar, Slack’te yanıt alınamayan mesajlar… Siber güvenlik uzmanlarına göre ekiplere yüklenen sorumluluklar ve karmaşık iş bölümü, işin “loop” yani döngü kısmını baltalıyor. Kimsenin hatası yok; sistemin kendisi verimsiz.
Takım ve Araç Uyumu: Asıl Tıkanma Noktası
Bir şirkete bakın, kim hangi cihazdan sorumlu? Ağ ekibi duvarları yönetiyor, SOC ekibi alarm topluyor, red team saldırıyor, blue team analiz peşinde, IT ise yamalara yetişmeye çalışıyor. Herkes kendi kutusunda. Güçlü bir purple team gerçeği için bu kutuların kırılması şart. Ama çoğu ortamda bunlar birbirine dokunamıyor. İşin garibi, araçlar ve insanlar çoğu zaman paralel evrende çalışıyor.
Geçmişten Günümüze: Benzer Sıkıntılar Neden Tekrarlanıyor?
2017’deki WannaCry salgını sırasında da bu tür iletişim ve süreç sorunları yaşandı. 2020’de SolarWinds vakasında, kırmızı-mavi iletişimsizliği kurumları milyonlarca dolar zarara uğrattı. O günden bu yana, araçlar hızlandı ama iş süreçleri aynı hantallıkta. Siber güvenlik tarihinde purple team gerçeği defalarca sınandı ama özünde top insan ve süreç yönetimine takıldı.
Purple Team Felsefesi İçin Pratik Öneriler
- Süreçleri otomatikleştir; elle veri taşımak yerine entegre sistemler kullan.
- Kırmızı ve mavi ekipler için ortak “canlı” dashboard oluştur.
- Yama ve onay süreçlerini hızlandıracak karar matrisleri geliştir.
- Raporlama ve iletişimde kısa, öz ve anlık güncellemeye öncelik ver.
- Ekipler arası geçici rotasyonlarla empati artır; herkes karşı tarafın zorluklarını görsün.
- Sürekli ölçümle, gelişimi veriyle takip et.
Purple Team Olgunluğu: Sadece Ekip Değil, Kültür Meselesi
Purple team gerçeğinin başarılı olduğu kurumlar, bunu yalnızca bir ekip adı olarak değil, organizasyonun geneline yayılan bir kültür olarak ele alıyor. Bu kültür, kırmızı ve mavi ekiplerin birbirinin rakibi değil, tamamlayıcısı olarak görülmesini gerektiriyor. Yani mesele, bir toplantıda “purple team var!” demekle bitmiyor; sahada, günlük işleyişte, eylemlerde bu birlikteliğin olması önemli.
Pratikte, bu kültürü oluşturmak için kurumların sık sık ekibi değiştirmesi ya da “herkesten her işi yapmasını” beklemesi gerekmiyor. Asıl mesele, bilgi paylaşımını, açık iletişimi ve ortak hedefleri teşvik eden bir ortam oluşturmak. Bunun için:
- Her başarı ya da fark edilen bir açık sonrası ekiplerin ortak “retrospective” oturumları düzenlenebilir.
- Kırmızı ve mavi ekiplerden temsilciler, projelerde çapraz görevlendirilebilir.
- Şirket içi ödül sistemlerinde, ekip çalışmasına katkı sağlayanlar ön plana çıkarılabilir.
Türkiye’de Purple Team Gerçeği: Yerel Zorluklar ve Fırsatlar
Ülkemizde purple team gerçeği uygulamaları genellikle büyük bankalar, telekom ve kamu kurumlarında gündeme geliyor. Ancak birçok orta ve küçük ölçekli kurumda, hâlâ temel siber güvenlik süreçleri bile tam oturmuş değil. Bu noktada, pratikte karşılaşılan zorluklar şöyle sıralanabilir:
- Kaynak yetersizliği: Ayrı ayrı red, blue ve purple ekipleri kurmak için hem insan kaynağı hem de bütçe gerekiyor.
- Yönetici farkındalığı eksikliği: Yönetim kadrosu, genellikle purple team’in gerekliliğini tam olarak kavrayamayabiliyor.
- Ekip içi iletişim kültürünün azlığı: Hiyerarşik ve dikey yönetim modelleri, işbirliğine dayalı çalışmayı zorlaştırıyor.
- Teknoloji entegrasyonunda yaşanan sıkıntılar: Farklı güvenlik araçlarının tam entegre edilmemesi, süreçleri yavaşlatıyor.
Buna rağmen, Türkiye’de de purple team yaklaşımını benimseyen ve bunu gerçek anlamda hayata geçiren kurumlar yok değil. Özellikle finans ve telekom sektöründeki bazı öncü şirketler, bu kültürü yaygınlaştırmak için hem otomasyon araçlarına yatırım yapıyor hem de ekip içi eğitim ve farkındalık çalışmalarına ağırlık veriyor.
Purple Team ve Otomasyon: Sihirli Bir Dokunuş mu?
Modern siber tehditler, insan hızını çoktan geride bırakmış durumda. Bu yüzden purple team gerçeğini hayata geçirmek isteyen kurumlar için otomasyon neredeyse zorunlu hale geldi. Otomasyon, sadece tehdit tespitinde değil, aynı zamanda raporlama, yama yönetimi, saldırı simülasyonu ve savunma reflekslerinin test edilmesinde de devreye alınıyor.
Pratik öneri olarak; SOAR (Security Orchestration, Automation and Response) platformları, hem red team (saldırı testleri) hem blue team (savunma) çıktılarını ortak dashboard’da toplamanıza ve süreçleri hızlandırmanıza olanak sağlar. Ayrıca, MITRE ATT&CK gibi tehdit matrisi tabanlı analizler, her iki ekibin de aynı referansa bakmasını kolaylaştırır. Bu noktada, IT ve SOC ekipleriyle entegre çalışacak ufak scriptler ve playbook’lar hazırlamak, gerçek zamanlı aksiyon kabiliyeti kazandırır.
Purple Team Gerçeği: Klişeden Uygulamaya Geçiş İçin İpuçları
Birkaç basit ama etkili adımı hayata geçirerek şirketinizde purple team gerçeğini gerçek anlamda uygulayabilirsiniz:
- Ölçülebilir Hedefler Belirleyin: Sadece “daha güvenli olalım” demek değil; her red team testinin ardından kaç yeni önlem alındı, kaç zafiyet kapandı, kaç anomali daha hızlı tespit edildi gibi metrikler oluşturun.
- Ortak Platformlar Kullanın: E-posta zincirleri ve farklı raporlama araçları yerine, gerçek zamanlı ve paylaşılabilir dashboard’lar kurun.
- Ekipler Arası Mini-CTF Etkinlikleri Düzenleyin: Herkesin hem saldıran hem savunan rolünü kısa süreliğine denemesi, empati ve beceri artışını sağlar.
- Başarı ve Hataları Birlikte Analiz Edin: Tek bir ekibi suçlamak yerine, olay sonrası ortak kök neden analizi yapın ve öğrenilen dersleri yazılı hale getirin.
- Kültüre Yatırım Yapın: Sadece teknolojiye değil, ekip içi iletişime ve ortak vizyona da kaynak ayırın. Kısa periyodik anketlerle çalışanların görüşlerini alın.
Tehdit İstihbaratı ve Purple Team: Katmanlı Savunmanın Yeni Yüzü
Sadece savunma ya da saldırı değil, tehdit istihbaratının aktif kullanımı da purple team gerçeğinin önemli bir ayağı. Threat intelligence beslemeleriyle mavi ekip proaktif savunma seviyesini artırırken, kırmızı ekip gerçek saldırı yöntemlerini taklit edebiliyor. Bu verileri ortak analiz eden bir purple team yaklaşımı, daha hedefli ve etkili sonuçlar doğuruyor.
Türkiye’de istihbarat odaklı güvenlik uygulamaları henüz yeterli yaygınlığa ulaşmadı. Ancak, ulusal CERT’in (USOM) ve sektörel CERT’lerin sunduğu ücretsiz tehdit bültenleri ile İYS (İhbar ve Yönlendirme Sistemi) gibi kaynaklardan yararlanarak ekiplerinizi güncel tutabilirsiniz.
Purple Team Gerçeği: “İsimden Fazlası” Olarak Hayata Geçirmek
Unutmayın, purple team gerçeği bir ekip adından ibaret değil; süreçlerin, kültürün ve teknolojinin birleştiği bir noktadır. Türkiye’de ve dünyada siber tehditler gelişmeye devam ederken; hızlı iletişim, otomasyon, ortak hedef ve sürekli gelişim ilkelerini benimsemeyen kurumların “purple team” tabelası, gerçek dünyada bir anlam ifade etmiyor. Şirketinizde bu yaklaşımı klişe olmaktan çıkarıp, canlı ve yaşayan bir işleyişe dönüştürmek sizin elinizde.
Sıkça Sorulan Sorular
