• Cobertura ATT&CK: de quantas técnicas relevantes você tem detecção? (mapa no ATT&CK Navigator).
• MTTD: tempo até detectar (Módulo 10) — deve cair a cada iteração.
• Taxa de detecção: % das técnicas testadas que dispararam alerta.
• Falsos positivos: alerta demais mata a detecção (ninguém olha) — medir e reduzir.

PARTE C — Conduzir um exercício purple

Um exercício purple estruturado (você pode fazer sozinho, sendo os dois lados no seu projeto):

1. Planejar: escolher 5–10 técnicas (ATT&CK) relevantes ao seu sistema.
2. Executar (red): rodar cada uma de forma controlada (Atomic Red Team) ou reproduzir os passos do seu programa (Ex. 20).
3. Observar (blue): para cada técnica, registrar: detectou? alertou? em quanto tempo? (MTTD).
4. Fechar o gap: onde não detectou, criar/ajustar a detecção na hora.
5. Re-testar: rodar de novo; confirmar a detecção.
6. Documentar: a matriz de gaps de detecção:

Essa matriz é o relatório purple: mostra, com evidência, que a capacidade de detecção melhorou.

PARTE D — O Capstone do seu programa como exercício purple

Você já tem tudo para um exercício purple completo — só faltava enxergá-lo assim:

• A cadeia do Ex. 20 (recon → repo → JWT eterno → mass assignment → exfil, com "zero detecção") é a parte red.
• O CATALOGO §3 (padrões de log) e a DOCUMENTACAO §6 (alertas) são a parte blue.
• O mapa §8 do CATALOGO ("ferramenta → exercício → detecção → correção") é literalmente uma matriz purple já montada.
• A rubrica do Capstone (AVALIACOES_QUIZZES.md) exige, em cada achado, "como você saberia que o ataque ocorreu" — ou seja, a dimensão de detecção. Isso torna o Capstone um relatório purple, não só um pentest.

O exercício: rode a cadeia do Ex. 20 no seu ambiente, e para cada elo responda: meu log/alerta pegou? Onde não pegou (o achado 13, "zero detecção"), crie a detecção e re-teste. Ao final, o "zero detecção" vira uma matriz de cobertura — a prova de que o purple funcionou.

PARTE E — Labs / prática 🧪

Lab 1 — O loop purple numa técnica (⭐)

Escolha uma técnica (ex.: brute force no login). Execute (autorizado) → veja se seu log/alerta pegou → se não, crie a regra → re-execute → confirme. Entregável: 1 linha da matriz de gaps (antes/depois).

Lab 2 — Atomic Red Team + sua detecção

Rode um teste atômico (que simula uma técnica ATT&CK de forma segura) e verifique no seu SIEM/logs se disparou. Ajuste a detecção até pegar. Lição: detection engineering na prática.

Lab 3 — Mapa de cobertura no ATT&CK Navigator

Marque no ATT&CK Navigator quais técnicas você detecta (verde) e quais não (vermelho). O mapa de vermelhos é o seu backlog purple.

Lab 4 — O Capstone purple do projeto (o grande)

Rode a cadeia do Ex. 20, meça a detecção em cada elo, feche os gaps e escreva o relatório purple pela rubrica do AVALIACOES_QUIZZES.md — atacar + defender + comprovar a detecção. É a sua formatura.

Lab 5 — Rastrear com uma ferramenta (opcional)

Use o VECTR (ferramenta gratuita de tracking de exercícios purple) ou MITRE Caldera (emulação) para organizar as rodadas e medir a evolução.

PARTE F — Autoavaliação ✅

Responda de memória:

1. Por que o purple team não é "uma terceira equipe"?
2. Descreva o loop purple (as 5 etapas).
3. O que é detection engineering e quando uma detecção "existe de verdade"?
4. Cite duas métricas que um exercício purple acompanha.
5. O que é a "matriz de gaps de detecção" e o que ela prova?
6. Por que o mapa §8 do seu CATALOGO já é um artefato purple?
7. Como o "achado 13 (zero detecção)" do Ex. 20 vira um resultado purple positivo?

1. Porque é o red e o blue colaborando no mesmo exercício (não uma equipe separada) — atacar para melhorar a defesa (A.1).
2. Hipótese (escolher técnica) → Executar (red) → Observar (blue detectou?) → Melhorar (criar/ajustar detecção) → Re-testar (A.2).
3. A disciplina de criar/testar/manter detecções eficazes. Uma detecção "existe" só depois de testada contra a técnica que deveria pegar — regra não testada é detecção imaginária (B).
4. Quaisquer duas: cobertura ATT&CK, MTTD, taxa de detecção, falsos positivos (B.3).
5. Uma tabela técnica × detectou antes? × ação × detecta agora? × MTTD. Prova, com evidência, que a capacidade de detecção melhorou (C).
6. Porque ele já cruza "ferramenta/ataque → detecção → correção" — que é exatamente a estrutura de uma matriz purple (D).
7. Rodando a cadeia e, onde não detectou, criando a detecção e re-testando: o "zero detecção" vira uma matriz de cobertura preenchida — a prova de que o purple fechou os gaps (D).</details>

Checklist prático:

[ ] Rodei o loop purple completo em ≥ 1 técnica (antes/depois)
[ ] Usei Atomic Red Team e ajustei uma detecção até ela pegar
[ ] Montei meu mapa de cobertura no ATT&CK Navigator
[ ] Preenchi uma matriz de gaps de detecção
[ ] Rodei o Capstone purple do Ex. 20 medindo detecção por elo
[ ] Escrevi o relatório purple pela rubrica do Capstone
[ ] Sei calcular/reduzir MTTD e falsos positivos

Conclusão: o Capstone purple concluído (a matriz de cobertura + o relatório) — é a sua formatura da formação.