Dalam dunia cybersecurity, ada red team dan blue team yang memiliki peran berbeda. Red team menguji sistem dari sisi penyerang, sementara blue team bertugas mendeteksi dan merespons serangan.
Lalu ada purple team. Apakah ini berarti red team dan blue team digabung menjadi satu tim baru?
Tidak persis begitu. Purple team lebih tepat dipahami sebagai pendekatan yang mempertemukan red team dan blue team untuk bekerja lebih dekat. Red team menguji teknik serangan, blue team melihat apakah teknik tersebut dapat dideteksi, lalu keduanya menggunakan hasil pengujian untuk memperkuat pertahanan.
Lantas, bagaimana cara kerja purple team dan apa perannya dalam keamanan siber?
Apa Itu Purple Team dalam Cyber Security?
Purple team adalah pendekatan kolaboratif yang menggabungkan kemampuan red team dan blue team dalam satu proses evaluasi keamanan.
Red team berfokus pada simulasi serangan untuk mencari tahu bagaimana sebuah sistem dapat ditembus. Sementara itu, blue team bertugas mendeteksi, menganalisis, dan merespons aktivitas mencurigakan yang terjadi di lingkungan perusahaan.
Baca Juga : Perbedaan Red Team vs Blue Team dalam Cybersecurity
Dalam model yang lebih tradisional, kedua tim dapat bekerja secara terpisah. Red team melakukan pengujian, kemudian memberikan laporan berisi temuan dan rekomendasi. Blue team menerima hasil tersebut dan melakukan perbaikan sesuai prioritas.
Model ini tetap berguna. Namun, ada satu hal yang sering terlewat yaitu apakah blue team benar-benar dapat mendeteksi teknik serangan yang digunakan red team?
Red team dan blue team dapat membahas skenario serangan bersama, menguji teknik tertentu, melihat apakah aktivitas tersebut terdeteksi, kemudian menggunakan hasilnya untuk meningkatkan kemampuan deteksi dan respons.
Jadi, purple team bukan berarti perusahaan harus membentuk tim ketiga. Istilah ini lebih tepat digunakan untuk menggambarkan cara kerja kolaboratif antara tim ofensif dan defensif.
Bagaimana Cara Kerja Purple Team?
Purple teaming biasanya dilakukan secara bertahap dan berulang. Fokusnya bukan membuat satu serangan besar, melainkan menguji teknik tertentu untuk melihat seberapa siap pertahanan perusahaan dalam menghadapi teknik tersebut.
1. Menentukan Skenario Serangan
Proses dimulai dengan menentukan tujuan dan skenario yang ingin diuji.
Red team dan blue team dapat memilih teknik serangan yang relevan dengan lingkungan perusahaan, misalnya berdasarkan MITRE ATT&CK. Pemilihan skenario sebaiknya mempertimbangkan teknologi yang digunakan, jenis aset yang dilindungi, serta ancaman yang paling relevan bagi organisasi.
Dengan begitu, pengujian tidak berhenti pada simulasi serangan yang generik.
2. Red Team Menjalankan Teknik Serangan
Setelah skenario disepakati, red team menjalankan teknik serangan sesuai ruang lingkup yang telah ditentukan.
Pada tahap ini, blue team dapat mengamati apakah aktivitas tersebut muncul di log, terdeteksi oleh EDR, memicu alert pada SIEM, atau justru tidak terlihat sama sekali.
Hasilnya bisa cukup menarik. Sebuah teknik serangan mungkin berhasil dilakukan, tetapi sistem keamanan perusahaan tidak menghasilkan alert yang memadai. Sebaliknya, ada juga aktivitas yang terdeteksi, tetapi alert-nya terlalu umum sehingga sulit dianalisis oleh analis SOC.
3. Mengevaluasi Kemampuan Deteksi
Setiap teknik yang dijalankan menjadi kesempatan untuk menguji kemampuan pertahanan.
Tim dapat melihat beberapa hal, seperti:
- Apakah aktivitas serangan berhasil terdeteksi?
- Log apa yang tersedia untuk investigasi?
- Apakah alert muncul pada waktu yang tepat?
- Apakah analis SOC dapat memahami aktivitas tersebut?
- Apakah ada teknik serangan yang sama sekali tidak terlihat?
Jika suatu teknik berhasil lolos dari monitoring, tim dapat mencari tahu penyebabnya. Bisa jadi sumber log belum tersedia, rule deteksi belum dibuat, konfigurasi tools belum optimal, atau analis belum memiliki konteks yang cukup untuk mengenali aktivitas tersebut.
4. Melakukan Perbaikan dan Pengujian Ulang
Setelah menemukan kelemahan, blue team dapat melakukan perbaikan. Misalnya dengan menyesuaikan detection rule, memperbaiki konfigurasi monitoring, menambahkan sumber log, atau meningkatkan prosedur respons insiden.
Setelah itu, teknik yang sama dapat diuji kembali.
Siklus inilah yang menjadi salah satu kekuatan utama purple teaming. Tim tidak berhenti pada kesimpulan bahwa sebuah teknik “tidak terdeteksi”. Mereka mencari tahu mengapa tidak terdeteksi, apa yang perlu diperbaiki, lalu mengujinya kembali.
Apa Manfaat Purple Team bagi Perusahaan?
Ketika dilakukan dengan tujuan dan ruang lingkup yang jelas, purple teaming dapat memberikan manfaat yang lebih praktis dibanding sekadar mengandalkan laporan hasil pengujian.
1. Memastikan Kemampuan Deteksi Benar-Benar Teruji
Memiliki SIEM, EDR, firewall, atau security tools lainnya belum tentu berarti perusahaan sudah mampu mendeteksi serangan dengan baik.
Purple teaming membantu menguji kemampuan tools tersebut menggunakan teknik serangan yang terkontrol. Perusahaan dapat mengetahui bagian mana yang sudah bekerja dan bagian mana yang masih membutuhkan perbaikan.
2. Menghubungkan Temuan dengan Pertahanan
Hasil penetration testing atau red team exercise sering kali berisi banyak temuan teknis. Tantangannya adalah memastikan temuan tersebut benar-benar diterjemahkan menjadi peningkatan pertahanan.
Melalui purple teaming, red team dapat menjelaskan bagaimana teknik serangan dilakukan, sementara blue team dapat melihat indikator apa yang seharusnya dicari dan bagaimana mendeteksinya.
Dengan begitu, pengetahuan dari satu tim tidak berhenti sebagai laporan.
3. Meningkatkan Kemampuan Tim SOC
Purple teaming juga dapat menjadi latihan yang relevan bagi analis SOC. Mereka tidak hanya menerima alert dari tools, tetapi dapat memahami konteks bagaimana sebuah aktivitas mencurigakan muncul dan bagaimana aktivitas tersebut berkaitan dengan teknik serangan tertentu.
Pengalaman ini dapat membantu meningkatkan kemampuan analisis dan investigasi ketika menghadapi insiden yang sebenarnya.
4. Membuat Pengujian Keamanan Lebih Terarah
Tidak semua teknik serangan harus diuji sekaligus. Perusahaan dapat menentukan prioritas berdasarkan aset, risiko, dan ancaman yang paling relevan.
Pendekatan seperti ini membuat purple teaming lebih terarah dan memungkinkan organisasi melakukan pengujian secara bertahap.
Kapan Perusahaan Perlu Menjalankan Purple Team Exercise?
Purple teaming dapat dipertimbangkan ketika perusahaan sudah memiliki dasar keamanan tertentu dan ingin mengukur apakah pertahanan tersebut benar-benar efektif.
Beberapa kondisi yang dapat menjadi pertimbangan antara lain:
- Perusahaan sudah melakukan penetration testing atau red team exercise, tetapi belum yakin apakah serangan serupa dapat terdeteksi oleh tim internal.
- Perusahaan baru mengimplementasikan SIEM, EDR, atau security tools lainnya dan ingin menguji efektivitasnya.
- Tim SOC menerima banyak alert, tetapi masih kesulitan menentukan mana yang benar-benar berkaitan dengan aktivitas serangan.
- Red team dan blue team masih bekerja secara terpisah sehingga hasil pengujian keamanan kurang terhubung dengan proses perbaikan.
- Perusahaan ingin meningkatkan kemampuan deteksi dan respons secara berkala, bukan hanya melakukan evaluasi ketika audit atau insiden terjadi.
- Organisasi sedang mempersiapkan kebutuhan keamanan atau sertifikasi seperti ISO 27001 dan membutuhkan proses evaluasi keamanan yang lebih terstruktur.
Apa Tantangan dalam Menerapkan Purple Team?
Meski konsepnya cukup sederhana, purple teaming tetap membutuhkan persiapan dan koordinasi yang matang. Beberapa tantangan yang perlu diperhatikan antara lain:
1. Menyamakan Tujuan dan Komunikasi Antar Tim
Red team dan blue team punya fokus yang berbeda. Tanpa tujuan, scope, dan cara mengukur hasil yang jelas, exercise bisa berakhir hanya sebagai simulasi serangan tanpa banyak pembelajaran bagi kedua tim.
2. Mendokumentasikan Setiap Temuan
Setiap teknik yang diuji perlu dicatat dengan jelas, mulai dari apakah serangan berhasil terdeteksi, indikator yang muncul, bagaimana tim merespons, hingga perbaikan yang dilakukan setelahnya. Dokumentasi ini penting agar hasil exercise bisa digunakan kembali pada pengujian berikutnya.
3. Menjaga Agar Pengujian Tidak Mengganggu Sistem
Purple team exercise tetap harus dilakukan dengan batasan yang jelas, terutama jika melibatkan sistem produksi. Scope, rules of engagement, target yang boleh diuji, dan batasan aktivitas perlu disepakati sebelum pengujian dimulai.
4. Memastikan Ada Tindak Lanjut
Exercise tidak berhenti ketika teknik serangan berhasil atau gagal terdeteksi. Temuan yang muncul perlu diterjemahkan menjadi perbaikan, kemudian diuji kembali untuk memastikan perubahan tersebut benar-benar meningkatkan kemampuan deteksi dan respons.
Jika tim internal belum terbiasa menjalankan purple team exercise, melibatkan pihak ketiga juga bisa menjadi pilihan. Tim eksternal dapat membantu menyusun skenario, memfasilitasi kolaborasi red dan blue team, serta memberikan penilaian independen terhadap kemampuan deteksi dan respons yang sudah dimiliki.
Bagi perusahaan yang ingin menguji kemampuan deteksi dan respons secara lebih menyeluruh, purple team exercise dapat menjadi salah satu cara untuk melihat kesiapan keamanan dari kedua sisi. DSG dapat membantu menyesuaikan skenario pengujian dengan infrastruktur, risiko, dan kebutuhan keamanan perusahaan Anda.
