Pendahuluan
Sebuah laporan red team yang tebal sering berakhir dengan cara yang sama: daftar temuan yang mengesankan, presentasi yang membuat manajemen gelisah, lalu dokumen itu masuk laci. Tim bertahan menerima hasilnya berbulan-bulan setelah serangan simulasi selesai, ketika konteksnya sudah pudar dan attacker yang sebenarnya sudah bergerak ke teknik baru. Model kompetitif antara penyerang dan pembela menghasilkan skor, tetapi tidak selalu menghasilkan pertahanan yang lebih baik.
Purple team hadir untuk memperbaiki celah ini. Alih-alih memisahkan tim penyerang dan pembela sebagai lawan, purple team menyatukan keduanya dalam satu proses kolaboratif: penyerang menjalankan teknik, pembela mengamati apakah teknik itu terdeteksi, dan keduanya menyempurnakan deteksi secara langsung. SANS mendefinisikannya sebagai model kolaboratif yang menggabungkan fungsi ofensif dan defensif, menggantikan hubungan yang semula berhadap-hadapan dengan penetapan ruang lingkup bersama, pelaporan bersama, dan komunikasi real-time.[11]
Artikel ini membahas bagaimana purple team exercise berjalan, kerangka dan alat yang mendukungnya, cara mengukur keberhasilannya, dan mengapa pendekatan ini mengubah pengujian keamanan dari penilaian sekali jalan menjadi peningkatan deteksi yang berkelanjutan.
Tiga Warna, Satu Tujuan
Definisi dasarnya berguna untuk meluruskan istilah yang sering dipakai longgar. NIST mendefinisikan red team sebagai sekelompok orang yang diberi wewenang dan diorganisasi untuk meniru kemampuan serangan atau eksploitasi lawan potensial terhadap postur keamanan sebuah organisasi.[1] Blue team, dalam glosarium yang sama, adalah kelompok yang bertanggung jawab mempertahankan penggunaan sistem informasi organisasi dengan menjaga postur keamanannya terhadap para penyerang tiruan.[2]
Menariknya, NIST tidak memuat entri untuk "purple team". Ini bukan kelalaian, melainkan petunjuk tentang sifat purple team itu sendiri: ia bukan tim ketiga yang berdiri terpisah, melainkan fungsi atau cara kerja yang menyatukan dua tim lain. Warna ungu adalah perpaduan merah dan biru, dan itulah tepatnya yang dilakukannya, menggabungkan kemampuan ofensif dan defensif dalam satu alur kerja.
Perbedaan ini membawa konsekuensi praktis pada transfer pengetahuan. Dalam model tradisional, keahlian red team tentang cara menyerang dan keahlian blue team tentang cara mendeteksi tinggal di dua kelompok yang jarang bertukar rinci. Purple team menjadikan pertukaran itu sebagai inti latihan: penyerang menjelaskan persis bagaimana sebuah teknik bekerja, pembela menjelaskan sumber log dan logika deteksi apa yang relevan, dan keduanya sampai pada pemahaman yang sama.
Mengapa Model Adversarial Tidak Cukup
Red team tradisional memberi nilai nyata: ia menguji apakah pertahanan bertahan menghadapi penyerang yang gigih dan kreatif. Persoalannya bukan pada kualitas pengujian, melainkan pada aliran pengetahuannya. Ketika tim penyerang dan pembela dipisahkan demi realisme, pembela belajar tentang teknik yang berhasil hanya setelah engagement berakhir, sering kali tanpa visibilitas atas apa yang mereka lewatkan dan mengapa.
Purple team membalik aliran ini. Karena penyerang dan pembela bekerja berdampingan, setiap teknik yang tidak terdeteksi langsung menjadi bahan perbaikan, bukan temuan yang menunggu laporan. Framework Purple Team Exercise (PTEF) dari SCYTHE menyusun pendekatan ini secara formal, menyatukan cyber threat intelligence, red team, dan blue team dalam satu latihan terkoordinasi.[14] Hasilnya bukan skor menang-kalah, melainkan peta deteksi yang lebih akurat.
Bahasa Bersama: MITRE ATT&CK dan D3FEND
Kolaborasi menuntut kosakata bersama, dan di sinilah MITRE ATT&CK menjadi fondasi. ATT&CK adalah basis pengetahuan taktik dan teknik adversary yang menjadi bahasa bersama bagi tim merah, biru, maupun ungu.[3] Ketika red team menyatakan akan menguji "T1110.003 password spraying", blue team tahu persis teknik apa yang dimaksud, di mana ia biasanya muncul, dan sumber log apa yang relevan untuk mendeteksinya.
Di sisi pertahanan, MITRE D3FEND melengkapi ATT&CK sebagai knowledge graph teknik penanggulangan keamanan siber.[4] Pemetaan antara teknik serangan dan penanggulangan yang sepadan mengubah percakapan purple team dari "apakah kita aman" menjadi pertanyaan yang bisa diuji: untuk setiap teknik yang relevan, apakah kita punya deteksi, seberapa andal, dan berapa lama waktu yang dibutuhkan untuk memicunya. Kerangka yang sama juga mendasari MITRE ATT&CK Evaluations, program evaluasi terstruktur yang mengukur seberapa baik produk keamanan mendeteksi teknik serangan dunia nyata berbasis ATT&CK.[5] Evaluasi ini berguna sebagai rujukan independen ketika organisasi menilai apakah perkakas deteksi yang mereka miliki benar-benar menangkap teknik yang relevan, bukan sekadar mengandalkan klaim vendor.
Bagaimana Sebuah Latihan Berjalan
Purple team exercise yang terstruktur mengikuti alur yang bisa diprediksi, dan justru keterprediksian itulah yang membuatnya berulang dan terukur. Latihan dimulai dari intelijen: memilih adversary atau kelompok teknik yang relevan dengan profil ancaman organisasi, bukan daftar acak. Dari sana, red team menjalankan teknik satu per satu, sementara blue team mengamati konsol deteksi mereka secara langsung.
Untuk setiap teknik, tim mencatat satu dari beberapa kemungkinan hasil: terdeteksi dan dicegah, terdeteksi tetapi tidak dicegah, ter-log tetapi tidak memicu alarm, atau sama sekali tidak terlihat. Setiap hasil selain "terdeteksi dan dicegah" menjadi item perbaikan konkret. PTEF versi terbaru bahkan menambahkan siklus hidup detection engineering dan model kematangan bertingkat, menggantikan penilaian lulus atau gagal yang biner dengan skala yang lebih bernuansa.[15] Poster purple team SANS memberi contoh nyata alur ini, menjabarkan rencana emulasi untuk kelompok seperti FIN6, APT28, dan APT33.[12]
Sebuah contoh sederhana memperjelas mekaniknya. Misalkan tim menguji password spraying (T1110.003). Red team menjalankan percobaan satu kata sandi umum ke sejumlah akun; blue team mengamati apakah log autentikasi mengalir ke SIEM, apakah ada aturan yang mengenali pola banyak kegagalan tersebar, dan berapa lama alarm menyala jika memang menyala. Bila teknik itu lolos tanpa terdeteksi, keluarannya bukan sekadar catatan, melainkan aturan deteksi baru yang segera diuji ulang pada percobaan berikutnya. Satu teknik, satu siklus tertutup: jalankan, amati, perbaiki, verifikasi.
Alat: Emulasi dan Pelacakan
Sejumlah perkakas terbuka membuat purple team exercise bisa dijalankan tanpa membangun semuanya dari nol.
Atomic Red Team
Atomic Red Team menyediakan pengujian deteksi yang kecil, sangat portabel, dan berbasis teknik MITRE ATT&CK.[6] Setiap "atom" adalah satu tes untuk satu teknik, sehingga blue team bisa memverifikasi deteksi per teknik dengan cepat. Portabilitasnya membuatnya ideal sebagai titik awal: menjalankan satu atom, memeriksa apakah deteksi menyala, lalu berpindah ke teknik berikutnya.
MITRE Caldera
Untuk emulasi yang lebih menyeluruh dan otomatis, Caldera adalah platform open-source untuk otomasi adversary emulation berbasis MITRE ATT&CK, yang dipakai untuk red teaming, purple teaming, dan validasi keamanan.[7] Caldera bisa merangkai teknik menjadi rantai serangan yang menyerupai operasi nyata, mengurangi kerja manual dan membuat latihan lebih mudah diulang. Alternatif seperti Prelude, dari tim yang membangun Caldera, memperluas pilihan platform emulasi yang tersedia.[8]
VECTR
Latihan tanpa pencatatan yang rapi kehilangan sebagian besar nilainya. VECTR melacak aktivitas pengujian red dan blue team untuk mengukur kemampuan deteksi dan pencegahan lintas skenario serangan.[9] Dengan mencatat hasil setiap teknik dari waktu ke waktu, VECTR mengubah purple team dari acara sekali jalan menjadi tren yang bisa dipantau: apakah cakupan deteksi membaik antara latihan bulan ini dan bulan lalu.
Detection Engineering sebagai Inti
Purple team yang matang pada akhirnya adalah latihan detection engineering. Setiap teknik yang lolos tanpa terdeteksi menuntut deteksi baru, dan deteksi itu perlu ditulis, diuji, serta dipelihara seperti kode. Sigma menjawab kebutuhan ini sebagai format signature generik dan terbuka untuk sistem SIEM, memungkinkan aturan deteksi ditulis sekali lalu dikonversi ke banyak backend.[10]
Pendekatan detection-as-code ini penting karena membuat hasil purple team bertahan. Ketika sebuah latihan menemukan bahwa password spraying tidak terdeteksi, keluarannya bukan sekadar catatan di laporan, melainkan aturan Sigma baru yang bisa diversikan, ditinjau, dan digunakan ulang. Ribuan aturan komunitas yang dipetakan ke teknik ATT&CK memberi titik awal, tetapi nilai terbesar datang dari aturan yang disesuaikan dengan lingkungan dan sumber log organisasi sendiri.
Siklus hidup deteksi tidak berhenti pada penulisan aturan. Setiap deteksi baru perlu diuji terhadap positif palsu, disetel agar tidak membanjiri analis dengan alarm, lalu dipelihara ketika lingkungan berubah. PTEF versi terbaru secara eksplisit memasukkan siklus hidup detection engineering ini sebagai bagian dari kerangkanya, menandai pergeseran purple team dari sekadar menguji menjadi membangun kapabilitas deteksi yang bertahan.[15] Tanpa perawatan, aturan yang hari ini akurat bisa menjadi sumber derau enam bulan kemudian ketika aplikasi dan infrastruktur berubah.
Mengukur Keberhasilan
Salah satu keunggulan purple team dibanding red team tradisional adalah keterukurannya. Alih-alih menghasilkan narasi "kami berhasil masuk", latihan menghasilkan metrik yang bisa dilacak dari waktu ke waktu.
Cakupan deteksi adalah metrik pertama: dari sekian teknik yang diuji, berapa yang memicu deteksi. Mean Time to Detect (MTTD) melengkapinya dengan dimensi waktu; Splunk mendefinisikannya sebagai rata-rata waktu yang dibutuhkan organisasi untuk mengidentifikasi sebuah insiden keamanan setelah ia terjadi.[19] Skenario assumed breach memberi kerangka yang realistis untuk keduanya, dengan mengandaikan attacker sudah berada di dalam jaringan melalui suatu bentuk kompromi, sehingga fokus bergeser dari pencegahan perimeter ke deteksi internal.[18]
Model kematangan mengikat metrik-metrik ini menjadi lintasan perbaikan. PTEF menyediakan model kematangan bertingkat, dari level awal hingga level yang mengoptimalkan diri, sehingga organisasi bisa menempatkan dirinya pada peta dan menetapkan target yang masuk akal, bukan sekadar mengejar angka tanpa konteks.[15]
Kerangka Formal: TIBER-EU dan CBEST
Di sektor yang teregulasi ketat, purple teaming dan pengujian berbasis intelijen sudah diformalkan menjadi kerangka wajib. TIBER-EU, kerangka dari European Central Bank, mengatur red-teaming etis berbasis threat intelligence yang mengoordinasikan otoritas, entitas yang diuji, penyedia intelijen, dan tim penguji untuk menguji ketahanan siber melalui serangan terkontrol yang meniru taktik penyerang nyata.[16]
Di Inggris, CBEST dari Bank of England menjalankan peran serupa sebagai kerangka threat-led penetration testing yang mengatur pengumpulan intelijen ancaman, eksekusi red team, dan penilaian tim bertahan bagi institusi keuangan yang penting secara sistemik.[17] Kedua kerangka ini menunjukkan arah yang lebih luas: pengujian keamanan bergeser dari latihan sukarela menjadi kewajiban terstruktur, terutama di sektor keuangan.
Yang membedakan pendekatan berbasis intelijen ini dari pentest biasa adalah titik beratnya. Alih-alih mengejar sebanyak mungkin kerentanan, latihan dibangun di sekitar skenario ancaman yang realistis bagi entitas tertentu, lalu menilai bukan hanya apakah pertahanan bisa ditembus, tetapi apakah tim bertahan bisa melihat dan merespons. Inilah semangat yang sama dengan purple team, hanya dalam bingkai regulasi yang mengikat.
Konteks Regulasi Indonesia
Di Indonesia, arah yang sama mulai terlihat. Otoritas Jasa Keuangan melalui POJK Nomor 11/POJK.03/2022 mewajibkan bank umum menyelenggarakan teknologi informasi secara aman dan melakukan pengawasan atas sistem informasi serta keamanan siber.[21] Ketentuan teknis yang lebih rinci umumnya diatur dalam surat edaran turunannya, sehingga institusi keuangan perlu memeriksa ketentuan spesifik yang berlaku bagi mereka.
Di tingkat nasional, Badan Siber dan Sandi Negara (BSSN) adalah lembaga pemerintah yang bertanggung jawab di bidang keamanan siber dan sandi.[22] Ketika latihan keamanan menyentuh data pengguna, kewajiban perlindungannya tunduk pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.[20] Bagi organisasi Indonesia, purple team bukan sekadar praktik yang baik, melainkan cara konkret untuk memenuhi tuntutan pengawasan keamanan siber yang makin eksplisit dalam regulasi.
Menjalankan Purple Team yang Efektif
Beberapa prinsip membedakan latihan yang mengubah pertahanan dari yang sekadar menghabiskan anggaran. Mulai dari ancaman yang relevan, bukan daftar teknik acak; profil ancaman organisasi menentukan adversary mana yang layak diemulasi. Catat setiap hasil, karena latihan yang tidak terdokumentasi tidak bisa menunjukkan perbaikan. Perlakukan setiap kelemahan deteksi sebagai item perbaikan dengan pemilik dan tenggat, bukan catatan pasif.
Yang tidak kalah penting, jaga agar latihan berulang. Nilai purple team justru terletak pada pengulangan: menjalankan kembali teknik yang sebelumnya lolos untuk memverifikasi bahwa deteksi baru benar-benar bekerja, lalu memperluas cakupan ke teknik berikutnya. Sekali jalan menghasilkan foto sesaat; pengulangan menghasilkan lintasan.
Kejelasan peran juga menentukan. Red team bertanggung jawab menjalankan teknik secara terkendali dan mendokumentasikan persis apa yang dilakukan; blue team memegang konsol deteksi dan menilai hasilnya; sementara intelijen ancaman memilih adversary yang relevan agar latihan tidak menguji hal yang tidak mungkin dihadapi organisasi. Dalam tim yang lebih kecil, satu orang bisa memegang lebih dari satu peran, tetapi pemisahan tanggung jawab tetap penting agar setiap teknik dinilai jujur, bukan diloloskan karena orang yang sama menjalankan sekaligus menilainya.
Soal kadensi, tidak ada jawaban tunggal. Sebagian organisasi menjalankan latihan fokus setiap bulan pada segelintir teknik, sebagian lain menjadwalkan latihan besar tiap kuartal. Yang penting bukan frekuensinya, melainkan konsistensinya: latihan yang dijalankan teratur dan tercatat memberi tren yang bisa dibaca, sedangkan latihan sesekali hanya menghasilkan potret yang cepat usang.
Kesimpulan
Purple team bukan sekadar red team dan blue team yang duduk di ruang yang sama. Ia adalah pergeseran pola pikir dari kompetisi menjadi kolaborasi, dari skor sekali jalan menjadi peningkatan deteksi yang berkelanjutan, dan dari laporan yang masuk laci menjadi aturan deteksi yang hidup di dalam sistem. MITRE ATT&CK memberi bahasanya, perkakas seperti Atomic Red Team, Caldera, dan VECTR memberi mekaniknya, dan detection engineering berbasis Sigma membuat hasilnya bertahan.
Bagi organisasi yang ingin tahu bukan hanya apakah mereka bisa ditembus, melainkan apakah mereka bisa melihat ketika seseorang mencoba, purple team menawarkan jawaban yang bisa diukur dan diperbaiki dari waktu ke waktu. Pertanyaannya bergeser dari "seberapa kuat tembok kami" menjadi "seberapa cepat kami tahu ketika seseorang memanjatnya".
Jika Anda ingin menjalankan purple team exercise untuk mengukur dan meningkatkan kemampuan deteksi organisasi Anda, tim Security Squad LOGIQUE siap membantu.
Daftar Referensi
[1] NIST / CNSSI 4009-2022. "red team." Computer Security Resource Center Glossary. https://csrc.nist.gov/glossary/term/red_team
[2] NIST / CNSSI 4009-2022. "blue team." Computer Security Resource Center Glossary. https://csrc.nist.gov/glossary/term/blue_team
[3] MITRE. "MITRE ATT&CK." https://attack.mitre.org/
[4] MITRE. "D3FEND." https://d3fend.mitre.org/
[5] MITRE. "ATT&CK Evaluations." https://evals.mitre.org/
[6] Red Canary. "atomic-red-team." GitHub repository. https://github.com/redcanaryco/atomic-red-team
[7] MITRE / Apache Software Foundation. "Caldera - Automated Adversary Emulation Platform." https://github.com/mitre/caldera
[8] Prelude Security. "Prelude." https://www.preludesecurity.com/
[9] Security Risk Advisors. "VECTR." GitHub repository. https://github.com/SecurityRiskAdvisors/VECTR
[10] SigmaHQ. "sigma - Main Sigma Rule Repository." GitHub repository. https://github.com/SigmaHQ/sigma
[11] Dale, Chris. "Red, Blue and Purple Teams: Combining Your Security Capabilities for the Best Outcome." SANS Institute. https://www.sans.org/white-papers/39190
[12] Van Buggenhout, Erik. "Purple Concepts: Bridging The Gap." SANS Institute poster. https://www.sans.org/posters/purple-concepts-bridging-the-gap
[13] SANS Institute. "SEC699: Advanced Purple Teaming - Adversary Emulation and Detection Engineering." https://www.sans.org/cyber-security-courses/purple-team-tactics-adversary-emulation
[14] SCYTHE. "Purple Team Exercise Framework (PTEF)." GitHub repository. https://github.com/scythe-io/purple-team-exercise-framework
[15] SCYTHE. "Purple Team Exercise Framework." https://scythe.io/ptef
[16] European Central Bank. "TIBER-EU: Threat Intelligence-based Ethical Red Teaming." https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html
[17] Bank of England. "CBEST Threat Intelligence-Led Assessments - Implementation Guide." https://www.bankofengland.co.uk/financial-stability/operational-resilience-of-the-financial-sector/cbest-threat-intelligence-led-assessments-implementation-guide
[18] Lang, Jason. "Assumed Breach: The Evolution of Offensive Security Testing." TrustedSec. https://trustedsec.com/blog/assumed-breach-the-evolution-of-offensive-security-testing
[19] Raza, Muhammad. "What Is MTTD? The Mean Time to Detect Metric, Explained." Splunk. https://www.splunk.com/en_us/blog/learn/mean-time-to-detect-mttd.html
[20] Republik Indonesia. "Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi." https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022
[21] Otoritas Jasa Keuangan. "POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum." https://peraturan.bpk.go.id/Details/227376
[22] Badan Siber dan Sandi Negara. Situs Web Resmi. https://www.bssn.go.id/
