Pengertian Red Team, Blue Team, dan Purple Team

Red team adalah kelompok yang diberi wewenang untuk meniru kemampuan serangan lawan terhadap sebuah organisasi, sedangkan blue team bertugas mempertahankannya, dan purple team menyatukan keduanya agar pelajaran dari simulasi langsung menjadi pertahanan yang lebih baik. Memahami ketiganya membantu Anda menilai peran, jalur karier, dan jenis latihan keamanan mana yang dibutuhkan organisasi.

Apa Itu Red Team?

Glosarium NIST, yang mengutip CNSSI 4009, mendefinisikan red team sebagai sekelompok orang yang diberi wewenang dan diorganisasi untuk meniru kemampuan serangan atau eksploitasi lawan potensial terhadap postur keamanan sebuah perusahaan. Tujuannya meningkatkan keamanan siber dengan menunjukkan dampak serangan yang berhasil dan apa yang efektif bagi pembela di lingkungan operasional.

Perbedaan penting dengan penetration testing biasa terletak pada tujuan dan lingkup. Pentest umumnya mencari sebanyak mungkin kelemahan pada target tertentu dalam waktu terbatas. Red team biasanya mengejar sasaran tertentu, misalnya menjangkau data penting, sambil menguji seberapa baik pertahanan mendeteksi dan merespons. Hal itu dapat melibatkan teknik teknis, rekayasa sosial, atau bahkan aspek fisik, selalu dengan persetujuan tertulis dan aturan main yang jelas. Dasar pentest dibahas di apa itu penetration testing.

Apa Itu Blue Team?

Glosarium NIST mendefinisikan blue team sebagai kelompok yang bertanggung jawab mempertahankan penggunaan sistem informasi sebuah perusahaan dengan menjaga postur keamanannya terhadap penyerang tiruan (red team), sering kali dalam jangka panjang, dalam konteks operasional yang realistis, di bawah aturan yang diawasi tim netral yang disebut white team.

Dalam praktik, tugas blue team mencakup:

• memantau log dan peringatan keamanan, termasuk melalui Security Operations Center (SOC);
• memperkeras konfigurasi sistem dan menambal kerentanan;
• membuat dan menyetel aturan deteksi;
• menangani insiden dan memulihkan layanan, sebagaimana dijelaskan dalam incident response: tahapan menangani insiden keamanan.

Apa Itu Purple Team?

Purple team bukan selalu tim tersendiri. Istilah ini umumnya dipahami sebagai cara kerja sama di mana red team dan blue team berbagi informasi secara langsung selama latihan. Pada model klasik, red team baru menyerahkan temuannya setelah pengujian selesai, sehingga blue team menerima daftar panjang untuk dikejar. Pada latihan purple team, blue team mengetahui kapan dan teknik apa yang sedang diuji, sehingga mereka dapat langsung memeriksa apakah serangan itu terdeteksi, menyetel aturan deteksi, lalu mengulang pengujian untuk memastikan perbaikannya bekerja.

Latihan seperti ini kerap dipetakan ke kerangka MITRE ATT&CK, pangkalan pengetahuan taktik dan teknik lawan yang berbasis pengamatan dunia nyata dan bebas dipakai siapa pun. Pembahasannya ada di MITRE ATT&CK: pengertian dan cara menggunakannya.

Perbandingan Red, Blue, dan Purple Team

• Red team: sudut pandang penyerang, mengukur seberapa jauh pertahanan dapat ditembus, dan hasilnya berupa skenario serangan terbukti.
• Blue team: sudut pandang pembela, bertugas deteksi, respons, dan pemulihan, dan hasilnya berupa pertahanan yang lebih matang.
• Purple team: sudut pandang bersama, mempercepat pembelajaran dengan menghubungkan temuan red team langsung ke perbaikan blue team.
• White team: pengawas netral yang menetapkan dan menjaga aturan latihan.

Skill yang Dibutuhkan

Untuk red team

Pemahaman mendalam tentang jaringan, sistem operasi, dan aplikasi, kemampuan scripting, pemahaman tentang bagaimana penyerang berpikir, serta kemampuan menulis laporan yang jelas. Tak kalah penting adalah etika: kewajiban mematuhi batas wewenang dan menjaga kerahasiaan temuan.

Untuk blue team

Analisis log, pemahaman SIEM dan endpoint security, penanganan insiden, hardening sistem, dan ketelitian dalam investigasi. Karier yang sering dimulai dari sini dijelaskan di cara menjadi SOC analyst.

Aspek Hukum dan Etika

Seluruh kegiatan red team sah hanya bila ada wewenang tertulis dari pemilik sistem, yang menyebut ruang lingkup, jadwal, teknik yang diperbolehkan, dan batasan, termasuk untuk rekayasa sosial terhadap karyawan. Tanpa itu, kegiatan serupa dapat berurusan dengan Pasal 332 KUHP yang melarang akses ke sistem elektronik milik orang lain tanpa hak. Aturan main yang jelas juga melindungi pihak yang diuji agar layanan penting tidak terganggu.

Bagaimana Hasil Latihan Diukur?

Nilai latihan red, blue, atau purple team terletak pada perubahan yang terukur, bukan sekadar cerita seru. Ukuran yang lazim dipakai antara lain:

• berapa lama serangan simulasi baru terdeteksi, dan berapa lama sampai direspons;
• berapa banyak teknik yang tertangkap oleh aturan deteksi yang ada, dan berapa yang lolos;
• aturan deteksi atau prosedur baru yang dibuat setelah latihan;
• apakah pengujian ulang pada teknik yang sama kini terdeteksi.

Hasil yang baik berupa daftar perbaikan yang ditindaklanjuti dan diuji ulang. Bila laporan latihan hanya disimpan tanpa tindak lanjut, nilainya hilang, serupa dengan laporan pentest yang tidak pernah dikerjakan.

Pertanyaan yang Sering Diajukan

Apa perbedaan red team dan penetration tester?

Pentester menguji target tertentu untuk menemukan sebanyak mungkin kelemahan. Red team meniru lawan yang bertujuan tertentu dan menguji sekaligus kemampuan deteksi dan respons organisasi. Keduanya bisa dilakukan oleh orang yang sama dengan tujuan berbeda.

Apakah purple team harus tim yang terpisah?

Tidak. Purple team lebih tepat dipahami sebagai pendekatan atau latihan kolaboratif. Banyak organisasi menjalankannya dengan mempertemukan anggota red dan blue team tanpa membentuk unit baru.

Mana yang lebih cocok untuk pemula?

Keduanya membutuhkan fondasi jaringan, sistem operasi, dan keamanan dasar. Banyak orang memulai dari sisi blue team seperti SOC analyst, lalu beralih ke sisi ofensif setelah memahami cara pertahanan bekerja.

Apakah organisasi kecil perlu red team?

Umumnya belum. Organisasi kecil lebih terbantu oleh vulnerability assessment dan pentest berkala. Red team lebih bernilai ketika kemampuan deteksi dan respons sudah ada dan ingin diuji.

Kesimpulan

Red team menguji pertahanan, blue team menjalankannya, dan purple team memastikan pelajaran dari keduanya cepat berubah menjadi perbaikan. Jika organisasi Anda ingin melatih tim keamanan lewat simulasi terarah, Linuxhackingid menyediakan pelatihan untuk tim dan perusahaan.

Referensi: glosarium NIST: red team, glosarium NIST: blue team, dan MITRE ATT&CK.