Dalam dunia cybersecurity, mengandalkan sistem keamanan yang sudah terpasang saja belum tentu cukup. Organisasi perlu memastikan bahwa sistem tersebut benar-benar mampu mendeteksi, mencegah, dan merespons berbagai teknik serangan yang mungkin digunakan oleh penyerang.

Salah satu pendekatan yang dapat digunakan untuk menguji sekaligus meningkatkan kemampuan tersebut adalah Purple Team.

Purple Team menggabungkan kemampuan ofensif dari Red Team dan kemampuan defensif dari Blue Team dalam sebuah proses kolaboratif. Red Team berperan mensimulasikan perilaku penyerang, sedangkan Blue Team memantau, mendeteksi, dan merespons aktivitas tersebut. Keduanya kemudian bekerja sama untuk menemukan celah dan meningkatkan kemampuan pertahanan.

Pendekatan ini membuat pengujian keamanan tidak berhenti pada pertanyaan “apakah serangan berhasil?”, tetapi juga melihat apakah serangan tersebut terdeteksi, bagaimana sistem merespons, dan apa yang perlu diperbaiki setelah pengujian.

Apa Itu Purple Team?

Purple Team adalah pendekatan cybersecurity yang menggabungkan Red Team dan Blue Team untuk menguji serta meningkatkan kemampuan pertahanan terhadap serangan siber. Red Team melakukan simulasi serangan, sedangkan Blue Team bertugas mendeteksi, menganalisis, dan merespons aktivitas tersebut.

Purple Team tidak selalu berarti adanya tim ketiga yang berdiri sendiri, tetapi lebih mengacu pada kolaborasi antara tim ofensif dan defensif. Hasil simulasi digunakan untuk mengetahui apakah serangan berhasil dideteksi, apakah sistem keamanan bekerja dengan baik, dan apakah terdapat celah dalam proses respons.

Dengan pendekatan ini, organisasi dapat menemukan kelemahan keamanan sekaligus memperbaiki detection rule, monitoring, dan mekanisme respons agar pertahanan terhadap serangan siber menjadi lebih kuat.

Mengapa Disebut Purple Team?

Istilah Purple Team berasal dari penggabungan konsep: Red Team + Blue Team = Purple Team Red Team biasanya diasosiasikan dengan pihak ofensif yang melakukan simulasi serangan, sedangkan Blue Team berfokus pada pertahanan.

Ketika kedua fungsi tersebut bekerja secara erat untuk saling memberikan informasi dan meningkatkan pertahanan, pendekatan tersebut disebut Purple Team. Namun, warna “purple” tidak berarti harus ada satu tim khusus yang seluruh anggotanya memiliki peran baru. Dalam banyak implementasi, Purple Team lebih tepat dipahami sebagai metodologi atau model kolaborasi.

Peran Red Team dalam Purple Team

Red Team bertugas melihat sistem dari sudut pandang penyerang. NIST mendefinisikan Red Team sebagai kelompok yang diberi wewenang untuk meniru kemampuan serangan atau eksploitasi adversary terhadap security posture suatu organisasi. Dalam Purple Team, Red Team dapat melakukan simulasi berbagai teknik serangan yang telah disepakati dalam ruang lingkup pengujian. Aktivitasnya dapat mencakup:

Simulasi initial access.
Simulasi credential abuse.
Pengujian privilege escalation.
Pengujian discovery.
Simulasi lateral movement.
Pengujian persistence.
Simulasi command and control.
Pengujian teknik evasion.
Simulasi aktivitas pasca-kompromi.

Pengujian harus dilakukan secara terkontrol dan berdasarkan aturan yang telah disepakati agar tidak mengganggu operasional organisasi.

Peran Blue Team dalam Purple Team

Blue Team merupakan pihak yang bertanggung jawab terhadap pertahanan sistem.

Menurut NIST, Blue Team bertugas mempertahankan security posture organisasi terhadap serangan simulasi dan melakukan aktivitas seperti identifikasi ancaman, evaluasi kondisi keamanan, serta pemberian rekomendasi mitigasi. Dalam Purple Team, Blue Team biasanya berfokus pada:

Monitoring aktivitas.
Mengumpulkan telemetry.
Menganalisis log.
Mendeteksi aktivitas mencurigakan.
Membuat dan mengoptimalkan detection rule.
Melakukan threat hunting.
Menangani alert.
Menguji playbook respons.
Mengevaluasi hasil pengujian.

Dengan demikian, Blue Team tidak hanya menunggu hasil akhir dari pengujian Red Team. Tim defensif ikut terlibat untuk mengetahui apakah sistem keamanan benar-benar mampu melihat dan merespons aktivitas yang disimulasikan.

Bagaimana Cara Kerja Purple Team?

Purple Team umumnya menggunakan proses yang bersifat iteratif. Artinya, pengujian dilakukan, hasilnya dianalisis, pertahanan diperbaiki, kemudian pengujian dilakukan kembali untuk memastikan perbaikannya efektif.

Alur sederhananya:
Tentukan tujuan → Pilih teknik serangan → Red Team melakukan simulasi → Blue Team mendeteksi → Analisis hasil → Perbaiki pertahanan → Uji kembali

Sebagai contoh, organisasi ingin mengetahui apakah sistem keamanan mampu mendeteksi aktivitas tertentu. Red Team melakukan simulasi teknik tersebut. Pada saat yang sama, Blue Team memantau telemetry dari endpoint, jaringan, aplikasi, atau sistem keamanan. Jika aktivitas tidak terdeteksi, kedua tim mencari penyebabnya. Kemungkinan penyebabnya antara lain:

Log belum tersedia.
Sensor belum dikonfigurasi.
Detection rule belum dibuat.
Alert memiliki threshold yang tidak tepat.
Telemetry tidak cukup.
Alert muncul tetapi tidak ditindaklanjuti.
Tim SOC belum memiliki prosedur respons yang sesuai.

Setelah masalah ditemukan, Blue Team dapat melakukan perbaikan. Red Team kemudian menjalankan kembali skenario untuk memastikan apakah perbaikan tersebut berhasil.

Tahapan Purple Team

Implementasi Purple Team dilakukan secara bertahap agar proses pengujian keamanan berjalan terarah. Setiap tahap memiliki tujuan untuk mengetahui kemampuan deteksi dan respons organisasi terhadap aktivitas serangan.

1. Menentukan Tujuan Pengujian

Tahap pertama adalah menentukan tujuan pengujian. Tim perlu menetapkan kemampuan keamanan apa yang ingin dievaluasi, seperti deteksi SOC, efektivitas EDR dan SIEM, detection rule, threat hunting, atau incident response. Tujuan yang jelas membantu tim menentukan pengujian yang sesuai.

2. Menentukan Scope

Selanjutnya, tim menentukan scope atau ruang lingkup pengujian. Scope dapat mencakup server, endpoint, jaringan, aplikasi, akun, atau lingkungan tertentu. Penentuan ini penting agar aktivitas pengujian tetap terkendali dan tidak mengganggu sistem yang berada di luar target.

3. Menentukan Skenario Ancaman

Tim kemudian menentukan skenario serangan yang relevan dengan kondisi organisasi. Pemilihannya dapat mempertimbangkan jenis infrastruktur, data yang dilindungi, threat intelligence, serta ancaman yang berpotensi dihadapi. MITRE ATT&CK juga dapat digunakan sebagai referensi untuk memetakan perilaku adversary.

4. Menentukan Teknik yang Akan Diuji

Setelah skenario ditentukan, tim memilih teknik serangan yang akan diuji. Pengujian dapat mencakup berbagai aktivitas seperti initial access, execution, persistence, privilege escalation, credential access, discovery, lateral movement, hingga command and control. Pemilihan teknik sebaiknya disesuaikan dengan risiko dan kebutuhan organisasi.

5. Melakukan Simulasi

Pada tahap ini, Red Team menjalankan aktivitas simulasi sesuai skenario yang telah disepakati. Dalam pendekatan Purple Team, aktivitas tersebut dilakukan dengan koordinasi yang memungkinkan Blue Team mengamati proses pengujian dan memahami teknik yang sedang digunakan.

6. Melakukan Deteksi

Ketika simulasi berlangsung, Blue Team memantau aktivitas melalui berbagai sumber telemetry, seperti endpoint, server, firewall, jaringan, DNS, SIEM, dan EDR. Tim kemudian memeriksa apakah aktivitas yang dilakukan menghasilkan event atau alert yang sesuai.

7. Menganalisis Detection Gap

Jika aktivitas serangan tidak terdeteksi, tim melakukan analisis untuk mencari penyebabnya. Detection gap dapat terjadi karena kurangnya telemetry, konfigurasi monitoring yang belum tepat, atau belum tersedianya detection rule. Temuan ini menjadi dasar untuk meningkatkan kemampuan deteksi.

8. Melakukan Perbaikan

Setelah kelemahan ditemukan, tim melakukan perbaikan pada sistem keamanan. Perbaikan dapat berupa penambahan sumber log, penyempurnaan konfigurasi EDR, pembuatan detection rule, penyesuaian alert, atau pembaruan prosedur incident response.

9. Melakukan Pengujian Ulang

Tahap terakhir adalah melakukan pengujian ulang untuk memastikan perbaikan sudah efektif. Red Team dapat menjalankan kembali teknik yang sama dan Blue Team memeriksa hasil deteksinya. Jika aktivitas yang sebelumnya tidak terdeteksi kini berhasil menghasilkan alert, berarti kemampuan pertahanan telah mengalami peningkatan.

Contoh Sederhana Purple Team

Misalnya sebuah perusahaan ingin menguji kemampuan SOC dalam mendeteksi aktivitas mencurigakan pada endpoint. Red Team melakukan simulasi teknik adversary yang telah disepakati. Blue Team kemudian memantau:

Aktivitas proses.
Event pada endpoint.
Log authentication.
Network traffic.
Alert EDR.
Event pada SIEM.

Hasil pengujian menunjukkan bahwa aktivitas tersebut berhasil dilakukan, tetapi tidak menghasilkan alert.

Tim kemudian mencari penyebabnya. Setelah dianalisis, ternyata telemetry tertentu sudah tersedia, tetapi belum ada detection rule yang menghubungkan pola aktivitas tersebut dengan indikasi ancaman. Blue Team kemudian membuat atau memperbaiki mekanisme deteksi.

Setelah itu, Red Team melakukan pengujian ulang. Jika aktivitas yang sama sekarang berhasil terdeteksi, tim telah memperoleh hasil yang lebih konkret mengenai peningkatan kemampuan pertahanan.

Purple Team dan MITRE ATT&CK

MITRE ATT&CK merupakan salah satu framework yang sering digunakan dalam aktivitas Purple Team. ATT&CK menyediakan pengetahuan mengenai teknik dan perilaku adversary sehingga tim keamanan memiliki bahasa yang lebih terstruktur untuk membahas aktivitas serangan. Dalam konteks Purple Team, ATT&CK dapat membantu:

Memilih teknik yang akan diuji.
Memetakan aktivitas Red Team.
Menentukan detection yang dibutuhkan.
Mengidentifikasi detection gap.
Mengukur coverage.
Menghubungkan threat intelligence dengan aktivitas pengujian.

MITRE juga menyediakan Adversary Emulation Plans yang dapat digunakan untuk membantu organisasi menguji lingkungan dan pertahanan berdasarkan perilaku adversary tertentu. Dengan pendekatan berbasis ATT&CK, pengujian tidak hanya berfokus pada penggunaan tools tertentu, tetapi juga pada perilaku atau teknik yang dilakukan oleh adversary.

Apa Tujuan Purple Team?

Tujuan utama Purple Team adalah meningkatkan kemampuan pertahanan organisasi melalui kolaborasi langsung antara fungsi ofensif dan defensif. Beberapa tujuan lainnya meliputi:

Menguji Kemampuan Deteksi
Organisasi dapat mengetahui apakah aktivitas serangan tertentu benar-benar dapat terdeteksi.

Menemukan Detection Gap
Purple Team membantu menemukan teknik yang belum memiliki mekanisme deteksi memadai.

Meningkatkan Detection Engineering
Hasil pengujian dapat digunakan untuk membuat atau memperbaiki detection rule.

Meningkatkan Threat Hunting
Data hasil simulasi dapat digunakan sebagai bahan untuk mengembangkan hipotesis threat hunting.

Menguji Incident Response
Pengujian juga dapat digunakan untuk melihat apakah tim mampu merespons alert dan insiden secara tepat.

Meningkatkan Kolaborasi
Red Team dan Blue Team tidak bekerja sebagai dua pihak yang terpisah. Keduanya saling memberikan informasi untuk mencapai tujuan keamanan yang sama.

Mengukur Efektivitas Kontrol Keamanan
Purple Team membantu organisasi melihat apakah kontrol keamanan yang dimiliki benar-benar memberikan hasil yang diharapkan.

Manfaat Purple Team

Implementasi Purple Team dapat memberikan sejumlah manfaat bagi organisasi.

1. Meningkatkan Visibility

Organisasi dapat mengetahui aktivitas apa saja yang terlihat oleh sistem monitoring dan aktivitas apa yang masih tidak terlihat.

2. Memperbaiki Detection Rule

Detection rule dapat diperbaiki berdasarkan hasil pengujian nyata, bukan hanya berdasarkan asumsi.

3. Mempercepat Feedback

Dalam pengujian yang kolaboratif, Red Team dapat langsung memberikan konteks mengenai aktivitas yang dilakukan sehingga Blue Team dapat lebih cepat melakukan analisis.

4. Meningkatkan Kemampuan SOC

SOC dapat memperoleh pengalaman menghadapi berbagai pola aktivitas adversary secara terkontrol.

5. Mengurangi Detection Gap

Setiap aktivitas yang tidak terdeteksi dapat menjadi bahan evaluasi untuk memperbaiki sistem keamanan.

6. Membantu Prioritas Perbaikan

Organisasi dapat menentukan kontrol keamanan mana yang perlu diperbaiki terlebih dahulu berdasarkan hasil pengujian.

Perbedaan Red Team, Blue Team, dan Purple Team

Ketiga pendekatan tersebut memiliki fokus yang berbeda.

Aspek	Red Team	Blue Team	Purple Team
Fokus	Simulasi serangan	Pertahanan	Kolaborasi serangan dan pertahanan
Peran utama	Meniru adversary	Mendeteksi dan merespons	Menguji dan meningkatkan pertahanan
Sudut pandang	Ofensif	Defensif	Ofensif + defensif
Aktivitas	Attack simulation	Monitoring dan response	Simulasi, deteksi, evaluasi, perbaikan
Kolaborasi	Tidak selalu terbuka	Tidak selalu bekerja langsung dengan Red Team	Sangat erat
Tujuan	Menguji security posture	Melindungi sistem	Meningkatkan efektivitas pertahanan
Feedback	Biasanya diberikan setelah pengujian	Menganalisis hasil	Berlangsung secara iteratif
ATT&CK	Dapat digunakan untuk adversary emulation	Dapat digunakan untuk detection	Dapat digunakan sebagai bahasa bersama

Purple Team vs Red Team

Purple Team dan Red Team bukanlah hal yang sama. Red Team lebih berfokus pada simulasi serangan dari sudut pandang adversary. Dalam pengujian tertentu, Red Team bahkan dapat bekerja tanpa memberikan informasi detail kepada Blue Team agar pengujian lebih realistis. Sementara itu, Purple Team menekankan kolaborasi dan feedback antara pihak ofensif dan defensif.

Red Team	Purple Team
Berfokus pada simulasi adversary	Berfokus pada kolaborasi ofensif dan defensif
Dapat merahasiakan aktivitas dari Blue Team	Aktivitas umumnya diketahui atau dibagikan secara terkontrol
Menguji kemampuan pertahanan	Menguji sekaligus memperbaiki kemampuan pertahanan
Hasil dapat dievaluasi setelah operasi	Feedback dapat diberikan selama proses
Cocok untuk adversary emulation dan security assessment	Cocok untuk peningkatan detection dan response secara iteratif

Purple Team vs Blue Team

Blue Team berfokus pada pertahanan, sedangkan Purple Team menggunakan aktivitas ofensif dan defensif secara bersamaan. Blue Team dapat mengetahui bahwa sebuah sistem memiliki detection rule tertentu. Namun, Purple Team membantu menjawab pertanyaan yang lebih praktis:

Apakah detection rule tersebut benar-benar bekerja ketika teknik serangan yang sesuai dijalankan?

Blue Team	Purple Team
Fokus pada pertahanan	Fokus pada pengujian dan peningkatan pertahanan
Monitoring	Monitoring + simulasi
Detection	Detection + validation
Incident response	Response testing + improvement
Threat hunting	Threat hunting berdasarkan hasil simulasi
Defensive operation	Kolaborasi ofensif dan defensif

Purple Team vs Penetration Testing

Purple Team juga berbeda dengan penetration testing. Penetration testing biasanya bertujuan mengidentifikasi dan membuktikan adanya kerentanan yang dapat dieksploitasi pada sistem tertentu. Purple Team memiliki fokus yang lebih luas pada validasi dan peningkatan kemampuan pertahanan, terutama deteksi dan respons terhadap perilaku adversary.

Aspek	Penetration Testing	Purple Team
Fokus	Menemukan dan memvalidasi kerentanan	Meningkatkan pertahanan
Orientasi	Vulnerability dan exploitability	Detection, response, dan adversary behavior
Red Team	Dapat digunakan	Menjadi bagian dari pendekatan
Blue Team	Tidak selalu terlibat langsung	Terlibat secara aktif
Pengujian deteksi	Bukan fokus utama	Salah satu fokus utama
Iterasi	Bergantung pada engagement	Sangat umum dilakukan

Keduanya dapat saling melengkapi. Hasil penetration testing dapat membantu menentukan area yang perlu diuji lebih lanjut melalui Purple Team.

Teknologi yang Dapat Digunakan dalam Purple Team

Purple Team tidak bergantung pada satu produk tertentu. Teknologi yang digunakan dapat disesuaikan dengan kebutuhan organisasi. Beberapa kategori teknologi yang umum terlibat antara lain:

SIEM

SIEM digunakan untuk mengumpulkan dan menganalisis log dari berbagai sumber serta membantu menghasilkan alert berdasarkan pola tertentu.

EDR

EDR memberikan visibility terhadap aktivitas endpoint dan dapat membantu mendeteksi perilaku mencurigakan.

NDR

NDR dapat membantu memberikan visibility terhadap aktivitas jaringan.

SOAR

SOAR dapat digunakan untuk mengotomatisasi proses tertentu dalam investigasi dan respons.

Threat Intelligence

Threat intelligence dapat membantu menentukan teknik atau perilaku adversary yang relevan untuk diuji.

MITRE ATT&CK

ATT&CK dapat digunakan untuk memetakan teknik adversary, menyusun skenario pengujian, serta menghubungkan aktivitas serangan dengan kebutuhan deteksi.

Tantangan dalam Implementasi Purple Team

Walaupun memiliki banyak manfaat, implementasi Purple Team juga memiliki sejumlah tantangan.

1. Kurangnya Kolaborasi

Purple Team membutuhkan komunikasi yang baik antara tim ofensif dan defensif. Jika masing-masing tim bekerja sendiri-sendiri, manfaat kolaborasi menjadi lebih kecil.

2. Keterbatasan Telemetry

Detection yang baik membutuhkan data yang memadai. Jika organisasi tidak memiliki visibility yang cukup, beberapa aktivitas mungkin sulit dideteksi.

3. Banyaknya Teknik yang Harus Diuji

MITRE ATT&CK memiliki banyak teknik dan subteknik. Organisasi tidak harus menguji semuanya sekaligus. Pengujian sebaiknya diprioritaskan berdasarkan risiko dan relevansinya terhadap lingkungan organisasi.

4. False Positive

Penambahan detection rule tanpa tuning yang tepat dapat meningkatkan jumlah false positive. Karena itu, perbaikan detection harus mempertimbangkan akurasi dan kemampuan SOC dalam menindaklanjuti alert.

5. Risiko terhadap Sistem Produksi

Aktivitas simulasi serangan harus direncanakan dengan baik. Pengujian yang tidak terkontrol dapat mengganggu sistem produksi.

6. Kurangnya Dokumentasi

Setiap pengujian sebaiknya memiliki dokumentasi mengenai teknik yang diuji, hasil deteksi, gap yang ditemukan, tindakan perbaikan, dan hasil validasi ulang.

Praktik Terbaik dalam Purple Team

Agar Purple Team memberikan hasil yang optimal, organisasi dapat menerapkan beberapa praktik berikut.

Tentukan Tujuan yang Terukur

Jangan hanya menetapkan tujuan seperti “menguji keamanan”. Buat tujuan yang lebih jelas, misalnya: Menguji apakah SOC mampu mendeteksi teknik adversary tertentu dalam lingkungan endpoint.

Gunakan Skenario yang Relevan

Pilih teknik yang berkaitan dengan threat landscape dan aset organisasi.

Gunakan ATT&CK sebagai Referensi

ATT&CK dapat membantu menyusun bahasa dan pemetaan teknik yang lebih konsisten antara tim ofensif dan defensif.

Dokumentasikan Detection Gap

Setiap aktivitas yang tidak terdeteksi perlu dicatat agar dapat ditindaklanjuti.

Lakukan Retest

Perbaikan belum dapat dianggap efektif hanya karena detection rule sudah dibuat. Lakukan pengujian ulang untuk memastikan bahwa perubahan tersebut benar-benar meningkatkan kemampuan deteksi.

Ukur Hasil

Hasil Purple Team sebaiknya dapat diukur, misalnya melalui:

Teknik yang berhasil dideteksi.
Teknik yang tidak terdeteksi.
Jumlah detection gap.
Waktu deteksi.
Waktu respons.
Jumlah detection rule yang diperbaiki.
Jumlah teknik yang berhasil divalidasi ulang.

Apakah Purple Team Cocok untuk Semua Organisasi?

Purple Team dapat memberikan manfaat bagi berbagai organisasi yang ingin meningkatkan kemampuan cybersecurity, tetapi skala implementasinya dapat berbeda.

Organisasi besar dengan SOC internal mungkin memiliki Red Team dan Blue Team sendiri. Sementara itu, organisasi yang lebih kecil dapat melakukan pendekatan yang lebih sederhana dengan melibatkan tim security internal dan pihak eksternal. Hal yang paling penting bukan ukuran tim, melainkan adanya:

Tujuan pengujian yang jelas.
Scope yang terkontrol.
Skenario yang relevan.
Data telemetry yang memadai.
Kemampuan melakukan deteksi.
Proses evaluasi.
Tindak lanjut terhadap temuan.

Kesimpulan

Purple Team adalah pendekatan cybersecurity yang menggabungkan aktivitas ofensif Red Team dan defensif Blue Team untuk menguji serta meningkatkan kemampuan keamanan organisasi. Pendekatan ini menekankan kolaborasi, feedback, validasi detection, dan perbaikan pertahanan secara berulang.

Berbeda dengan Red Team yang berfokus pada simulasi adversary atau Blue Team yang berfokus pada pertahanan, Purple Team mempertemukan kedua fungsi tersebut agar organisasi dapat mengetahui apakah aktivitas serangan benar-benar terlihat, terdeteksi, dan dapat direspons dengan baik.

Penggunaan MITRE ATT&CK dapat membantu Purple Team memetakan teknik adversary, menyusun skenario pengujian, serta menghubungkan hasil simulasi dengan kebutuhan detection dan threat hunting.

Pada akhirnya, nilai utama Purple Team bukan sekadar berhasil atau tidaknya sebuah simulasi serangan. Yang lebih penting adalah seberapa banyak organisasi belajar dari pengujian tersebut dan seberapa baik hasilnya digunakan untuk memperkuat sistem pertahanan.

Dengan pendekatan yang terstruktur dan dilakukan secara berkala, Purple Team dapat membantu organisasi menemukan detection gap, meningkatkan kemampuan SOC, memperbaiki security control, serta membangun pertahanan yang lebih siap menghadapi teknik serangan yang terus berkembang.

Untuk mendapatkan informasi lain mengenai cybersecurity, teknologi, website, hosting, cloud, dan perkembangan digital, kunjungi Blog Hosteko sebagai sumber informasi teknologi yang informatif dan mudah dipahami.