Apa itu red teaming dan apa bedanya dengan pentest?

Seorang penyerang mengirim tiga email meyakinkan kepada staf di tim keuangan. Satu orang mengklik, dan sebuah laptop diam-diam mulai berkomunikasi dengan server yang dikendalikan penyerang. Selama dua minggu berikutnya, tidak ada yang dramatis terjadi. Penyusup memetakan jaringan, meminjam sekumpulan kredensial curian, berpindah dari laptop keuangan ke server berkas bersama, lalu menuju sistem yang menyimpan catatan pembayaran. Sepanjang waktu itu, pertanyaan yang penting bukan apakah sebuah firewall punya port terbuka. Melainkan apakah ada orang di dalam perusahaan yang menyadarinya. Sebuah engagement red team dibangun untuk menjawab persis hal itu.

Apa itu red teaming

Red teaming adalah latihan adversarial yang digerakkan tujuan, mensimulasikan penyerang nyata yang berusaha mencapai sasaran tertentu. Alih-alih mendaftar sistem yang akan diperiksa, Anda menetapkan tujuan, misalnya menjangkau basis data crown-jewel atau memperoleh hak domain administrator, dan red team mencari cara mencapainya seperti yang dilakukan penyerang sungguhan.

Bagian pentingnya adalah apa yang diuji. Engagement red team mengukur manusia, proses, dan teknologi secara bersamaan. Bisakah penyerang mengelabui seorang karyawan? Apakah perkakas keamanan memunculkan peringatan? Jika ya, apakah ada yang menindaklanjutinya, dan seberapa cepat? Latihan ini biasanya dijalankan dengan diam-diam, selama berminggu-minggu alih-alih berhari-hari, justru karena penyerang nyata tidak mengumumkan dirinya dan tidak terburu-buru. Keluarannya bukan hanya daftar kelemahan, melainkan gambaran jujur tentang apakah organisasi Anda akan mendeteksi dan menghentikan intrusi yang sedang berlangsung.

Red teaming vs penetration testing

Keduanya sering tertukar, dan bedanya penting saat Anda memutuskan apa yang akan dibeli. Penetration test adalah engagement yang dicakup untuk menemukan dan membuktikan kerentanan pada target yang ditentukan. Engagement red team adalah simulasi berbasis tujuan yang menguji deteksi dan respons lintas seluruh organisasi. Tabel di bawah menempatkannya berdampingan.

Tidak ada yang lebih baik; keduanya menjawab pertanyaan berbeda. Penetration test bertanya apa yang rusak dan memberi Anda daftar menyeluruh untuk diperbaiki. Red team bertanya apakah Anda akan menangkap penyerang nyata, sesuatu yang tidak bisa dijawab oleh pemindaian daftar periksa. Jika Anda ingin perbedaannya diuraikan lebih lengkap, panduan kami tentang vulnerability assessment vs penetration testing membahas pasangan terkait itu.

Blue team dan purple team

Jika red team memerankan penyerang, blue team memerankan pertahanan. Blue team adalah fungsi keamanan internal Anda, orang dan perkakas yang memantau sistem, mendeteksi aktivitas mencurigakan, dan merespons insiden sehari-hari. Dalam latihan red team, merekalah yang diuji, biasanya tanpa tahu ada latihan yang sedang berjalan.

Purple teaming adalah saat kedua sisi bekerja bersama. Ini belum tentu tim tetap yang terpisah; ini cara menjalankan engagement agar red team dan blue team berbagi informasi langsung. Setelah setiap tindakan penyerang, kedua sisi membandingkan catatan: red team menyebut apa yang ia lakukan, blue team menyebut apa yang ia lihat atau lewatkan, dan setiap celah menjadi perbaikan spesifik pada aturan deteksi atau langkah respons. Purple teaming mengubah temuan menjadi perbaikan lebih cepat daripada latihan yang murni tersembunyi, karena pembelajarannya terjadi di ruangan itu, bukan hanya di laporan berminggu-minggu kemudian.

Kapan red teaming masuk akal di Indonesia

Red teaming cocok untuk organisasi yang sudah punya sebagian kematangan keamanan. Jika Anda tidak punya pemantauan, tidak punya proses respons insiden, dan menumpuk sistem yang belum ditambal, red team hanya akan menegaskan apa yang sudah bisa disampaikan penetration test yang lebih murah. Uangnya lebih baik dipakai membangun dasar-dasar itu lebih dulu. Bagi sebagian besar perusahaan di Indonesia, itu berarti menjalankan program pentest yang solid dan menutup temuannya sebelum memesan red team.

Red teaming membayar biayanya di sektor teregulasi yang ingin menguji respons nyata mereka, bukan sekadar tingkat penambalan. Bank dan lembaga keuangan di bawah pengawasan OJK diharapkan menunjukkan bahwa mereka bisa mendeteksi dan merespons insiden, bukan hanya memindai kerentanan. Engagement red team menghasilkan bukti tentang kapabilitas respons itu dalam kondisi realistis. Catatan kami tentang persyaratan penetration testing untuk bank Indonesia di bawah POJK 11/2022 membahas pengujian dasar yang diharapkan regulator sebelum Anda sampai ke tahap itu.

Urutan jujurnya adalah pentest dulu, red team belakangan. Red team adalah latihan yang Anda jalankan begitu Anda punya pertahanan yang layak diuji.

Posisi Alpha Code

Alpha Code menjalankan kedua jenis engagement, sehingga Anda bisa memulai dari titik Anda yang sebenarnya. Untuk sebagian besar klien, itu dimulai dengan Penetration Testing yang dicakup untuk menemukan dan memperbaiki apa yang rusak, dengan temuan yang dipetakan ke pelaporan yang diharapkan kewajiban OJK dan UU PDP. Begitu program itu matang dan ada kapabilitas pertahanan yang layak diuji, engagement red team berbasis tujuan, dijalankan tersembunyi dan opsional sebagai latihan purple team, mengukur apakah manusia dan proses Anda benar-benar akan menghentikan penyerang. Jika Anda ragu mana yang Anda butuhkan, itulah percakapan yang layak didahulukan, dan perbandingan kami tentang vulnerability assessment vs penetration testing adalah titik awal yang baik.