Red Team berbanding Ujian Penembusan Tradisional: Manakah yang Lebih Baik?
Pasukan merah (red team) dan pentest tradisional sering disamakan, tetapi objektif kedua-duanya sangat berbeza. Pentest mencari kerentanan dalam satu sistem; pasukan merah menguji keseluruhan keupayaan pertahanan organisasi terhadap penyerang sebenar. Panduan ini menerangkan perbezaan asas antara kedua-dua pendekatan, kos dan tempoh tipikal, serta kepentingan kematangan organisasi sebagai prasyarat pasukan merah. Sasaran: ketua keselamatan dan eksekutif Malaysia yang merancang program ujian untuk tahun kewangan yang akan datang.
Definisi dan objektif yang berbeza
Pentest tradisional mempunyai objektif teknikal: mencari sebanyak mungkin kerentanan dalam sasaran yang ditentukan, dalam tempoh yang ditetapkan. Hasilnya ialah senarai penemuan beserta langkah pemulihan. Penguji menggunakan semua alat dan teknik mereka secara terbuka. Pasukan SOC anda mungkin dimaklumkan, dan tembok api aplikasi web (WAF) mungkin dimasukkan ke dalam senarai putih.
Pasukan merah mempunyai objektif strategik: menyimulasikan sejauh mana organisasi anda mampu mengesan dan memberi respons terhadap penyerang sebenar. Matlamat ditakrifkan dalam bentuk misi, misalnya 'akses kepada data pelanggan peringkat 1', 'capai persekitaran SWIFT' atau 'curi dokumen penyelidikan dan pembangunan (R&D)'. Hampir tiada sesiapa dimaklumkan kecuali penaja eksekutif dan sebuah pasukan rahsia yang kecil.
Ini bermakna pasukan merah tidak akan mendedahkan setiap kerentanan dalam persekitaran anda. Penguji memilih laluan yang paling tersembunyi untuk mencapai matlamat, mengelakkan pengesanan serta mendokumentasikan keseluruhan rantaian serangan. Hasilnya bukan senarai pepijat, tetapi peta serangan dan penilaian keupayaan pertahanan.
Pengujian dipacu risikan: TIBER, CBEST dan pendekatan moden
Pasukan merah moden dipacu risikan, iaitu senario serangan dibentuk berdasarkan risikan ancaman sebenar tentang penyerang yang relevan dengan sektor anda. Bagi sebuah bank di Malaysia, menyimulasikan serangan APT yang menggunakan TTP (taktik, teknik dan prosedur) yang pernah dilihat dalam serangan sebenar terhadap bank serantau lebih bermakna daripada senario generik.
Rangka kerja seperti TIBER-EU (Bank Pusat Eropah), CBEST (Bank of England) dan AASE (Australia) mentakrifkan pasukan merah dipacu risikan secara formal. Walaupun BNM belum menerbitkan rangka kerja setara untuk Malaysia, banyak institusi kewangan utama telah menggunakan pendekatan TIBER sebagai panduan amalan terbaik.
Pasukan merah dipacu risikan lazimnya bermula dengan fasa risikan (2–4 minggu); dalam fasa ini, penyedia risikan ancaman menyediakan laporan tentang kumpulan ancaman yang paling relevan. Senario kemudian dibina untuk menyimulasikan TTP kumpulan tersebut. Senario itu bukan sekadar 'cuba memancing data CEO', tetapi 'simulasi pancingan data (phishing) menggunakan corak yang dilihat dalam kempen X'.
Perbandingan: pentest dan pasukan merah
Untuk membantu pemilihan, jadual berikut meringkaskan perbezaan utama yang wajar dipertimbangkan oleh eksekutif keselamatan.
| Dimensi | Pentest Tradisional | Pasukan Merah |
|---|---|---|
| Objektif | Mencari kerentanan dalam sasaran | Mencapai misi seperti penyerang sebenar |
| Skop | Aplikasi, rangkaian atau awan tertentu | Keseluruhan organisasi (orang, proses, teknologi) |
| Tempoh | 1–4 minggu | 6–12 minggu (atau lebih) |
| Kos | RM18,000 – RM70,000 | RM150,000 – lebih daripada RM400,000 |
| Pemberitahuan SOC | Biasanya dimaklumkan | Tidak dimaklumkan (kecuali penaja) |
| Hasil | Laporan kerentanan dengan CVSS | Naratif serangan dan keupayaan pertahanan |
| Kematangan diperlukan | Mana-mana tahap | Tinggi (SOC, EDR, respons insiden yang matang) |
| Kekerapan | Tahunan atau bagi setiap keluaran | Sekali dalam 1–2 tahun |
Bilakah memilih pentest dan bilakah memilih pasukan merah?
Pentest sesuai bagi kebanyakan organisasi pada setiap masa. Ia ialah ujian asas yang menjawab soalan: 'adakah sistem ini, sekarang, mempunyai kerentanan yang ketara?' Setiap aplikasi yang terdedah kepada internet, setiap API dan setiap perubahan besar perlu menjalani pentest.
Pasukan merah sesuai apabila organisasi telah mencapai tahap kematangan tertentu. Jika anda tidak mempunyai SOC, tiada EDR pada titik akhir dan tiada buku panduan respons insiden, pasukan merah tidak akan memberi nilai. Penyerang akan masuk dengan mudah dan tiada sesiapa akan perasan, sesuatu yang anda sudah sedia maklum.
Tanda-tanda anda sudah bersedia untuk pasukan merah: anda telah menjalankan beberapa pusingan pentest dan tidak lagi menemui isu kritikal, anda mempunyai SOC dengan kapasiti respons, anda mempunyai EDR pada majoriti titik akhir, dan anda ingin menguji keupayaan pengesanan dan respons, bukan sekadar kerentanan.
Pasukan ungu: peralihan praktikal
Pasukan ungu ialah pendekatan kolaboratif yang melibatkan pasukan merah (penyerang) dan pasukan biru (pembela) yang bekerjasama secara terbuka. Penguji menjalankan TTP tertentu dan pasukan SOC mempunyai peluang segera untuk melihat sama ada kawalan mereka mengesannya. Apabila serangan itu tidak dikesan, puncanya dianalisis dan kawalan diperbaiki.
Bagi organisasi Malaysia yang baru meningkatkan kapasiti pertahanan, pasukan ungu lebih bernilai daripada pasukan merah penuh. Pendekatan ini membina kapasiti pasukan dalaman dengan cepat sambil terus menguji kawalan secara teknikal.
Format tipikal: penglibatan selama 1–2 minggu dengan beberapa senario yang dipersetujui (contohnya pancingan data yang menyerahkan implan, pergerakan sisi (lateral movement) dan pemindahan data secara haram). Setiap senario dijalankan, respons pasukan SOC diperiksa dan analisis pascasenario dibuat. Hasilnya ialah peningkatan kemahiran yang konkrit dan kawalan pengesanan yang dipertingkatkan, bukan sekadar laporan.
Pertimbangan untuk eksekutif
Apabila merancang bajet keselamatan tahunan, kebanyakan eksekutif perlu mengasingkan beberapa kategori pengujian. Cadangan tipikal bagi organisasi bersaiz sederhana hingga besar di Malaysia: pentest aplikasi tahunan untuk setiap sistem kritikal, pentest awan tahunan serta satu penglibatan strategik (pasukan ungu atau pasukan merah) setiap 12–24 bulan.
Bagi institusi kewangan di bawah BNM, RMiT secara tersirat menjangkakan pengujian yang melebihi pentest aplikasi sahaja, terutamanya bagi bank yang menghadapi ancaman serius daripada kumpulan jenayah siber dan APT. Inilah sebabnya banyak bank peringkat 1 di Malaysia kini menjalankan tugasan pasukan merah setiap tahun.
Kunci untuk mendapat nilai daripada pasukan merah ialah komitmen eksekutif untuk bertindak atas penemuan. Jika pasukan merah menunjukkan SOC anda gagal mengesan pemindahan data secara haram sebanyak 5GB dalam tempoh 8 minggu, tetapi pelaburan dalam SOC tidak dipertingkatkan, penglibatan itu hanyalah satu pembaziran. Pasukan merah memberi bukti untuk pelaburan dalam kapasiti pertahanan, jadi gunakanlah bukti itu sewajarnya.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Berapakah jarak masa antara dua tugasan pasukan merah yang patut kami rancang?
Bagi kebanyakan organisasi matang, 12–24 bulan ialah selang yang munasabah. Jarak yang kurang daripada 12 bulan sering menjadi kurang bernilai kerana pembaikan yang dipelajari daripada penglibatan sebelumnya belum sempat diuji dalam operasi. Jarak yang lebih daripada 24 bulan berisiko menyebabkan kapasiti pengesanan anda hanya mampu mengesan TTP lama. Bagi bank peringkat 1 atau organisasi yang kerap menjadi sasaran, setiap tahun ialah norma; bagi perusahaan besar yang lain, 18 bulan lazim digunakan. Jadual juga patut diselaraskan dengan perubahan besar: tempoh selepas migrasi awan, pengambilalihan atau pelancaran platform baharu ialah masa yang sesuai untuk pasukan merah mengesahkan keselamatan model operasi baharu.
Adakah pasukan merah boleh menjejaskan operasi perniagaan?
Boleh, dan inilah sebabnya peraturan penglibatan yang ketat penting. Sebelum penglibatan bermula, penaja eksekutif dan penyedia pasukan merah bersetuju tentang tindakan yang tidak boleh dilakukan: tiada gangguan kepada produksi pelanggan, tiada penghentian perkhidmatan, tiada penggantungan akaun pengguna sebenar serta banyak kawalan lain. Jika senario memerlukan tindakan berisiko (contohnya membuktikan akses kepada sistem pembayaran), penguji akan berhenti sebelum tindakan itu dan mengesahkan dengan penaja. Pasukan merah yang profesional akan meluangkan masa untuk memahami risiko operasi dan tidak akan melakukan apa-apa yang menjejaskan pelanggan atau pendapatan.
Adakah kami perlu memberitahu pengawal selia tentang penglibatan pasukan merah?
Bergantung pada bidang kuasa dan sektor anda. Bagi institusi kewangan di bawah BNM, tiada keperluan jelas untuk memberitahu pengawal selia sebelum pasukan merah memulakan operasi, tetapi penemuan biasanya akan dilaporkan dalam audit dan tinjauan risiko teknologi tahunan. Bagi sektor lain seperti telekomunikasi (MCMC) atau utiliti, tiada keperluan formal. Walau bagaimanapun, jika penglibatan pasukan merah menyebabkan respons SOC yang palsu lalu mencetuskan pelaporan insiden, keadaan ini boleh menimbulkan kekeliruan. Amalan yang baik: dokumentasikan pasukan merah sebagai aktiviti yang diketahui dalam jurnal respons insiden, walaupun pasukan SOC sendiri tidak dimaklumkan.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.