Purple Team คืออะไร? ทำไมองค์กรควรลงทุนกับการซ้อมรบแบบรวมทีม

Purple Team คืออะไร?

Purple Team คือแนวคิดการทำงานร่วมกันระหว่าง Red Team (ทีมจำลองการโจมตี/Offensive Security) และ Blue Team (ทีมป้องกันและตอบสนอง/Defensive Security) โดยมีเป้าหมายร่วมกันคือการยกระดับความสามารถในการตรวจจับและตอบสนองต่อภัยคุกคาม ไม่ใช่การแข่งขันกันว่าฝ่ายไหนจะชนะ

ในแบบจำลองดั้งเดิม Red Team จะโจมตีอย่างลับ ๆ แล้วส่งรายงานผลให้ Blue Team ภายหลัง ทำให้ Blue Team มักเสียเปรียบเพราะไม่ทราบเทคนิคที่ใช้ตอนเกิดเหตุ Purple Team จึงเปลี่ยน paradigm นี้ด้วยการทำงานร่วมกัน แบบเรียลไทม์ และแชร์ข้อมูลระหว่างการทดสอบ

ความแตกต่างจาก Penetration Testing ทั่วไป

| ประเภท | เป้าหมาย | ผลลัพธ์หลัก | |---|---|---| | Penetration Test | หาช่องโหว่และเอกซ์พลอยต์ | รายงานช่องโหว่ + คำแนะนำแก้ไข | | Red Team | จำลองผู้โจมตีเพื่อทดสอบการป้องกันและกระบวนการตอบสนอง | รายงานเส้นทางการโจมตี + ช่องว่างการตรวจจับ | | Blue Team | ตรวจจับ วิเคราะห์ และตอบสนองต่อภัยคุกคาม | บันทึกเหตุการณ์ + การฟื้นฟู | | Purple Team | เชื่อม Red + Blue เพื่อเรียนรู้ร่วมกันและปรับปรุงระบบทันที | การปรับปรุงการตรวจจับ + Playbook ใหม่ |

ทำไมองค์กรควรลงทุนกับ Purple Team Exercise

1. ลดช่องว่างระหว่างเทคนิคโจมตีกับการตรวจจับ

Red Team อาจใช้เทคนิค TTPs (Tactics, Techniques, and Procedures) ใหม่ ๆ ที่ Blue Team ยังไม่เคยเห็น การทำ Purple Team ทำให้ Blue Team ได้เห็นเทคนิคจริง ๆ ตอนเกิดเหตุและปรับการตั้งค่า SIEM/EDR ได้ทันที

2. สร้าง Detection ใหม่ที่ได้ผลจริง

แทนที่จะสร้าง detection rule จากการเดา การทำงานร่วมกันทำให้ Blue Team สร้าง use case ที่ทดสอบแล้วว่าทำงาน กับเทคนิคโจมตีจริง เช่น การตรวจจับ Living-off-the-Land (LotL) หรือการใช้ PowerShell แบบ encoded

3. เร่งระยะเวลาในการเรียนรู้ (Time-to-Value)

การรอ Red Team Report ครบรอบหนึ่งอาจใช้เวลาเป็นเดือน แต่ Purple Team Exercise แบบ synchronous สามารถสร้างมูลค่าได้ภายในวันเดียว

4. สร้างวัฒนธรรมความร่วมมือแทนการทำงานแบบ Silo

ทีมรักษาความมั่นคงปลอดภัยหลายองค์กรยังแบ่งแยก Red/Blue อย่างชัดเจน ทำให้ขาดการแชร์ความรู้ Purple Team ช่วยลดกำแพงนี้และสร้างกระบวนการเรียนรู้ร่วม

โครงสร้างพื้นฐานของ Purple Team Exercise

1. Planning — กำหนดวัตถุประสงค์, ขอบเขต, TTPs ที่จะจำลอง (เช่น จาก MITRE ATT&CK), และ Metrics ที่จะวัด
2. Execution — Red Team ดำเนินการโจมตีตามที่วางไว้ พร้อมแชร์สถานะให้ Blue Team ทราบแบบ real-time หรือ near-real-time
3. Detection & Response — Blue Team ตรวจจับ วิเคราะห์ และตอบสนอง บันทึกว่าตรวจจับได้ที่ขั้นตอนใด และใช้เวลาเท่าใด
4. Review & Improve — ร่วมกันวิเคราะห์ช่องว่าง และปรับปรุง detection rule, playbook หรือกระบวนการตอบสนองทันที

บทสรุป

Purple Team ไม่ใช่การซื้อเครื่องมือหรือจ้างบุคลากรใหม่ แต่เป็นการเปลี่ยนวิธีการทำงานระหว่างทีมที่มีอยู่ให้สร้างค่าร่วมกัน องค์กรที่ประสบความสำเร็จในการรับมือภัยคุกคามสมัยใหม่มักมี Purple Team เป็นกระบวนการประจำ ไม่ใช่กิจกรรมครั้งคราว

ที่ FORTSECURE GLOBAL เราให้บริการจัดทำและดำเนินการ Purple Team Exercise แบบปรับตามบริบทขององค์กร ตั้งแต่การวางกรอบตาม MITRE ATT&CK ไปจนถึงการสร้าง detection use case และ playbook ที่ใช้งานได้จริง