Deteksi dan Analisis: Mengidentifikasi Insiden Nyata

Fase deteksi dan analisis dimulai ketika potensi insiden keamanan pertama kali diidentifikasi dan berakhir ketika cakupan serta dampaknya telah cukup dipahami untuk memulai pengendalian. Tantangan utama dalam fase ini adalah membedakan positif sejati dari positif palsu — membedakan peringatan yang dihasilkan oleh aktivitas berbahaya dari peringatan yang dipicu oleh perilaku normal tetapi tidak biasa. Deteksi yang efektif memerlukan alat yang dikonfigurasi dengan benar, analis terlatih, dan garis dasar aktivitas normal yang terdokumentasi.

Insiden terdeteksi melalui berbagai saluran: peringatan SIEM yang dihasilkan oleh aturan korelasi, deteksi EDR dari analisis perilaku pada endpoint, laporan pengguna (deteksi awal yang paling umum untuk Phishing), pemberitahuan pihak ketiga (penegak hukum, vendor intelijen Threat, layanan pemberitahuan pelanggaran), pemindaian otomatis (pemindai kerentanan atau CSPM yang menemukan anomali), serta perburuan Threat (Investigasi proaktif). Setiap sumber memiliki tingkat keandalan yang berbeda dan menyediakan jenis Evidence yang berbeda.

Deteksi yang efektif memerlukan pengumpulan log dari berbagai sumber. Jenis log penting meliputi: log autentikasi (Windows Security Event Log, /var/log/auth.log) untuk upaya masuk yang gagal/berhasil, log jaringan (firewall, VPC Flow Logs, proxy) untuk koneksi yang tidak biasa, log DNS untuk kueri ke domain berbahaya yang telah dikenal, log endpoint (EDR, Sysmon) untuk pembuatan Process dan aktivitas file, serta log audit Cloud (CloudTrail, Azure Monitor) untuk panggilan API. SIEM menggabungkan dan mengorelasikan berbagai sumber tersebut.

Analis SOC melakukan triase terhadap ratusan atau ribuan peringatan setiap hari, yang sebagian besar merupakan positif palsu — aktivitas sah yang memicu aturan deteksi. Positif palsu membuang waktu analis dan menimbulkan kelelahan terhadap peringatan, sehingga Threat nyata dapat diabaikan. Positif sejati menunjukkan aktivitas berbahaya yang benar-benar terjadi. Negatif palsu adalah hasil yang paling berbahaya — aktivitas berbahaya yang sama sekali tidak menghasilkan peringatan. Menyesuaikan aturan deteksi untuk mengurangi positif palsu tanpa meningkatkan negatif palsu merupakan keterampilan inti SOC.

Aturan korelasi SIEM menggabungkan beberapa Event log individual untuk mengidentifikasi pola yang menunjukkan serangan. Contoh: satu upaya masuk yang gagal adalah hal normal; 100 upaya masuk yang gagal dari IP yang sama dalam 60 detik menunjukkan brute force. Contoh lain: seorang pengguna melakukan autentikasi dari US pada pukul 09.00 lalu dari Tiongkok pada pukul 11.00; ini merupakan perjalanan yang mustahil dan kemungkinan menunjukkan akun yang telah disusupi. Aturan korelasi yang efektif menyeimbangkan sensitivitas (menangkap serangan nyata) dengan spesifisitas (tidak menenggelamkan analis dalam kebisingan).

Selama analisis, petugas Response mengumpulkan Indikator Compromise (IoCs) yang menjadi ciri serangan: alamat IP mencurigakan, nama domain berbahaya, Hash file malware, kunci registri yang diubah penyerang, nama Process yang tidak biasa atau hubungan induk-anak, serta koneksi jaringan yang anomali. IoCs digunakan untuk: menentukan cakupan (apakah IoC ini terdapat pada sistem lain?), memperkaya intelijen Threat, memblokir akses penyerang selanjutnya, dan mengembangkan aturan SIEM untuk mendeteksi aktivitas serupa di masa mendatang.

Analisis cakupan menjawab: Sistem apa yang terdampak? Data apa yang diakses atau dieksfiltrasi? Bagaimana dan kapan penyerang masuk? Petugas Response menggunakan analisis log untuk merekonstruksi linimasa serangan, mengidentifikasi vektor akses awal, mencantumkan semua sistem yang disentuh penyerang (pergerakan lateral), dan menentukan apakah data telah dieksfiltrasi (lonjakan transfer keluar, direktori penampungan data). Penilaian cakupan mendorong keputusan pengendalian — Anda tidak dapat mengendalikan sesuatu yang belum dipetakan.

Platform EDR (Endpoint Detection and Response) adalah alat teknis utama untuk analisis insiden pada tingkat endpoint. Telemetri EDR menyediakan: pohon eksekusi Process (apa yang memulai apa), aktivitas sistem file, koneksi jaringan per Process, perubahan registri, serta deteksi injeksi memori. Selama insiden, EDR memungkinkan analis mencari IoC secara bersamaan di semua endpoint (perburuan di seluruh perusahaan), mengisolasi endpoint yang telah disusupi dari jaringan, dan mengambil artefak Forensic tanpa menyentuh sistem secara fisik.

Evidence jaringan sering kali merupakan sumber paling andal selama analisis insiden. NetFlow dan VPC Flow Logs mengungkapkan koneksi antar-sistem tanpa menampilkan isi muatan — berguna untuk memetakan pergerakan lateral. Full packet capture (PCAP) menampilkan isi percakapan secara lengkap, termasuk kredensial, data yang dieksfiltrasi, dan perintah C2 (jika lalu lintas tidak dienkripsi). Log kueri DNS mengungkapkan beaconing malware ke domain C2. Petugas Response mencari: transfer data keluar berukuran besar, koneksi ke port yang tidak biasa, pola beaconing (koneksi rutin setiap N detik), serta perilaku pemindaian internal.

Merekonstruksi linimasa serangan sangat penting untuk memahami waktu keberadaan penyerang (berapa lama penyerang berada di dalam sistem sebelum terdeteksi), mengidentifikasi vektor akses awal (untuk menutup kerentanan), dan menjaga Evidence dalam urutan kronologis untuk proses hukum. Linimasa dibuat dengan mengorelasikan stempel waktu di berbagai sumber log. Sinkronisasi waktu (menggunakan NTP) sangat penting — log dengan jam sistem yang tidak tepat menciptakan celah dan kontradiksi dalam linimasa yang melemahkan kesimpulan Forensic.

Tidak setiap peringatan memerlukan aktivasi CSIRT secara penuh. Analis menggunakan kriteria yang telah didokumentasikan untuk menentukan pemicu eskalasi: ditemukannya pelanggaran data yang terkonfirmasi memicu notifikasi regulasi wajib dan eskalasi kepada eksekutif. Ditemukannya malware yang telah menyebar ke lebih dari satu sistem memicu keterlibatan penuh CSIRT. Satu email phishing (tanpa diklik) tetap ditangani pada tingkat analis tier-1. Ambang eskalasi yang terdefinisi dengan baik mencegah reaksi berlebihan (pemborosan sumber daya untuk kejadian kecil) maupun reaksi yang kurang memadai (pelanggaran besar berkembang sementara diperlakukan sebagai peringatan kecil).

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari bahwa: Detection bergantung pada beragam sumber log yang dikumpulkan oleh SIEM dengan aturan korelasi untuk mengidentifikasi pola serangan yang terdiri dari banyak kejadian, IoCs yang dikumpulkan selama analisis digunakan untuk menentukan cakupan insiden di seluruh sistem dan mengembangkan aturan pemblokiran, serta false negative merupakan hasil yang paling berbahaya karena memungkinkan Attacker beroperasi tanpa terdeteksi. Selanjutnya, kita akan membahas containment, eradication, dan recovery.