Kerangka Kerja MITRE ATT&CK untuk Deteksi dan Respons

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) adalah basis pengetahuan yang dapat diakses secara global tentang taktik dan teknik adversari di dunia nyata, berdasarkan intelijen ancaman yang diamati. Basis pengetahuan ini dikelola oleh organisasi nirlaba MITRE Corporation dan disusun sebagai matriks dengan tactics (tujuan penyerang) di bagian atas dan techniques (metode yang digunakan untuk mencapai tujuan tersebut) sebagai baris. ATT&CK bukan daftar periksa atau kerangka kepatuhan — ini adalah model deskriptif tentang cara penyerang nyata berperilaku, yang berasal dari laporan insiden, intelijen ancaman, dan latihan red team. ATT&CK telah menjadi bahasa umum industri keamanan untuk mendeskripsikan perilaku penyerang.

ATT&CK Enterprise Matrix berisi 14 tactics yang mewakili tujuan tingkat tinggi penyerang: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, dan Impact. Setiap tactic berisi beberapa techniques (metode khusus), dan banyak technique memiliki sub-techniques untuk deskripsi yang lebih terperinci. Sebagai contoh, tactic Persistence berisi technique T1053 (Scheduled Task/Job) dengan sub-techniques untuk Windows Task Scheduler, cron, dan penjadwal cloud.

ATT&CK mencakup basis data Groups yang mendata grup pelaku ancaman yang telah dikenal (misalnya APT28, APT41, Lazarus Group, Sandworm), beserta techniques tertentu yang diketahui digunakan oleh setiap grup. Hal ini memungkinkan defender bertanya: 'Kami beroperasi di industri yang menjadi target APT41 — techniques mereka yang mana yang belum kami deteksi?' ATT&CK juga mendata Software (alat malware tertentu seperti Cobalt Strike, Mimikatz, dan Empire) yang dikaitkan dengan techniques yang diimplementasikannya. Ini membantu analis memahami kemampuan malware yang teridentifikasi dalam suatu insiden dengan cepat melalui pencarian pada basis data software ATT&CK.

ATT&CK Navigator adalah alat berbasis web yang menampilkan matriks ATT&CK dan memungkinkan tim memberi kode warna pada techniques berdasarkan cakupan deteksi, penggunaan oleh pelaku ancaman, atau hasil pengujian. Kasus penggunaan umum: cakupan red team — menandai techniques yang berhasil diuji dalam latihan red team; cakupan deteksi — menandai techniques yang telah memiliki aturan SIEM atau deteksi EDR; lapisan pelaku ancaman — mengimpor profil pelaku ancaman untuk menyoroti semua techniques yang terkait dengan grup APT tertentu dan segera melihat techniques mana yang belum memiliki deteksi. Navigator menghasilkan analisis kesenjangan yang menunjukkan titik buta dalam pertahanan Anda.

ATT&CK mendorong perburuan ancaman yang terstruktur dengan menyediakan hipotesis konkret: alih-alih mencari “aktivitas mencurigakan”, pemburu bertanya, “Apakah ada tanda-tanda T1003.001 (OS Credential Dumping: LSASS Memory) di lingkungan kita?” Setiap teknik ATT&CK menyertakan panduan deteksi yang mencantumkan sumber Data tertentu (peristiwa Process, log peristiwa Windows, lalu lintas jaringan, modifikasi registri) serta indikator yang perlu dicari. Hal ini mengubah intuisi perburuan yang masih samar menjadi kueri Data spesifik yang dapat ditulis di Splunk, KQL (Microsoft Sentinel), atau Elastic. Tim perburuan mendokumentasikan hasilnya dan menutup kesenjangan dengan membuat rule deteksi untuk teknik yang ditemukan tetapi belum memiliki cakupan deteksi.

Selama dan setelah insiden, pemetaan tindakan penyerang ke teknik ATT&CK memberikan beberapa manfaat: kejelasan komunikasi — alih-alih mendeskripsikan tindakan penyerang dengan istilah yang dibuat secara ad hoc, analis menggunakan ID teknik terstandardisasi yang dipahami oleh profesional Security mana pun; rekonstruksi linimasa — urutan taktik ATT&CK mencerminkan rantai pembunuhan, sehingga membantu mengatur bukti secara kronologis; berbagi intelijen ancaman — IoCs dan TTP yang diberi tag ATT&CK dapat dibagikan melalui format STIX/TAXII dalam bentuk yang dapat dibaca mesin kepada organisasi lain dan ISAC; serta peningkatan deteksi — setiap teknik yang dipetakan tetapi sebelumnya belum memiliki deteksi menjadi kandidat untuk rule SIEM baru atau cakupan EDR.

Rencana emulasi musuh menggunakan ATT&CK untuk merancang latihan tim merah yang meniru TTP tertentu dari kelompok ancaman yang telah dikenal. MITRE menyediakan rencana emulasi musuh gratis untuk kelompok seperti APT3, APT29, dan FIN6, dengan prosedur langkah demi langkah yang sesuai dengan perilaku mereka di dunia nyata. Alat seperti CALDERA (platform emulasi musuh otomatis milik MITRE), Atomic Red Team (skrip pengujian portabel untuk satu teknik), dan Cobalt Strike (C2 tim merah komersial) memungkinkan pelaksanaan teknik ATT&CK di lingkungan yang terkendali. Hasilnya secara langsung menunjukkan teknik mana yang dapat menghindari deteksi yang ada.

Rekayasa deteksi menggunakan ATT&CK untuk membangun rule deteksi secara sistematis. Untuk setiap teknik, ATT&CK mencantumkan: sumber Data yang diperlukan untuk mendeteksinya (log peristiwa Windows, peristiwa Sysmon, log jaringan, telemetri EDR), indikator deteksi (nama Process tertentu, pola baris perintah, jalur registri), dan potensi positif palsu. Suatu rule deteksi harus dipetakan ke ID teknik ATT&CK tertentu agar cakupannya dapat dilacak. Vendor seperti Splunk (ES Content Update), Elastic (rule deteksi SIEM), dan Sigma (format rule yang tidak bergantung pada platform) semuanya menerbitkan rule deteksi yang dipetakan ke ATT&CK dan dapat diterapkan serta disesuaikan.

MITRE telah memperluas ATT&CK melampaui IT perusahaan untuk mencakup lingkungan tambahan: ATT&CK untuk ICS (Industrial Control Systems) — mencakup SCADA, PLC, dan lingkungan OT yang menjadi sasaran ancaman seperti Industroyer dan TRITON; ATT&CK untuk Seluler — mencakup teknik serangan Android dan iOS, termasuk teknik aplikasi berbahaya, phishing melalui SMS, dan eksploitasi perangkat seluler. Setiap matriks disesuaikan dengan arsitektur dan ancaman unik di lingkungannya. Peserta Security+ harus mengetahui keberadaan matriks ini dan memahami bahwa ATT&CK merupakan kerangka kerja yang terus berkembang dan dipelihara, serta diperbarui setiap kuartal dengan teknik baru yang ditemukan di lapangan.

Matriks MITRE ATT&CK dan Rantai Pembunuhan Siber Lockheed Martin memiliki tujuan yang berkaitan, tetapi berbeda. Rantai Pembunuhan memiliki 7 fase tingkat tinggi (dari Pengintaian hingga Tindakan terhadap Sasaran) dan cocok untuk deskripsi naratif tingkat tinggi mengenai kampanye serangan. ATT&CK memiliki 14 taktik dengan ratusan teknik dan subteknik spesifik — kerangka ini jauh lebih terperinci dan dapat ditindaklanjuti bagi defender yang menulis rule deteksi. Dalam praktiknya, banyak organisasi menggunakan keduanya: Rantai Pembunuhan untuk komunikasi dengan eksekutif dan deskripsi tingkat kampanye, serta ATT&CK untuk rekayasa deteksi teknis dan analisis kesenjangan. Security+ mengharapkan Anda memahami kedua kerangka kerja tersebut.

Selama tanggap insiden aktif, ATT&CK mempercepat penyelidikan dengan menyarankan hal yang perlu dicari berikutnya. Jika Anda telah mengonfirmasi T1059.001 (eksekusi PowerShell), ATT&CK memberi tahu Anda teknik lanjutan yang umum: T1105 (Ingress Tool Transfer — mengunduh alat tambahan), T1003 (Credential Dumping — langkah berikutnya setelah eksekusi), T1071 (Application Layer Protocol C2 — PowerShell terhubung ke infrastruktur penyerang). Hal ini membentuk penyelidikan berbasis hipotesis: teknik A yang telah dikonfirmasi menyarankan teknik B; cari B, dan jika ditemukan, hal itu mengonfirmasi pola serangan serta menyarankan teknik C. Dengan demikian, penyelidikan menjadi lebih cepat dan sistematis daripada eksplorasi Data tanpa batasan.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda telah mempelajari bahwa: MITRE ATT&CK mengatur perilaku musuh ke dalam 14 taktik dan ratusan teknik/subteknik berdasarkan pengamatan di dunia nyata, sehingga menjadi standar industri untuk mendeskripsikan TTP penyerang; ATT&CK Navigator memungkinkan analisis kesenjangan secara visual dengan menumpangkan profil pelaku ancaman pada cakupan deteksi Anda untuk menentukan prioritas pembangunan; dan ATT&CK mendorong rekayasa deteksi, perburuan ancaman, serta tanggap insiden dengan menyediakan sumber Data, indikator, dan saran pengaitan teknik yang spesifik. Selanjutnya, kita akan meninjau domain ujian SY0-701 beserta bobotnya untuk mempersiapkan sertifikasi.