Metodologi Perburuan Ancaman dan Perumusan Hipotesis

Threat hunting adalah proses proaktif yang dipimpin manusia untuk mencari di jaringan dan Endpoints guna menemukan penyerang yang telah melewati kontrol keamanan yang ada. Berbeda dari keamanan reaktif (menunggu peringatan), pemburu ancaman secara aktif mencari tanda-tanda kompromi menggunakan hipotesis yang didasarkan pada intelijen. Threat hunting berasumsi bahwa sebagian penyerang sudah berada di dalam Environment, tetapi belum terdeteksi oleh alat otomatis.

Operasi keamanan tradisional sebagian besar bersifat reaktif—analis merespons peringatan yang dihasilkan oleh SIEM, alat EDR, dan Firewalls. Threat hunting pada dasarnya bersifat proaktif: pemburu mencari ancaman yang mungkin tidak menghasilkan peringatan karena penyerang menggunakan alat yang sah atau berhasil menghindari aturan deteksi. Kedua pendekatan diperlukan; hunting menutup celah terhadap ancaman tingkat lanjut yang menyamarkan diri dalam aktivitas normal.

Setiap kegiatan hunting dimulai dengan hipotesis—pernyataan yang dapat diuji tentang perilaku penyerang di dalam Environment. Hipotesis yang baik bersifat spesifik, didasarkan pada intelijen, dan dapat dibuktikan salah. Contoh: 'Penyerang dengan kredensial domain mungkin menggunakan PowerShell Remoting untuk melakukan Lateral Movement di antara Workstation pada subnet penjualan.' Hipotesis menentukan data yang perlu dikumpulkan, query yang perlu dijalankan, dan indikator yang perlu dicari.

Kerangka MITRE ATT&CK adalah sumber hipotesis threat hunting yang paling banyak digunakan. Kerangka ini mengatalogkan Taktik, Teknik, dan Prosedur (TTP) yang digunakan oleh pelaku ancaman nyata, dan mengelompokkannya berdasarkan tahap serangan (Akses Awal, Eksekusi, Persistensi, Lateral Movement, dan sebagainya). Pemburu menggunakan ATT&CK untuk mengidentifikasi teknik yang paling mungkin digunakan berdasarkan lanskap ancaman saat ini dan permukaan serangan yang terekspos pada Environment tertentu.

Umpan threat intelligence menyediakan konteks eksternal yang memicu hipotesis hunting yang relevan. Laporan intelijen tentang kelompok ransomware yang menargetkan sektor Anda, atau umpan IoCs yang berisi domain C2 yang baru diidentifikasi, dapat secara langsung menjadi dasar kegiatan hunting. Pemburu memeriksa apakah IoCs tersebut muncul dalam log, apakah teknik yang dijelaskan pernah digunakan di dalam Environment, dan apakah ada sistem yang berkomunikasi dengan infrastruktur berbahaya yang dilaporkan.

Sumber hipotesis hunting lainnya adalah penyimpangan dari Baseline Environment. Dengan memahami kondisi normal—akun mana yang Login pada malam hari, server mana yang membuat permintaan DNS, dan Process apa yang biasanya berjalan pada Workstation—pemburu dapat mengidentifikasi anomali yang layak diselidiki. Hunting berbasis Baseline memerlukan pengumpulan data dan upaya penyusunan Baseline sebelumnya, tetapi mampu menangkap penyerang canggih yang menghindari tanda tangan yang dikenal buruk dengan mempertahankan perilaku yang mendekati kondisi normal.

Threat hunting yang efektif mengikuti siklus berkelanjutan. Rencanakan: susun hipotesis. Lakukan hunting: jalankan query pada log dan telemetri untuk menguji hipotesis. Analisis: selidiki temuan dan tentukan apakah terdapat aktivitas berbahaya. Respons: eskalasikan ancaman yang terkonfirmasi kepada tim IR. Perbaiki: ubah hasil hunting yang berhasil menjadi aturan deteksi otomatis agar teknik yang sama memicu peringatan di masa mendatang—sehingga SOC meningkat tanpa memerlukan hunting manual setiap saat.

Hunting yang efektif memerlukan telemetri yang kaya. Sumber data utama mencakup telemetri EDR (pembuatan Process, penulisan file, dan koneksi jaringan dari setiap Endpoint), log autentikasi (Active Directory, SAML, VPN), log query DNS (untuk mendeteksi domain DGA dan tunneling), data aliran jaringan (NetFlow, log zeek), serta log audit cloud (AWS CloudTrail, Azure Activity Log). Semakin banyak telemetri yang tersedia, semakin luas visibilitas untuk hunting.

Pemburu ancaman menggunakan beberapa kategori alat. Platform SIEM (Splunk, Microsoft Sentinel) menyediakan agregasi log dan antarmuka query. Platform EDR (CrowdStrike, SentinelOne) menyediakan telemetri Endpoint dan query langsung. Alat hunting khusus seperti Velociraptor memungkinkan respons langsung dan pengumpulan artefak dari Endpoint Remote dalam skala besar. Jupyter Notebooks umum digunakan untuk analisis data ad hoc selama hunting yang kompleks.

Setiap kegiatan hunting—berhasil maupun tidak—harus didokumentasikan. Laporan hunting mencatat hipotesis, sumber data yang di-query, query yang digunakan, temuan, dan hasil. Hasil negatif (hipotesis tidak terkonfirmasi) tetap berharga karena menunjukkan cakupan pemantauan dan membantu menyempurnakan hipotesis di masa mendatang. Temuan positif menghasilkan tiket insiden dan, idealnya, aturan deteksi baru. Dokumentasi membangun pengetahuan institusional dan menunjukkan nilai program hunting kepada pimpinan.

Program threat hunting yang matang berkembang melalui beberapa tingkat kemampuan. Tingkat 0: sepenuhnya mengandalkan peringatan otomatis. Tingkat 1: hunting manual dasar menggunakan query ad hoc. Tingkat 2: hipotesis terstruktur dari ATT&CK dan intelijen. Tingkat 3: kegiatan hunting menghasilkan deteksi otomatis, tim pemburu memiliki spesialisasi, dan model ancaman diperbarui secara berkelanjutan. Organisasi sebaiknya mengukur pengurangan waktu rata-rata penyerang berada di dalam Environment sebagai metrik utama efektivitas program hunting.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa threat hunting adalah investigasi proaktif yang berasumsi sebagian penyerang telah melewati deteksi, hipotesis dihasilkan dari MITRE ATT&CK, threat intelligence, dan penyimpangan Baseline, serta hunting yang berhasil menghasilkan aturan deteksi otomatis yang terus meningkatkan kemampuan deteksi SOC. Selanjutnya kita akan membahas arsitektur SIEM—platform yang menyediakan agregasi dan korelasi log yang diperlukan untuk mendukung hunting.