Menulis Aturan Deteksi dan Peringatan SIEM

Aturan deteksi adalah logika yang dikodekan dalam SIEM untuk menentukan kondisi yang menjadi alert keamanan. Tanpa aturan deteksi yang baik, SIEM hanyalah sistem penyimpanan Logs yang mahal. Aturan yang dirancang dengan baik mengidentifikasi perilaku penyerang tertentu — pengisian kredensial, pergerakan lateral, eksfiltrasi data — sekaligus menghindari pemicuan pada operasi normal. Rekayasa deteksi adalah disiplin untuk menulis, menguji, dan memelihara aturan ini secara berkelanjutan.

Setiap aturan deteksi memiliki komponen utama. Sumber data menentukan Logs mana yang dikueri. Kondisi filter menentukan Event yang cocok. Ambang batas atau pola menentukan jumlah Event atau urutan yang memicu alert. Metadata mencakup tingkat keparahan, pemetaan MITRE ATT&CK, deskripsi, dan respons yang disarankan. Aturan yang terdokumentasi dengan baik membantu analis memahami dengan cepat arti sebuah alert dan cara merespons ketika alert tersebut terpicu.

Setiap aturan deteksi menyeimbangkan sensitivitas (menangkap semua positif benar) dengan spesifisitas (menghindari positif palsu). Aturan yang sangat sensitif menangkap setiap variasi serangan, tetapi menghasilkan kebisingan alert yang sangat besar. Aturan yang sangat spesifik jarang terpicu, tetapi mungkin melewatkan variasi serangan baru. Rekayasa deteksi yang baik dimulai dengan spesifisitas tinggi untuk membangun kepercayaan analis, lalu secara bertahap memperluas cakupan seiring penyetelan mengurangi positif palsu dan meningkatkan keyakinan terhadap aturan tersebut.

Aturan berbasis ambang batas terpicu ketika jumlah Event melebihi batas dalam suatu jendela waktu. Aturan ini ideal untuk mendeteksi serangan berbasis volume seperti brute force, pemindaian port, dan DDoS. Parameter utama: ambang batas jumlah (berapa banyak Event), jendela waktu (dalam berapa menit), dan kolom pengelompokan (per IP sumber, per pengguna, per host). Ambang batas yang tidak tepat menyebabkan kebisingan alert atau deteksi yang terlewat — lakukan penyetelan dengan cermat menggunakan data dasar historis.

Aturan berbasis urutan mencari rangkaian Event tertentu yang tersusun secara berurutan, sehingga ideal untuk mendeteksi pola serangan bertahap. Contohnya: email phishing diterima THEN lampiran berbahaya dibuka THEN PowerShell dijalankan oleh aplikasi Office. Setiap Event secara terpisah mungkin bersifat jinak, tetapi urutannya menunjukkan adanya penyusupan. Sebagian besar SIEM modern (Splunk, Sentinel, Elastic) mendukung pencocokan urutan dengan korelasi waktu di seluruh rangkaian Event.

Sigma adalah format terbuka dan tidak bergantung pada vendor untuk menulis aturan deteksi yang dapat dikonversi ke bahasa kueri khusus SIEM (SPL untuk Splunk, KQL untuk Sentinel, Lucene untuk Elastic). Komunitas keamanan membagikan ribuan aturan Sigma di GitHub yang mencakup teknik ATT&CK umum. Dengan menggunakan Sigma, organisasi dapat mengadopsi deteksi komunitas tanpa menulis ulang secara manual untuk platform SIEM tertentu, sehingga cakupan deteksi dapat dipercepat secara signifikan.

Aturan deteksi harus diuji sebelum diterapkan ke lingkungan produksi. Praktik terbaik mencakup: pengujian unit dengan Event sintetis yang mewakili skenario positif benar dan positif palsu, pengujian pemutaran ulang menggunakan lalu lintas jinak yang direkam untuk mengukur tingkat positif palsu, serta latihan tim merah ketika aturan diharapkan terpicu pada simulasi serangan yang terkendali. Alat seperti Atomic Red Team menyediakan skrip pengujian kecil yang menyimulasikan teknik ATT&CK tertentu dengan aman.

Setelah aturan diterapkan, penyetelan berkelanjutan diperlukan. Teknik penyetelan yang umum meliputi: daftar pengecualian untuk proses atau akun yang diketahui aman tetapi secara sah memicu aturan, membuat daftar izin untuk IP sumber tertentu (pemindai, alat pemantauan), menyesuaikan ambang batas berdasarkan tingkat dasar yang diamati, serta menambahkan kondisi konteks (hanya memberi alert jika host juga dapat dijangkau dari luar). Dokumentasikan setiap pengecualian beserta alasannya agar analis di masa mendatang memahami tujuan keberadaannya.

Aturan deteksi harus memiliki peringkat keparahan untuk membantu analis menentukan prioritas. Tingkat yang umum: Critical — eksploitasi aktif, ransomware, penyusupan pengendali domain. High — pergerakan lateral, pencurian kredensial, komunikasi C2. Medium — pengintaian mencurigakan, pelanggaran kebijakan. Low/Informational — Event yang tidak biasa tetapi tidak langsung berbahaya dan layak dilacak. Tingkat keparahan harus selaras dengan dampak bisnis, bukan hanya tingkat keparahan teknis.

Aturan deteksi memiliki siklus hidup yang harus dikelola secara aktif. Aturan menjadi usang ketika lingkungan berubah (perangkat lunak baru diterapkan, rentang IP berubah) dan menghasilkan positif palsu. Aturan juga melewatkan teknik serangan baru seiring berkembangnya musuh. Praktik terbaik: simpan aturan dalam kendali versi (git), tinjau dan perbarui setiap kuartal, petakan setiap aturan ke setidaknya satu teknik ATT&CK, serta ukur efektivitas aturan (jumlah pemicuan per minggu, tingkat positif benar) untuk menghentikan atau meningkatkan aturan yang kinerjanya buruk.

Peta cakupan deteksi menumpangkan aturan deteksi yang ada pada matriks MITRE ATT&CK untuk memvisualisasikan kesenjangan cakupan. Setiap teknik yang dicakup oleh setidaknya satu aturan ditandai hijau; teknik yang belum tercakup ditandai merah. Visualisasi ini menunjukkan fase serangan mana (misalnya, Persistence, Exfiltration) yang tidak memiliki cakupan deteksi, sehingga membantu tim memprioritaskan pengembangan aturan baru. Peninjauan cakupan secara rutin memastikan program deteksi mengikuti perkembangan teknik musuh.

Dalam pelajaran ini Anda mempelajari bahwa: aturan deteksi mengodekan perilaku penyerang tertentu sebagai kondisi alert dalam SIEM, aturan berbasis ambang batas dan urutan menangani berbagai jenis pola serangan, dan Sigma menyediakan format portabel untuk berbagi deteksi di seluruh komunitas keamanan. Selanjutnya, kita akan mempelajari UEBA dan analitik perilaku untuk mendeteksi ancaman orang dalam dan akun yang disusupi.