Cyber Security Academy · Pelajaran

Pohon Serangan dan Prioritas Risiko

Mengurutkan ancaman dan memilih mitigasi.

Pelajaran 4 dari 413 langkah

Pohon Serangan dan Prioritas Risiko adalah pelajaran Cyber Security Academy gratis di CoddyKit. Ini adalah pelajaran 4 dari 4. Kamu bisa membaca pelajaran lengkapnya di bawah secara gratis — lalu praktikkan langsung di browser dengan editor kode bawaan dan tutor AI 24/7. Ini adalah bagian dari jalur belajar Cyber Security Academy, dan progresmu tersinkronisasi di web dan aplikasi CoddyKit. Kursus Cyber Security Academy mencakup 4 pelajaran total.

Apa Itu Pohon Serangan

Pohon serangan adalah diagram yang memodelkan cara penyerang dapat mencapai suatu tujuan. Tujuan berada di akar, dan cabang-cabang menunjukkan berbagai jalur serta sublangkah yang diperlukan untuk mencapainya.

Jika STRIDE menginventarisasi jenis ancaman, pohon serangan mengeksplorasi jalur konkret yang mungkin diambil penyerang. Pohon serangan sangat berguna untuk menalar target tertentu yang bernilai tinggi.

Tujuan Akar dan Subtujuan

Simpul akar adalah sasaran akhir penyerang, seperti 'mencuri data pembayaran pelanggan'. Simpul anak adalah subtujuan atau metode yang mencapai tujuan induknya.

Anda membangun pohon dengan berulang kali bertanya: 'Bagaimana penyerang dapat mencapai simpul ini?' Setiap jawaban menjadi simpul anak, dan Anda terus menguraikannya hingga mencapai tindakan konkret yang dapat dilakukan pada simpul daun.

Simpul AND vs OR

Pohon serangan menggunakan dua hubungan logis antara sebuah simpul dan anak-anaknya:

Simpul OR — satu anak mana pun sudah cukup untuk mencapai induknya (jalur alternatif)
Simpul AND — semua anak harus dicapai secara bersamaan (langkah yang diperlukan)

Perbedaan ini sangat penting: simpul OR berarti penyerang hanya perlu memilih jalur yang paling mudah, sedangkan simpul AND memaksa mereka melewati setiap langkah.

Contoh Pohon Serangan

Berikut pohon serangan dalam bentuk teks untuk mencuri data pembayaran:

GOAL: Steal customer payment data
  OR
  +-- Compromise the database directly
  |     AND
  |     +-- Gain network access to DB
  |     +-- Obtain DB credentials
  +-- Steal data in transit
  |     +-- Intercept unencrypted traffic
  +-- Compromise an admin account
        OR
        +-- Phish an admin
        +-- Brute force weak password

Memberi Anotasi pada Simpul dengan Atribut

Pohon serangan menjadi sangat berguna ketika Anda memberi anotasi pada simpul daun dengan atribut yang membantu menentukan prioritas:

Biaya bagi penyerang
Tingkat kesulitan atau keterampilan yang diperlukan
Keterdeteksian (apakah tindakan itu memicu alarm?)
Kemungkinan keberhasilan

Selanjutnya, Anda meneruskan atribut ini ke atas pohon. Untuk simpul OR, penyerang memilih anak yang paling murah atau paling mudah, sehingga mengungkapkan titik terlemah Anda.

Risiko = Kemungkinan x Dampak

Untuk menentukan prioritas, Anda memerlukan skor risiko. Rumus klasik menggabungkan dua faktor:

Risk = Likelihood x Impact

Likelihood: how probable is this attack to succeed?
Impact:     how bad is the damage if it does?

Example:
  High likelihood (3) x High impact (3) = 9  -> top priority
  Low likelihood (1)  x High impact (3) = 3  -> monitor

Model Penilaian DREAD

DREAD adalah cara terstruktur untuk menilai ancaman berdasarkan lima dimensi. Setiap dimensi diberi nilai, lalu digabungkan menjadi skor prioritas:

Dampak — seberapa buruk dampaknya?
Reproduksibilitas — seberapa andal tindakan itu dapat diulangi?
Eksploitabilitas — seberapa mudah tindakan itu dilakukan?
Dampak pada pengguna — berapa banyak pengguna yang terdampak?
Dapat ditemukan — seberapa mudah hal itu ditemukan?

DREAD agak subjektif, jadi gunakan definisi penilaian yang konsisten di seluruh tim Anda.

Membangun Matriks Risiko

Matriks risiko memetakan kemungkinan terhadap dampak untuk memberikan gambaran prioritas secara sekilas:

Impact
 High  | Medium | High   | Critical |
 Med   | Low    | Medium | High     |
 Low   | Low    | Low    | Medium   |
       +--------+--------+----------+
         Low      Med      High
                Likelihood

Address Critical and High cells first.

Memilih Mitigasi

Setelah ancaman diberi peringkat, tentukan cara menanganinya. Keempat pilihannya sama seperti dalam mitigasi STRIDE:

Mitigasi — tambahkan kontrol untuk menurunkan kemungkinan atau dampak
Hilangkan — hapus fitur berisiko sepenuhnya
Alihkan — limpahkan melalui asuransi atau pihak ketiga
Terima — dokumentasikan secara formal penerimaan risiko rendah

Gunakan anggaran terbatas Anda terlebih dahulu untuk item berisiko paling tinggi; jangan menghabiskan upaya berlebihan untuk ancaman berisiko rendah.

Biaya-Manfaat Kontrol

Mitigasi hanya masuk akal jika biayanya sebanding dengan risiko yang dikuranginya. Kontrol yang biayanya lebih besar daripada aset yang dilindunginya merupakan investasi yang buruk.

Untuk setiap kontrol kandidat, pertimbangkan:

Seberapa besar kontrol tersebut mengurangi risiko?
Berapa biaya yang diperlukan untuk membangun dan mengoperasikannya?
Apakah kontrol tersebut menimbulkan hambatan atau risiko baru?

Utamakan kontrol yang dapat memblokir beberapa jalur serangan sekaligus, seperti MFA yang menutup banyak cabang pengambilalihan akun.

Melacak dan Meninjau Kembali Risiko

Penentuan prioritas bukan latihan sekali jadi. Lacak setiap ancaman yang teridentifikasi dalam registri risiko, beserta skornya, respons yang dipilih, penanggung jawab, dan statusnya.

Tinjau kembali registri tersebut jika:

Ancaman atau kerentanan baru muncul
Nilai sistem atau asetnya berubah
Mitigasi diterapkan (nilai ulang risiko residual)

Risiko yang diterima harus memiliki tanggal kedaluwarsa dan ditinjau ulang, bukan sekadar diterima lalu dilupakan.

Pemeriksaan Singkat

Uji pemahaman Anda tentang pohon serangan dan penentuan prioritas risiko.

Jawab di pelajaran interaktif

Ringkasan

Anda telah mempelajari cara menentukan peringkat ancaman dan memilih mitigasi:

Pohon serangan memodelkan jalur menuju tujuan penyerang, menggunakan simpul AND (semuanya diperlukan) dan OR (salah satunya cukup)
Beri anotasi pada simpul dengan biaya, tingkat kesulitan, dan keterdeteksian untuk menemukan titik terlemah
Tentukan prioritas dengan Risiko = Kemungkinan x Dampak, penilaian DREAD, dan matriks risiko
Pilih untuk memitigasi, menghilangkan, mengalihkan, atau menerima risiko dengan mempertimbangkan biaya dan manfaat
Lacak semuanya dalam registri risiko dan tinjau kembali seiring sistem berkembang

Dengan ini, kursus Pemodelan Ancaman dengan STRIDE selesai.

Gratis untuk memulai

Belajar Cyber Security Academy dengan tutor AI — gratis

Tulis dan jalankan kode asli di browser kamu, dapatkan bantuan instan dari tutor AI 24/7, dan lanjutkan di mana kamu tinggalkan di web atau aplikasi.

Kursus: 76
Pelajaran: 303

Mulai belajar gratis Lihat kursus lengkapnya

Pertanyaan yang Sering Diajukan

Apakah pelajaran “Pohon Serangan dan Prioritas Risiko” gratis?

Ya — teks lengkap “Pohon Serangan dan Prioritas Risiko” gratis dibaca di sini di web. Untuk praktiknya secara interaktif (editor kode bawaan dan tutor AI 24/7) dan buka sisa kursus Cyber Security Academy, upgrade ke CoddyKit PRO. Kursus Cyber Security Academy mencakup 4 pelajaran total.

Apa yang akan aku pelajari di “Pohon Serangan dan Prioritas Risiko”?

Mengurutkan ancaman dan memilih mitigasi. Kamu berlatih Cyber Security Academy dengan kode praktik yang langsung kamu jalankan di browser, dan tutor AI 24/7 menjawab pertanyaanmu saat kamu mengerjakan pelajaran ini.

Apakah aku perlu pengalaman untuk memulai Cyber Security Academy?

Tidak diperlukan pengalaman sebelumnya. Cyber Security Academy di CoddyKit dirancang untuk pemula hingga pelajar tingkat lanjut, jadi kamu bisa memulai di sini atau dari awal dan belajar sesuai kecepatan kamu sendiri. Ini adalah pelajaran 4 dari 4.

Berapa lama pelajaran “Pohon Serangan dan Prioritas Risiko” memakan waktu?

Sebagian besar pelajaran CoddyKit memakan waktu sekitar 5–10 menit. Setiap pelajaran ringkas dan interaktif, jadi kamu membuat kemajuan stabil dan melanjutkan dari tempat kamu tinggalkan di web dan aplikasi.

Bisakah aku menulis dan menjalankan kode dalam pelajaran Cyber Security Academy ini?

Ya. Setiap pelajaran Cyber Security Academy menyertakan editor kode bawaan, jadi kamu menulis dan menjalankan kode nyata langsung di browser dan mendapatkan umpan balik AI instan — tidak diperlukan penyiapan lokal.

Semua pelajaran dalam kursus ini

Mengapa Pemodelan Ancaman Penting
Kerangka STRIDE
Diagram Aliran Data dan Batas Kepercayaan
Pohon Serangan dan Prioritas Risiko

← Kembali ke Cyber Security Academy