Penulisan Laporan Red Team

Laporan tim merah menyampaikan risiko bisnis dari kerentanan yang ditemukan kepada pimpinan (ringkasan eksekutif), memungkinkan pihak pertahanan mereplikasi temuan dan meningkatkan deteksi (detail teknis), serta menyediakan rencana tindakan untuk remediasi (rekomendasi).

Struktur standar laporan tim merah:

1. Halaman sampul dan definisi lingkup
2. Ringkasan Eksekutif
3. Gambaran umum metodologi
4. Narasi serangan atau rantai serangan
5. Daftar temuan beserta peringkat tingkat keparahannya
6. Detail teknis untuk setiap temuan
7. Rekomendasi dan peta jalan
8. Lampiran: bukti, IOCs, daftar alat

Tulis ringkasan eksekutif terakhir. Ringkasan ini harus menyatakan:

• Tujuan dan lingkup penugasan
• Temuan utama dalam istilah bisnis ("kami memperoleh akses administrator domain dalam 4 jam")
• Penilaian keseluruhan terhadap postur risiko
• 3 prioritas utama untuk remediasi

Jangan gunakan jargon. Anggap pembacanya adalah eksekutif nonteknis.

Narasi serangan menceritakan penugasan secara kronologis:

1. Vektor akses awal (cara memperoleh pijakan pertama)
2. Persistensi dan penemuan
3. Langkah-langkah eskalasi hak istimewa
4. Jalur pergerakan lateral
5. Tujuan yang tercapai (data yang diakses, domain yang dikompromikan)

Petakan setiap langkah ke ID teknik MITRE ATT&CK.

Setiap temuan harus mencakup:

• Judul: nama yang jelas dan spesifik
• Tingkat Keparahan: Kritis/Tinggi/Sedang/Rendah/Informasi (dengan skor CVSS jika berlaku)
• Deskripsi: hal yang ditemukan
• Dampak: risiko bisnis jika dieksploitasi
• Langkah reproduksi: bukti teknis yang terperinci
• Bukti: tangkapan layar, log
• Rekomendasi: perbaikan yang spesifik

CVSS (Sistem Penilaian Kerentanan Umum) menyediakan skor tingkat keparahan standar dari 0 hingga 10. Komponennya: vektor serangan, kompleksitas, hak istimewa yang diperlukan, interaksi pengguna, Scope, serta dampak terhadap kerahasiaan, integritas, dan ketersediaan. Gunakan CVSS 3.1 untuk peringkat tingkat keparahan yang konsisten dan dapat dipertanggungjawabkan.

Petakan setiap teknik yang digunakan ke ATT&CK untuk memberikan informasi yang dapat ditindaklanjuti kepada pihak pertahanan:

• T1566.001 — Lampiran Spearphishing (akses awal)
• T1059.001 — PowerShell (eksekusi)
• T1003.001 — Memori LSASS (akses kredensial)

Pemetaan ATT&CK membantu tim biru menulis aturan deteksi untuk TTP yang teramati.

Tangkapan layar harus mencakup:

• Tanggal/waktu yang terlihat di terminal
• Nama host sistem yang disusupi
• Perintah dan output lengkap
• Tidak ada pemotongan yang menghilangkan konteks

Beri anotasi pada tangkapan layar untuk menyoroti elemen penting. Bukti mengautentikasi temuan.

Rekomendasi yang baik adalah:

• Spesifik: "Aktifkan AMSI PowerShell dan mode bahasa terbatas", bukan "tingkatkan keamanan"
• Diprioritaskan: tentukan yang harus ditangani terlebih dahulu berdasarkan risiko
• Dapat ditindaklanjuti: pembaca mengetahui dengan tepat tindakan yang harus dilakukan
• Realistis: mempertimbangkan kendala operasional

Presentasi tinjauan langsung melengkapi laporan tertulis. Pandu klien menelusuri narasi serangan dengan tangkapan layar langsung, tunjukkan cara mereka mendeteksi setiap langkah, dan jawab pertanyaan. Hal ini sering kali lebih berdampak daripada laporan tertulis dalam mendorong perubahan.

Laporan tim merah berisi informasi kerentanan yang sensitif. Tangani dengan semestinya:

• Enkripsi laporan (PGP atau PDF yang dilindungi kata sandi)
• Kirim melalui saluran yang aman
• Batasi distribusi hanya kepada pihak yang membutuhkannya
• Tetapkan kebijakan penyimpanan dan pemusnahan laporan
• Jangan pernah mengirim laporan yang tidak terenkripsi melalui email

Bagian mana dari laporan tim merah yang memberikan langkah-langkah yang dipetakan ke MITRE ATT&CK dan menunjukkan secara tepat bagaimana tim merah bergerak dari akses awal hingga mencapai sasaran?

Laporan tim merah melayani audiens bisnis (rangkuman eksekutif), teknis (narasi serangan + temuan), dan defensif (pemetaan ATT&CK). Setiap temuan mencakup tingkat keparahan, dampak, langkah reproduksi, bukti, dan rekomendasi khusus. Pemetaan MITRE ATT&CK mengubah temuan ofensif menjadi peluang deteksi defensif. Enkripsi dan tangani laporan sebagai dokumen sensitif.