Dalam dunia keamanan siber, memahami cara kerja seorang penyerang merupakan salah satu langkah paling penting untuk membangun sistem pertahanan yang efektif. Seiring meningkatnya jumlah serangan siber terhadap perusahaan, organisasi, maupun individu, para profesional keamanan tidak lagi hanya berfokus pada perangkat lunak keamanan, tetapi juga mempelajari bagaimana pola berpikir dan metode yang digunakan oleh pelaku ancaman atau threat actor.
Salah satu konsep yang paling banyak digunakan dalam Cyber Threat Intelligence (CTI) adalah Tactics, Techniques, and Procedures (TTP). Konsep ini membantu tim keamanan memahami bagaimana penyerang merencanakan, menjalankan, dan mempertahankan aksinya selama proses serangan berlangsung.
Dengan memahami TTP, organisasi dapat mendeteksi aktivitas mencurigakan lebih cepat, meningkatkan kemampuan tim Security Operation Center (SOC), melakukan threat hunting secara proaktif, serta memperkuat strategi pertahanan sebelum serangan menyebabkan kerusakan yang signifikan.
Pada artikel ini Anda akan mempelajari secara lengkap mengenai pengertian TTP, perbedaan antara Tactics, Techniques, dan Procedures, contoh implementasinya dalam serangan nyata, hubungannya dengan MITRE ATT&CK Framework, serta bagaimana seorang SOC Analyst memanfaatkan informasi tersebut dalam aktivitas sehari-hari.
Apa Itu TTP (Tactics, Techniques, and Procedures)?
Tactics, Techniques, and Procedures (TTP) adalah konsep yang digunakan untuk menggambarkan pola, metode, serta langkah-langkah yang digunakan oleh pelaku ancaman ketika melakukan serangan terhadap suatu sistem.
Konsep ini tidak hanya digunakan untuk mempelajari malware atau alat yang digunakan oleh hacker, tetapi juga bertujuan memahami perilaku penyerang secara menyeluruh. Dengan demikian, tim keamanan dapat mengidentifikasi aktivitas berbahaya berdasarkan perilaku, bukan hanya berdasarkan tanda tangan (signature) malware.
Dalam praktiknya, TTP banyak digunakan oleh:
- Security Operation Center (SOC)
- Threat Intelligence Team
- Incident Response Team
- Blue Team
- Red Team
- Digital Forensics Analyst
- Cyber Security Consultant
Pendekatan berbasis TTP menjadi semakin penting karena penyerang terus mengubah malware, alamat IP, maupun infrastruktur yang digunakan. Namun, pola perilaku mereka sering kali tetap memiliki karakteristik yang dapat dikenali.
Mengapa Memahami TTP Sangat Penting?
Banyak organisasi masih berfokus pada deteksi malware berdasarkan hash file atau signature antivirus. Pendekatan tersebut efektif untuk ancaman yang telah dikenal, tetapi kurang mampu menghadapi serangan baru yang menggunakan teknik berbeda.
Dengan memahami TTP, organisasi dapat membangun sistem deteksi yang lebih adaptif terhadap perubahan taktik penyerang.
Beberapa manfaat memahami TTP antara lain:
- Mendeteksi serangan lebih cepat.
- Memahami tujuan penyerang.
- Meningkatkan efektivitas SOC.
- Mempermudah threat hunting.
- Menyusun strategi mitigasi yang lebih baik.
- Mengurangi waktu respons terhadap insiden keamanan.
- Meningkatkan kemampuan analisis log dan forensic.
Hubungan TTP dengan Cyber Threat Intelligence
Cyber Threat Intelligence (CTI) adalah proses mengumpulkan, menganalisis, dan membagikan informasi mengenai ancaman siber agar organisasi dapat mengambil keputusan yang tepat.
TTP menjadi salah satu komponen utama dalam CTI karena memberikan gambaran mengenai bagaimana suatu kelompok ancaman beroperasi.
Misalnya, apabila sebuah kelompok APT diketahui sering menggunakan phishing sebagai metode awal, kemudian melakukan credential dumping dan lateral movement sebelum mencuri data, maka pola tersebut dapat digunakan sebagai indikator untuk mendeteksi aktivitas serupa di lingkungan organisasi lain.
Apa Itu Tactics?
Tactics merupakan tujuan atau sasaran yang ingin dicapai oleh penyerang pada suatu tahap serangan. Dengan kata lain, tactics menjelaskan "mengapa" suatu tindakan dilakukan.
Satu serangan biasanya terdiri dari beberapa tactics yang dilakukan secara berurutan. Setiap tactics mewakili fase tertentu dalam proses kompromi sistem.
Contoh tactics antara lain:
- Initial Access
- Execution
- Persistence
- Privilege Escalation
- Defense Evasion
- Credential Access
- Discovery
- Lateral Movement
- Collection
- Command and Control
- Exfiltration
- Impact
Daftar tersebut juga menjadi bagian dari framework MITRE ATT&CK yang banyak digunakan oleh organisasi di seluruh dunia.
Contoh Tactics dalam Serangan Siber
1. Initial Access
Pada tahap ini, tujuan penyerang adalah memperoleh akses awal ke dalam jaringan organisasi. Berbagai metode dapat digunakan, seperti phishing, eksploitasi aplikasi yang rentan, atau penyalahgunaan akun yang telah dicuri.
2. Persistence
Setelah berhasil masuk, penyerang biasanya berusaha mempertahankan akses agar tetap dapat kembali ke sistem meskipun perangkat telah di-restart atau kata sandi pengguna telah diubah.
3. Privilege Escalation
Apabila akses awal hanya memiliki hak terbatas, penyerang akan mencoba meningkatkan hak akses menjadi administrator atau root agar dapat mengendalikan sistem secara lebih leluasa.
4. Defense Evasion
Pada fase ini, penyerang berusaha menghindari deteksi dari antivirus, endpoint security, atau sistem monitoring dengan menggunakan berbagai teknik penyamaran.
5. Credential Access
Penyerang mencoba memperoleh username, password, token autentikasi, maupun informasi kredensial lainnya untuk memperluas akses ke sistem lain.
Karakteristik Tactics
Beberapa karakteristik utama tactics meliputi:
- Menjelaskan tujuan pada setiap fase serangan.
- Tidak menjelaskan alat yang digunakan.
- Bersifat umum dan dapat diterapkan pada berbagai jenis ancaman.
- Menjadi dasar dalam proses pemetaan ancaman menggunakan MITRE ATT&CK.
Peran SOC Analyst dalam Memahami Tactics
Seorang Security Operation Center (SOC) Analyst harus mampu mengidentifikasi tactics yang sedang dilakukan oleh penyerang berdasarkan log, alert, maupun aktivitas yang terdeteksi pada jaringan.
Misalnya, apabila ditemukan aktivitas login dari lokasi yang tidak biasa, diikuti dengan percobaan meningkatkan hak akses dan komunikasi ke server eksternal yang mencurigakan, maka SOC Analyst dapat memetakan aktivitas tersebut ke dalam beberapa tactics MITRE ATT&CK dan menentukan prioritas penanganan insiden.
Kesimpulan Sementara
Tactics merupakan fondasi utama dalam memahami pola serangan siber. Dengan mengetahui tujuan yang ingin dicapai pada setiap fase serangan, organisasi dapat membangun mekanisme deteksi dan respons yang lebih efektif sebelum ancaman berkembang menjadi insiden yang lebih serius.
Apa Itu Technique?
Setelah memahami Tactics, langkah berikutnya adalah mempelajari Technique. Jika tactics menjelaskan tujuan penyerang, maka technique menjelaskan bagaimana cara tujuan tersebut dicapai.
Technique merupakan metode, pendekatan, atau cara yang digunakan oleh hacker untuk melaksanakan suatu taktik tertentu. Dalam satu tactics, biasanya terdapat banyak teknik berbeda yang dapat dipilih sesuai kondisi target.
Sebagai contoh, apabila tujuan hacker adalah memperoleh Initial Access, terdapat berbagai teknik yang dapat digunakan, seperti phishing email, eksploitasi aplikasi web, brute force login, penyalahgunaan akun yang telah bocor, hingga eksploitasi layanan Remote Desktop Protocol (RDP).
Karena itulah, seorang Security Analyst tidak hanya perlu memahami tujuan serangan, tetapi juga berbagai teknik yang sering digunakan oleh pelaku ancaman.
Contoh Technique pada Setiap Tahap Serangan
1. Phishing
Phishing merupakan salah satu teknik paling populer yang digunakan hacker untuk memperoleh akses awal ke dalam sistem. Penyerang mengirim email yang tampak resmi agar korban mengklik tautan berbahaya atau membuka lampiran yang telah disisipi malware.
Teknik ini masih menjadi penyebab utama berbagai insiden keamanan karena memanfaatkan kelemahan manusia (human factor), bukan kelemahan teknologi.
Contoh:
- Email mengatasnamakan bank.
- Email HRD berisi file CV palsu.
- Email invoice palsu.
- Email reset password.
2. Password Brute Force
Pada teknik ini, penyerang mencoba berbagai kombinasi username dan password secara otomatis menggunakan perangkat lunak khusus.
Target yang tidak menerapkan kebijakan password kuat atau Multi-Factor Authentication (MFA) memiliki risiko lebih tinggi terhadap teknik ini.
3. Credential Stuffing
Credential Stuffing menggunakan username dan password yang telah bocor dari layanan lain.
Karena banyak pengguna menggunakan password yang sama di berbagai platform, teknik ini memiliki tingkat keberhasilan yang cukup tinggi.
4. Exploit Public-Facing Application
Penyerang mencari kerentanan pada aplikasi web yang dapat diakses melalui internet.
Beberapa contoh kerentanan yang sering dieksploitasi:
- SQL Injection
- Remote Code Execution (RCE)
- Command Injection
- Directory Traversal
- Authentication Bypass
5. PowerShell Abuse
PowerShell merupakan alat administrasi bawaan Windows yang sering dimanfaatkan administrator sistem.
Sayangnya, hacker juga memanfaatkan PowerShell untuk mengunduh malware, menjalankan script berbahaya, serta berkomunikasi dengan server Command and Control (C2).
6. Pass the Hash
Teknik ini memanfaatkan hash password Windows tanpa harus mengetahui password asli.
Apabila penyerang berhasil memperoleh hash NTLM, mereka dapat melakukan autentikasi ke komputer lain tanpa perlu melakukan cracking password terlebih dahulu.
7. Lateral Movement
Setelah berhasil menguasai satu komputer, hacker biasanya tidak langsung berhenti. Mereka akan bergerak menuju server atau workstation lain dalam jaringan internal.
Teknik ini dikenal sebagai Lateral Movement.
Tujuannya adalah menemukan aset yang lebih bernilai seperti:
- Database.
- File Server.
- Domain Controller.
- Server Email.
- Server Backup.
8. Data Exfiltration
Pada tahap akhir, hacker biasanya mencoba mencuri data sebelum meninggalkan sistem.
Data tersebut dapat berupa:
- Data pelanggan.
- Dokumen perusahaan.
- Kode sumber aplikasi.
- Database.
- Informasi keuangan.
Apa Itu Procedure?
Procedure merupakan implementasi nyata dari suatu technique.
Jika technique menjelaskan metode yang digunakan, maka procedure menjelaskan langkah demi langkah bagaimana metode tersebut diterapkan pada target tertentu.
Procedure bersifat sangat spesifik karena dipengaruhi oleh:
- Target yang diserang.
- Tools yang digunakan.
- Versi sistem operasi.
- Konfigurasi jaringan.
- Hak akses yang dimiliki penyerang.
Dengan kata lain, dua kelompok hacker dapat menggunakan technique yang sama tetapi memiliki procedure yang berbeda.
Contoh Procedure
Misalnya sebuah kelompok ransomware ingin memperoleh akses melalui phishing.
Procedure yang dilakukan dapat berupa:
- Mengumpulkan alamat email karyawan.
- Membuat email palsu yang menyerupai HRD.
- Melampirkan file Microsoft Word berisi macro berbahaya.
- Korban membuka file tersebut.
- Macro menjalankan PowerShell.
- PowerShell mengunduh malware.
- Malware terhubung ke Command and Control Server.
- Penyerang memperoleh akses awal.
- Melakukan privilege escalation.
- Menyebarkan ransomware ke seluruh jaringan.
Keseluruhan langkah tersebut merupakan procedure.
Perbedaan Tactics, Techniques, dan Procedures
| Komponen | Penjelasan | Contoh |
|---|---|---|
| Tactics | Tujuan yang ingin dicapai hacker. | Initial Access. |
| Technique | Cara untuk mencapai tujuan. | Phishing Email. |
| Procedure | Langkah teknis yang dilakukan. | Mengirim email, korban membuka file, malware berjalan. |
Ilustrasi Sederhana Memahami TTP
Bayangkan seorang pencuri ingin masuk ke sebuah rumah.
- Tactics: Masuk ke dalam rumah.
- Technique: Membobol jendela.
- Procedure: Datang malam hari, mematikan lampu luar, membuka jendela menggunakan obeng, lalu masuk ke rumah.
Ilustrasi sederhana ini membantu memahami bahwa TTP tidak hanya menjelaskan tujuan, tetapi juga metode dan langkah-langkah yang dilakukan untuk mencapai tujuan tersebut.
Mengapa TTP Terus Berubah?
Pelaku ancaman terus mengembangkan teknik baru untuk menghindari deteksi. Ketika suatu malware berhasil dikenali oleh antivirus, mereka dapat mengganti malware tersebut dengan versi lain tanpa mengubah tujuan maupun pola serangannya.
Oleh karena itu, organisasi yang hanya mengandalkan signature antivirus akan lebih mudah tertinggal dibanding organisasi yang melakukan deteksi berdasarkan perilaku (behavior-based detection).
Pendekatan berbasis TTP memungkinkan tim keamanan mengenali aktivitas mencurigakan meskipun malware atau alat yang digunakan belum pernah ditemukan sebelumnya.
Hubungan TTP dengan Threat Hunting
Threat Hunting merupakan aktivitas mencari ancaman secara proaktif sebelum sistem keamanan menghasilkan alarm.
Seorang Threat Hunter akan menggunakan informasi TTP untuk menyusun hipotesis mengenai kemungkinan aktivitas penyerang di dalam jaringan.
Sebagai contoh, apabila sebuah kelompok APT diketahui sering menggunakan PowerShell setelah berhasil melakukan phishing, maka Threat Hunter dapat mencari aktivitas PowerShell yang tidak biasa pada endpoint perusahaan sebagai bagian dari proses investigasi.
Kesimpulan Sementara
Technique menjelaskan metode yang digunakan hacker, sedangkan Procedure menjelaskan implementasi teknis dari metode tersebut. Ketika digabungkan dengan Tactics, ketiga elemen ini membentuk konsep TTP yang menjadi dasar dalam analisis ancaman modern, threat intelligence, threat hunting, serta proses deteksi yang dilakukan oleh Security Operation Center (SOC).
Hubungan TTP dengan MITRE ATT&CK Framework
Dalam dunia keamanan siber modern, pembahasan mengenai TTP tidak dapat dipisahkan dari MITRE ATT&CK Framework. Framework ini menjadi salah satu referensi paling banyak digunakan oleh perusahaan, lembaga pemerintahan, serta profesional keamanan siber untuk memahami pola serangan yang dilakukan oleh pelaku ancaman.
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) merupakan basis pengetahuan global yang berisi kumpulan perilaku dan teknik yang digunakan oleh kelompok hacker di dunia nyata.
Berbeda dengan daftar malware atau indikator serangan yang mudah berubah, MITRE ATT&CK berfokus pada perilaku penyerang. Hal tersebut membuat framework ini tetap relevan meskipun hacker mengganti malware, server, maupun infrastruktur yang digunakan.
Mengapa MITRE ATT&CK Penting dalam Cyber Security?
MITRE ATT&CK membantu organisasi menjawab beberapa pertanyaan penting seperti:
- Bagaimana hacker mendapatkan akses awal?
- Teknik apa yang digunakan untuk mempertahankan akses?
- Bagaimana penyerang menghindari deteksi?
- Bagaimana data dicuri?
- Apa langkah yang dapat dilakukan untuk menghentikan serangan?
Dengan informasi tersebut, tim keamanan dapat membuat strategi pertahanan yang lebih tepat berdasarkan ancaman nyata.
MITRE ATT&CK Tactics
Dalam framework MITRE ATT&CK Enterprise, terdapat beberapa kategori tactics yang menggambarkan tujuan utama seorang penyerang.
1. Reconnaissance
Reconnaissance merupakan tahap ketika penyerang melakukan pengumpulan informasi mengenai target sebelum melakukan serangan.
Informasi yang dikumpulkan dapat berupa:
- Alamat email karyawan.
- Struktur organisasi.
- Teknologi yang digunakan.
- Domain perusahaan.
- Informasi publik dari media sosial.
Tahap ini sering dilakukan melalui teknik Open Source Intelligence (OSINT).
2. Resource Development
Pada tahap ini, pelaku ancaman mempersiapkan sumber daya yang diperlukan untuk menjalankan serangan.
Contohnya:
- Membuat domain palsu.
- Menyewa server berbahaya.
- Membuat malware.
- Mempersiapkan akun palsu.
3. Initial Access
Initial Access adalah tahap ketika hacker mulai mendapatkan akses pertama ke sistem target.
Teknik yang umum digunakan:
- Spear Phishing.
- Exploit Public-Facing Application.
- Valid Account Abuse.
- Drive-by Compromise.
4. Execution
Pada tahap Execution, penyerang menjalankan kode atau program berbahaya pada sistem korban.
Contoh teknik:
- Command and Scripting Interpreter.
- PowerShell.
- User Execution.
- Malicious File.
5. Persistence
Persistence bertujuan membuat penyerang tetap memiliki akses meskipun sistem telah melakukan restart atau password telah diganti.
Contoh metode persistence:
- Membuat akun pengguna baru.
- Mengubah registry.
- Menggunakan scheduled task.
- Memasang backdoor.
6. Privilege Escalation
Setelah mendapatkan akses awal, hacker biasanya mencoba memperoleh hak akses yang lebih tinggi.
Tujuannya adalah mendapatkan kontrol administrator agar dapat melakukan aktivitas yang lebih luas.
7. Defense Evasion
Defense Evasion merupakan usaha penyerang untuk menghindari sistem keamanan.
Teknik yang sering digunakan:
- Menghapus log.
- Menggunakan malware tanpa file (fileless malware).
- Menonaktifkan antivirus.
- Menyamarkan aktivitas.
8. Credential Access
Pada tahap ini, penyerang mencoba mendapatkan informasi autentikasi.
Contohnya:
- Password.
- Cookie browser.
- Token autentikasi.
- Database kredensial.
9. Discovery
Discovery merupakan proses ketika hacker mempelajari lingkungan internal setelah berhasil masuk.
Mereka dapat mencari:
- Informasi komputer.
- User account.
- Jaringan internal.
- Server penting.
- Database.
10. Lateral Movement
Lateral Movement adalah aktivitas berpindah dari satu sistem menuju sistem lain di dalam jaringan.
Tujuannya adalah mendapatkan akses ke aset yang lebih penting.
Contoh:
- Dari komputer karyawan menuju file server.
- Dari workstation menuju domain controller.
11. Collection
Collection merupakan tahap pengumpulan data yang menjadi target penyerang.
Data yang dikumpulkan dapat berupa:
- Dokumen rahasia.
- Database pelanggan.
- Email internal.
- Kode sumber aplikasi.
12. Command and Control (C2)
Command and Control merupakan komunikasi antara sistem korban dengan infrastruktur milik penyerang.
Melalui koneksi C2, hacker dapat:
- Mengirim perintah.
- Mengunduh malware tambahan.
- Mengambil data.
- Mempertahankan akses.
13. Exfiltration
Exfiltration adalah proses pemindahan data dari sistem korban menuju lokasi yang dikendalikan oleh penyerang.
Metode yang digunakan dapat berupa:
- Cloud storage.
- Server eksternal.
- FTP.
- Encrypted channel.
14. Impact
Pada tahap Impact, tujuan utama hacker adalah memberikan kerusakan atau mendapatkan keuntungan dari serangan.
Contohnya:
- Ransomware.
- Menghapus data.
- Merusak sistem.
- Menghentikan layanan.
Perbedaan IOC, IOA, dan TTP
Dalam proses deteksi ancaman, terdapat tiga konsep yang sering digunakan oleh Security Analyst, yaitu IOC, IOA, dan TTP.
| Konsep | Penjelasan | Contoh |
|---|---|---|
| IOC (Indicator of Compromise) | Bukti bahwa sistem kemungkinan telah mengalami kompromi. | Hash malware, IP berbahaya, domain mencurigakan. |
| IOA (Indicator of Attack) | Aktivitas yang menunjukkan adanya percobaan serangan. | Percobaan login abnormal, eksekusi script mencurigakan. |
| TTP | Pola perilaku dan metode yang digunakan hacker. | Phishing, privilege escalation, lateral movement. |
APT (Advanced Persistent Threat)
Salah satu kelompok ancaman yang paling sering dianalisis menggunakan TTP adalah Advanced Persistent Threat (APT).
APT merupakan serangan yang biasanya dilakukan oleh kelompok hacker yang memiliki kemampuan tinggi, sumber daya besar, dan tujuan tertentu seperti spionase, pencurian data, atau sabotase.
Karakteristik APT:
- Serangan dilakukan secara terencana.
- Menggunakan berbagai teknik secara bertahap.
- Berusaha mempertahankan akses dalam waktu lama.
- Sulit dideteksi menggunakan metode keamanan tradisional.
Contoh Kelompok Hacker dan TTP yang Digunakan
Lazarus Group
Lazarus Group dikenal sebagai kelompok ancaman yang sering dikaitkan dengan berbagai operasi siber berskala besar.
Beberapa teknik yang sering digunakan:
- Spear phishing.
- Malware custom.
- Credential theft.
- Data exfiltration.
APT29
APT29 merupakan kelompok yang dikenal menggunakan teknik stealth untuk mempertahankan akses dalam jaringan korban.
Teknik yang sering dikaitkan:
- Valid account.
- Cloud abuse.
- PowerShell.
- Credential access.
Kelompok Ransomware
Kelompok ransomware modern biasanya menggunakan kombinasi berbagai TTP sebelum melakukan enkripsi data.
Alur serangan sering meliputi:
- Phishing atau eksploitasi awal.
- Mendapatkan kredensial.
- Bergerak dalam jaringan.
- Mencuri data.
- Mengenkripsi sistem.
- Meminta tebusan.
Kesimpulan Sementara
MITRE ATTACK membantu profesional keamanan memahami bagaimana hacker berpikir dan bertindak. Dengan memetakan aktivitas berdasarkan TTP, organisasi dapat mendeteksi serangan lebih cepat, melakukan threat hunting secara efektif, dan membangun pertahanan yang lebih kuat.
Bagaimana SOC Analyst Menggunakan TTP dalam Operasi Keamanan?
Security Operation Center (SOC) merupakan pusat pengawasan keamanan yang bertugas mendeteksi, menganalisis, dan merespons berbagai ancaman siber. Salah satu kemampuan utama seorang SOC Analyst adalah memahami pola serangan berdasarkan Tactics, Techniques, and Procedures (TTP).
Dengan memahami TTP, SOC Analyst tidak hanya melihat sebuah alert sebagai kejadian tunggal, tetapi mampu memahami rangkaian aktivitas yang dilakukan oleh penyerang.
Sebagai contoh, sebuah sistem keamanan mendeteksi aktivitas PowerShell yang mencurigakan. Aktivitas tersebut mungkin terlihat sederhana, tetapi seorang SOC Analyst yang memahami TTP akan melakukan analisis lebih jauh:
- Apakah PowerShell tersebut merupakan bagian dari eksekusi malware?
- Apakah terdapat komunikasi menuju Command and Control Server?
- Apakah ada aktivitas pencurian kredensial?
- Apakah terjadi lateral movement?
Dengan pendekatan berbasis TTP, proses investigasi menjadi lebih akurat dan tidak hanya bergantung pada satu indikator saja.
Peran SIEM dalam Mendeteksi TTP Hacker
Security Information and Event Management (SIEM) merupakan platform yang digunakan untuk mengumpulkan, menghubungkan, dan menganalisis log keamanan dari berbagai sumber.
SIEM dapat menerima data dari:
- Firewall.
- Server.
- Endpoint.
- Active Directory.
- Aplikasi perusahaan.
- Cloud Platform.
- Network Device.
Dengan menggunakan aturan deteksi yang telah dipetakan berdasarkan TTP, SIEM dapat memberikan peringatan ketika menemukan aktivitas yang menyerupai perilaku hacker.
Contohnya:
- Banyak percobaan login gagal dari satu alamat IP.
- User biasa menjalankan aktivitas administrator.
- PowerShell menjalankan script mencurigakan.
- Komputer internal melakukan koneksi ke domain berbahaya.
Aktivitas tersebut dapat dikategorikan berdasarkan teknik tertentu dalam MITRE ATT&CK sehingga analis dapat memahami konteks serangan.
Peran EDR dalam Analisis Perilaku Hacker
Endpoint Detection and Response (EDR) merupakan teknologi keamanan yang berfokus pada pemantauan aktivitas endpoint seperti komputer pengguna, server, dan laptop perusahaan.
Berbeda dengan antivirus tradisional yang banyak bergantung pada signature malware, EDR menggunakan pendekatan berbasis perilaku.
EDR dapat mendeteksi aktivitas seperti:
- Proses mencurigakan yang berjalan pada komputer.
- Perubahan registry yang tidak normal.
- Eksekusi file berbahaya.
- Aktivitas PowerShell abnormal.
- Koneksi jaringan mencurigakan.
Karena banyak serangan modern menggunakan teknik yang sama meskipun malware berubah, pendekatan berbasis TTP menjadi sangat penting dalam teknologi EDR.
Threat Hunting Menggunakan Pendekatan TTP
Threat Hunting adalah aktivitas mencari ancaman secara proaktif sebelum sistem keamanan memberikan peringatan.
Seorang Threat Hunter tidak hanya menunggu alarm, tetapi secara aktif mencari indikasi bahwa penyerang mungkin telah berada di dalam jaringan.
Proses threat hunting berbasis TTP biasanya dilakukan melalui beberapa tahap:
1. Membuat Hipotesis
Threat Hunter menentukan kemungkinan aktivitas yang ingin dicari berdasarkan informasi ancaman terbaru.
Contoh:
"Kelompok ransomware tertentu diketahui sering menggunakan PowerShell untuk mengunduh payload. Apakah terdapat aktivitas PowerShell mencurigakan dalam jaringan perusahaan?"
2. Mengumpulkan Data
Data dapat berasal dari:
- Log endpoint.
- Log firewall.
- DNS Query.
- Network Traffic.
- Authentication Log.
3. Melakukan Analisis
Data yang diperoleh kemudian dibandingkan dengan pola TTP kelompok ancaman tertentu.
4. Melakukan Respons
Apabila ditemukan indikasi serangan, tim keamanan dapat melakukan tindakan seperti:
- Isolasi endpoint.
- Memblokir domain berbahaya.
- Mereset kredensial.
- Melakukan investigasi lebih lanjut.
Contoh Alur Serangan Berdasarkan TTP
Berikut contoh sederhana bagaimana sebuah serangan ransomware dapat terjadi:
- Reconnaissance: Penyerang mencari informasi mengenai perusahaan melalui internet dan media sosial.
- Initial Access: Penyerang mengirim email phishing kepada karyawan.
- Execution: Korban membuka file berbahaya sehingga malware berjalan.
- Persistence: Malware membuat mekanisme agar tetap aktif.
- Credential Access: Penyerang mencuri password administrator.
- Lateral Movement: Penyerang berpindah menuju server penting.
- Collection: Data perusahaan dikumpulkan.
- Exfiltration: Data dikirim ke server penyerang.
- Impact: Sistem dienkripsi menggunakan ransomware.
Dengan memahami pola tersebut, organisasi dapat membuat kontrol keamanan pada setiap tahap serangan.
Cara Organisasi Meningkatkan Pertahanan Berdasarkan TTP
Memahami TTP saja tidak cukup. Organisasi harus menerjemahkan informasi tersebut menjadi tindakan keamanan nyata.
1. Membuat Security Baseline
Organisasi perlu mengetahui kondisi normal sistem agar aktivitas abnormal dapat lebih mudah ditemukan.
2. Melakukan Vulnerability Assessment
Pemeriksaan kerentanan membantu menemukan kelemahan sebelum dimanfaatkan oleh hacker.
3. Melakukan Penetration Testing
Penetration testing mensimulasikan serangan nyata untuk menguji kemampuan pertahanan organisasi.
4. Menerapkan Security Awareness Training
Banyak serangan dimulai dari faktor manusia. Oleh karena itu, edukasi keamanan kepada karyawan menjadi bagian penting dalam pertahanan.
5. Menggunakan Framework Keamanan
Organisasi dapat menggunakan berbagai framework seperti:
- MITRE ATT&CK.
- NIST Cybersecurity Framework.
- ISO 27001.
- CIS Controls.
Kesalahan Umum dalam Menghadapi Ancaman Siber
Beberapa organisasi masih melakukan beberapa kesalahan yang meningkatkan risiko serangan.
-
Hanya mengandalkan antivirus.
Antivirus tidak selalu mampu mendeteksi teknik baru yang digunakan hacker. -
Tidak melakukan monitoring.
Serangan yang tidak terdeteksi dapat berlangsung lama di dalam jaringan. -
Tidak melakukan pembaruan sistem.
Celah keamanan lama sering menjadi pintu masuk hacker. -
Tidak memiliki prosedur respons insiden.
Tanpa rencana yang jelas, organisasi akan kesulitan ketika terjadi serangan.
Kesimpulan
Tactics, Techniques, and Procedures (TTP) merupakan konsep penting dalam dunia keamanan siber yang membantu profesional memahami bagaimana hacker melakukan serangan.
Tactics menjelaskan tujuan utama penyerang, Techniques menjelaskan metode yang digunakan, sedangkan Procedures menjelaskan langkah teknis yang dilakukan untuk mencapai tujuan tersebut.
Dengan memahami TTP, organisasi dapat meningkatkan kemampuan deteksi, melakukan threat hunting, memperkuat SOC, serta membangun strategi keamanan yang lebih efektif.
Di era serangan siber modern, memahami perilaku penyerang jauh lebih penting dibanding hanya mengetahui alat yang mereka gunakan. Malware dapat berubah, alamat IP dapat berganti, tetapi pola perilaku hacker sering kali memiliki karakteristik yang dapat dianalisis.
Oleh karena itu, pendekatan berbasis TTP menjadi salah satu fondasi utama dalam membangun pertahanan keamanan siber yang modern dan proaktif.
Frequently Asked Questions (FAQ)
Apa itu TTP dalam Cyber Security?
TTP adalah singkatan dari Tactics, Techniques, and Procedures yang digunakan untuk menjelaskan tujuan, metode, dan langkah yang dilakukan oleh pelaku ancaman saat melakukan serangan siber.
Mengapa SOC Analyst harus memahami TTP?
Karena TTP membantu SOC Analyst memahami pola serangan, melakukan investigasi lebih cepat, dan mendeteksi aktivitas berbahaya berdasarkan perilaku.
Apa hubungan TTP dengan MITRE ATT&CK?
MITRE ATT&CK menyediakan database teknik dan taktik yang digunakan hacker di dunia nyata sehingga dapat menjadi referensi untuk analisis ancaman.
Apa perbedaan IOC dan TTP?
IOC merupakan indikator spesifik seperti IP address atau hash malware, sedangkan TTP menggambarkan pola perilaku dan metode yang digunakan hacker.
Apakah TTP hanya digunakan oleh perusahaan besar?
Tidak. Organisasi dengan berbagai ukuran dapat menggunakan pendekatan TTP untuk meningkatkan keamanan siber.
Apa manfaat threat hunting berbasis TTP?
Threat hunting berbasis TTP membantu menemukan ancaman yang mungkin belum terdeteksi oleh sistem keamanan otomatis.
Apakah MITRE ATT&CK merupakan tools keamanan?
Bukan. MITRE ATT&CK adalah framework dan knowledge base yang digunakan untuk memahami perilaku serangan.
Posting Komentar