Cara Menganalisis File Mencurigakan untuk SOC Analyst: Panduan Lengkap dari Nol

Pernahkah kamu menerima file dari email, WhatsApp, Telegram, cloud storage, atau hasil download dari internet lalu langsung membukanya tanpa memeriksa terlebih dahulu?

Kalau pernah, kamu tidak sendirian.

Bagi pengguna biasa, sebuah file mungkin terlihat sederhana. Ada nama file, ikon, ekstensi, dan ukuran file. Tetapi bagi seorang SOC Analyst, file tersebut bisa menjadi sumber informasi yang sangat penting.

Sebuah dokumen dapat mengandung macro atau komponen aktif. Sebuah installer dapat menjalankan proses tambahan. Sebuah shortcut dapat mengarah ke program lain. Bahkan file yang terlihat seperti dokumen biasa dapat menjadi bagian dari rangkaian serangan yang jauh lebih besar.

Inilah alasan mengapa analisis file mencurigakan menjadi salah satu kemampuan penting dalam Security Operations Center.

Ketika sebuah organisasi menerima laporan seperti:

"Saya menerima email dari vendor dan ada attachment. Apakah file ini aman?"

SOC Analyst tidak cukup hanya menjawab "aman" atau "berbahaya". Mereka perlu mengumpulkan evidence, memahami konteks, melakukan analisis, membandingkan indikator dengan threat intelligence, kemudian menentukan tindakan yang tepat.

Dalam artikel ini kita akan membahas proses tersebut dari dasar.

Tujuannya bukan membuat kamu langsung menjadi malware researcher profesional, tetapi memberikan fondasi praktis untuk memahami bagaimana SOC Analyst melakukan triage terhadap file mencurigakan secara aman dan terstruktur.

1. Apa Itu SOC Analyst?

SOC Analyst adalah profesional keamanan siber yang bertugas memonitor, mendeteksi, melakukan triage, menginvestigasi, dan membantu merespons aktivitas keamanan yang mencurigakan.

Dalam lingkungan perusahaan, SOC biasanya menerima data dari banyak sumber:

endpoint security;
antivirus atau EDR;
firewall;
email security;
DNS monitoring;
proxy;
identity provider;
cloud platform;
SIEM;
dan laporan pengguna.

File mencurigakan hanyalah salah satu jenis alert yang dapat diterima SOC.

Misalnya seorang karyawan melaporkan:

"Saya mendapatkan invoice dari supplier. Setelah attachment dibuka, komputer menjadi lambat dan muncul proses yang tidak saya kenal."

Informasi tersebut langsung memberikan beberapa pertanyaan bagi SOC Analyst:

File apa yang dibuka?
Dari mana file berasal?
Kapan file diterima?
Kapan file dibuka?
Apakah file pernah dijalankan?
Apakah endpoint melakukan koneksi jaringan yang tidak biasa?
Apakah ada proses baru?
Apakah pengguna lain menerima file yang sama?
Apakah hash file sudah dikenal sebagai malicious?

Perhatikan bahwa pertanyaan-pertanyaan tersebut tidak langsung berfokus pada "cara menjalankan malware".

Fokus SOC adalah memahami risiko dan mengumpulkan evidence secara aman.

2. Mengapa File Biasa Bisa Menjadi Ancaman?

Kesalahan umum pemula adalah menganggap file berbahaya selalu memiliki penampilan yang mencurigakan.

Pada kenyataannya, pelaku serangan sering memanfaatkan sesuatu yang terlihat normal.

Misalnya:

invoice;
purchase order;
resume;
surat undangan;
dokumen pajak;
dokumen kontrak;
installer software;
file archive;
atau shortcut.

Nama file seperti:

Invoice_2026.pdf
Salary_Adjustment.docx
Company_Profile.xlsx
Meeting_Invitation.zip

tidak memberikan jaminan bahwa file tersebut aman.

Nama file adalah metadata yang mudah diubah.

Begitu juga ikon file.

Ikon dapat dibuat terlihat seperti dokumen meskipun objek sebenarnya berbeda.

Karena itu seorang SOC Analyst tidak boleh mengambil keputusan hanya berdasarkan:

nama file;
ikon file;
nama pengirim;
atau klaim bahwa file berasal dari perusahaan tertentu.

Semua informasi tersebut harus dilihat sebagai bagian dari konteks yang lebih besar.

3. Apa Itu Malware?

Malware adalah istilah umum untuk perangkat lunak atau kode yang dirancang untuk melakukan aktivitas berbahaya atau tidak diinginkan.

Jenis malware sangat beragam.

Virus

Secara historis, virus mengacu pada program atau kode yang dapat menyebarkan dirinya dengan menginfeksi file atau program lain.

Worm

Worm dirancang untuk menyebar dari satu sistem ke sistem lain dengan tingkat otomatisasi tertentu.

Trojan

Trojan menyamar sebagai sesuatu yang terlihat legitimate tetapi menjalankan fungsi yang tidak diharapkan pengguna.

Ransomware

Ransomware biasanya berhubungan dengan pemblokiran atau enkripsi data dan tuntutan pembayaran dari korban.

Spyware

Spyware berfokus pada pengumpulan informasi dari sistem atau pengguna tanpa persetujuan yang semestinya.

Downloader atau Dropper

Kategori ini sering digunakan sebagai tahap awal untuk memperoleh atau menjalankan komponen lain.

Infostealer

Infostealer dirancang untuk mencari dan mengambil informasi tertentu dari sistem korban, misalnya data autentikasi atau informasi browser.

Penting untuk dipahami bahwa satu sampel tidak selalu mudah dimasukkan ke dalam satu kategori.

Malware modern dapat memiliki beberapa kemampuan sekaligus.

4. Jenis File yang Perlu Diperhatikan SOC Analyst

Tidak semua file mencurigakan memiliki ekstensi .exe.

Justru pemula sering melakukan kesalahan dengan hanya mencurigai executable.

Dalam investigasi keamanan, berbagai jenis file dapat menjadi relevan.

Executable

Contohnya program Windows dengan ekstensi seperti:

.exe
.dll
.scr

File executable secara alami perlu mendapatkan perhatian lebih karena dapat menjalankan kode.

Office Documents

Dokumen Office juga perlu diperhatikan, terutama ketika berasal dari sumber yang tidak terduga.

.doc
.docm
.xls
.xlsm
.ppt
.pptm

Dokumen dengan fitur aktif seperti macro memiliki karakteristik berbeda dari dokumen biasa.

Shortcut dan Script

Jenis file tertentu dapat berfungsi sebagai mekanisme untuk memanggil program atau interpreter.

Karena itu file seperti shortcut dan script perlu diperlakukan sesuai kebijakan organisasi.

PDF

PDF sering dianggap aman hanya karena bukan executable.

Anggapan tersebut terlalu sederhana.

PDF merupakan format dokumen yang kompleks dan dapat memiliki berbagai fitur. Dalam investigasi, PDF mencurigakan tetap perlu dianalisis menggunakan metode yang sesuai.

5. Apa Itu File Triage?

File triage adalah proses penilaian awal untuk menentukan apakah sebuah file perlu diinvestigasi lebih lanjut dan seberapa besar prioritasnya.

Triage bukan berarti langsung melakukan reverse engineering.

Tujuan triage justru adalah menjawab pertanyaan dasar terlebih dahulu.

Apakah file ini patut dicurigai?

Jika iya:

Apa evidence yang mendukung kecurigaan tersebut?

Kemudian:

Apa tindakan berikutnya yang paling aman?

Misalnya sebuah file dilaporkan oleh user.

SOC Analyst dapat membuat catatan awal:

File:
Invoice_2026.zip

Source:
External email

Reported by:
Finance department

Received:
08 August 2026

User opened:
Unknown

Hash:
To be calculated

Initial status:
Suspicious - pending analysis

Catatan sederhana seperti ini sangat berguna karena mencegah analyst langsung melompat ke kesimpulan.

6. Workflow Analisis File Mencurigakan

Untuk pemula, workflow berikut cukup mudah dipahami:

Alert / User Report
        ↓
Collect Context
        ↓
Preserve Evidence
        ↓
Calculate Hash
        ↓
Static Triage
        ↓
Threat Intelligence
        ↓
Sandbox / Dynamic Analysis
        ↓
Correlate Evidence
        ↓
Verdict
        ↓
Response
        ↓
Documentation

Workflow ini dapat berbeda antara satu organisasi dan organisasi lainnya.

Namun prinsip dasarnya tetap sama:

jangan langsung mengeksekusi file hanya untuk melihat apa yang terjadi.

Jika file memang berbahaya, eksekusi sembarangan dapat menyebabkan:

perubahan sistem;
koneksi jaringan;
pembuatan proses;
perubahan file;
perubahan konfigurasi;
atau penyebaran insiden.

Karena itu analisis sebaiknya dimulai dari teknik yang tidak membutuhkan eksekusi.

7. Evidence Apa yang Harus Dikumpulkan?

Sebelum melakukan analisis teknis, kumpulkan sebanyak mungkin konteks.

Nama file

Catat nama file persis seperti yang diterima.

Lokasi file

Apakah file ditemukan di:

email attachment;
download folder;
network share;
cloud storage;
USB;
atau lokasi lainnya?

Waktu

Catat kapan file diterima, dibuat, diunduh, atau dilaporkan.

User context

Siapa pengguna yang menerima file?

Apakah pengguna tersebut memang membutuhkan file tersebut?

Source

Apakah file berasal dari vendor, pelanggan, kolega, atau sumber yang tidak dikenal?

Hash

Hash menjadi identifier penting untuk menghubungkan file dengan threat intelligence dan evidence lainnya.

Endpoint context

Jika file sudah dibuka, cari tahu endpoint mana yang terlibat dan aktivitas apa yang terjadi setelahnya.

Semakin lengkap konteks yang dikumpulkan, semakin baik kualitas investigasi.

8. Memahami File Hash

Salah satu konsep paling penting dalam analisis file adalah hash.

Hash dapat dibayangkan sebagai fingerprint digital yang dihasilkan dari isi sebuah file menggunakan algoritma tertentu.

Algoritma yang sering ditemui antara lain:

MD5;
SHA-1;
SHA-256.

Dalam konteks threat intelligence modern, SHA-256 sering menjadi identifier yang sangat berguna.

Misalnya sebuah file memiliki SHA-256:

example-sha256-value

Hash tersebut dapat digunakan untuk mencari apakah file yang sama pernah dilihat dalam database threat intelligence yang relevan.

Perlu dipahami:

Hash bukan bukti otomatis bahwa file berbahaya.

Jika sebuah hash tidak ditemukan dalam database, artinya hanya bahwa database tersebut belum memberikan informasi untuk hash tersebut.

Itu tidak berarti:

Unknown hash = Safe file

Kesimpulan yang lebih tepat adalah:

Unknown hash = Insufficient evidence

Ini merupakan konsep penting bagi SOC Analyst pemula.

9. Mengapa SHA-256 Berguna dalam Investigasi?

Bayangkan sebuah perusahaan menerima file yang sama pada 50 komputer.

Jika isi file benar-benar identik, file tersebut akan memiliki hash yang sama.

Dengan demikian SOC dapat menggunakan hash sebagai salah satu cara melakukan correlation.

Misalnya:

Host A
 └── SHA-256: X

Host B
 └── SHA-256: X

Host C
 └── SHA-256: X

Jika X kemudian diketahui malicious berdasarkan evidence yang cukup, SOC dapat mencari endpoint lain yang memiliki hash sama.

Ini sangat membantu dalam menentukan cakupan insiden.

10. Memeriksa Metadata File

Langkah berikutnya adalah memeriksa metadata.

Metadata merupakan informasi mengenai file yang dapat membantu analyst memahami karakteristik dan asal-usulnya.

Tergantung format file, informasi yang tersedia dapat mencakup:

file type;
file size;
creation information;
modification information;
author;
application;
document properties;
dan informasi format lainnya.

Namun metadata juga bukan bukti absolut.

Metadata dapat berubah atau dimanipulasi.

Karena itu gunakan metadata sebagai supporting evidence, bukan sebagai satu-satunya dasar verdict.

11. Apa Itu Static Analysis?

Static analysis berarti menganalisis file tanpa menjalankan file tersebut.

Untuk pemula, ini adalah salah satu tahap paling penting karena relatif aman dibandingkan mengeksekusi sampel secara langsung.

Beberapa hal yang dapat diperiksa:

file type;
hash;
metadata;
format header;
strings;
embedded objects;
signature;
struktur file;
dan indikator lain yang relevan.

Tujuannya bukan langsung menemukan semua malicious behavior.

Tujuannya adalah membangun gambaran awal tentang file.

12. File Extension Bukan File Type

Ini merupakan konsep dasar yang wajib dipahami.

Ekstensi file dapat memberi petunjuk, tetapi tidak selalu menggambarkan isi sebenarnya.

Misalnya:

document.pdf

Nama tersebut memberi kesan bahwa file adalah PDF.

Namun analyst sebaiknya tetap memeriksa karakteristik file untuk memastikan format sebenarnya.

Hal yang sama berlaku untuk:

invoice.doc
photo.jpg
report.xlsx

Jangan membuat verdict hanya berdasarkan nama.

Prinsip sederhananya:

Nama file adalah claim. Struktur file adalah evidence.

13. Mengapa Header File Penting?

Banyak format file memiliki struktur atau signature tertentu yang dapat membantu mengidentifikasi jenis file.

Dalam proses static analysis, analyst dapat memeriksa bagian awal file dan struktur formatnya.

Tujuannya adalah mengetahui apakah:

file konsisten dengan extension;
formatnya valid;
terdapat struktur yang tidak biasa;
atau terdapat data tambahan yang patut diperiksa.

Jika sebuah file bernama:

Invoice.pdf

tetapi struktur file menunjukkan karakteristik format yang berbeda, hal tersebut merupakan red flag.

Namun red flag tetap bukan verdict final.

14. Strings Analysis

Teknik lain yang cukup populer dalam static analysis adalah memeriksa string yang terdapat di dalam file.

String dapat memberikan petunjuk mengenai konten yang terdapat dalam file.

Misalnya analyst menemukan referensi seperti:

https://example.invalid
user-agent
powershell
cmd
registry
configuration

Keberadaan kata tersebut tidak otomatis berarti malware.

Software legitimate juga dapat menggunakan command interpreter, URL, registry, atau configuration string.

Yang penting adalah konteks.

Misalnya sebuah aplikasi bisnis legitimate tentu dapat memiliki URL API.

Sementara sebuah dokumen yang seharusnya hanya berisi informasi teks tetapi memiliki banyak indikator teknis yang tidak relevan mungkin layak mendapatkan pemeriksaan lebih lanjut.

15. Jangan Terjebak dengan Satu Red Flag

Salah satu kesalahan terbesar pemula dalam malware analysis adalah melakukan overreaction terhadap satu indikator.

Contohnya:

"Ada IP address di strings, berarti malware."

Kesimpulan tersebut terlalu cepat.

Aplikasi legitimate dapat berkomunikasi dengan IP address.

Contoh lainnya:

"File menggunakan PowerShell, berarti malicious."

Juga tidak selalu benar.

PowerShell dapat digunakan untuk administrasi sistem yang legitimate.

Yang perlu dicari adalah kombinasi evidence.

Misalnya:

Unexpected file type
+
Suspicious origin
+
Unusual embedded object
+
Known malicious hash
+
Suspicious execution behavior

Kombinasi indikator tersebut jauh lebih kuat dibandingkan satu indikator saja.

16. Threat Intelligence: Menghubungkan File dengan Dunia Nyata

Setelah mendapatkan hash atau indikator lain, SOC Analyst dapat menggunakan sumber threat intelligence yang sesuai dengan kebijakan organisasi.

Salah satu layanan yang sering dikenal dalam komunitas keamanan adalah VirusTotal.

Platform seperti ini dapat membantu analyst melihat apakah sebuah file atau indicator pernah dilaporkan atau dianalisis oleh sumber lain.

Namun ada aturan penting:

Jangan sembarangan mengunggah file perusahaan yang sensitif ke layanan publik.

File yang di-upload ke layanan tertentu dapat memiliki implikasi terhadap kerahasiaan dan kebijakan data organisasi.

Untuk file internal, confidential, customer data, credential, source code, atau dokumen sensitif, ikuti kebijakan perusahaan dan gunakan mekanisme analisis yang telah disetujui.

17. Cara Membaca Hasil Threat Intelligence

Misalnya sebuah platform menunjukkan bahwa hash tertentu memiliki beberapa detection.

Pemula sering langsung berpikir:

"Kalau ada satu engine yang mendeteksi, berarti pasti malware."

Sebaliknya, ada juga yang berpikir:

"Kalau tidak ada detection, berarti aman."

Keduanya terlalu sederhana.

Threat intelligence harus dibaca sebagai salah satu sumber evidence.

Perhatikan:

jumlah detection;
nama klasifikasi;
konsistensi antar-engine;
jenis file;
timestamp;
behavior report jika tersedia;
dan konteks file.

Semakin banyak evidence yang saling mendukung, semakin kuat confidence terhadap verdict.

18. Apa Itu Dynamic Analysis?

Dynamic analysis adalah analisis terhadap behavior file ketika file tersebut dijalankan atau diproses dalam environment yang dikontrol.

Berbeda dengan static analysis yang tidak menjalankan file, dynamic analysis berfokus pada apa yang dilakukan file.

Contoh behavior yang dapat diamati:

process creation;
file creation;
file modification;
registry activity;
network connection;
DNS request;
persistence attempt;
dan interaksi dengan sistem operasi.

Inilah alasan sandbox sangat penting.

Sandbox memberikan environment terisolasi sehingga analyst dapat mengamati behavior tanpa mempertaruhkan workstation utama.

19. Mengapa Jangan Menjalankan Sampel Malware di Laptop Pribadi?

Ini adalah aturan yang sangat penting bagi pemula.

Jangan melakukan dynamic analysis malware di komputer utama.

Jika sebuah file memang malicious, menjalankannya dapat menyebabkan perubahan nyata pada sistem.

Risikonya dapat mencakup:

file menjadi terenkripsi;
credential terekspos;
browser data dicuri;
proses malicious berjalan;
endpoint terhubung ke infrastruktur attacker;
atau malware menyebar ke environment lain.

Karena itu dynamic analysis harus dilakukan dalam environment yang memang dirancang untuk analisis malware.

20. Membangun Lab Analisis yang Aman untuk Pemula

Kamu tidak perlu langsung membangun malware lab yang kompleks.

Untuk belajar dasar, prinsip berikut jauh lebih penting.

Gunakan environment terisolasi

Gunakan virtual machine atau sandbox yang memang ditujukan untuk analisis.

Jangan gunakan credential pribadi

Jangan login ke:

email pribadi;
internet banking;
social media;
password manager;
cloud storage pribadi;
atau akun penting lainnya.

Hindari data produksi

Lab seharusnya tidak memiliki dokumen perusahaan asli yang sensitif.

Gunakan snapshot

Snapshot memungkinkan environment dikembalikan ke kondisi sebelumnya setelah eksperimen.

Kontrol konektivitas

Network connectivity harus dirancang dengan hati-hati. Jangan menganggap virtual machine otomatis aman hanya karena berada di VM.

Pisahkan lab dari workstation utama

Semakin sensitif sampel, semakin penting isolation yang benar.

21. Apakah Virtual Machine Sudah Pasti Aman?

Tidak.

Ini adalah miskonsepsi yang cukup umum.

Virtual machine memang dapat memberikan isolation tambahan, tetapi bukan jaminan absolut.

Keamanan lab bergantung pada:

konfigurasi hypervisor;
networking;
shared folder;
clipboard integration;
USB passthrough;
host security;
dan konfigurasi environment secara keseluruhan.

Karena itu prinsipnya bukan:

VM = 100% safe

melainkan:

Proper isolation
+
Controlled environment
+
Safe handling procedure
=
Lower analysis risk

22. Static Analysis vs Dynamic Analysis

Aspek	Static Analysis	Dynamic Analysis
File dijalankan?	Tidak	Ya, dalam environment terkontrol
Risiko	Relatif lebih rendah	Lebih tinggi
Fokus	Struktur dan artefak file	Behavior
Contoh	Hash, metadata, strings	Process, network, file activity
Kebutuhan lab	Lebih sederhana	Memerlukan isolation
Cocok untuk tahap awal?	Ya	Setelah environment siap

Untuk pemula, pendekatan yang masuk akal adalah:

mulai dari static analysis, kemudian gunakan dynamic analysis jika memang diperlukan dan environment sudah aman.

23. Contoh Kasus Sederhana

Bayangkan SOC menerima laporan berikut:

"Ada email dari supplier dengan attachment bernama Payment_Confirmation.zip. User belum membukanya."

Jangan langsung menjalankan file.

Mulai dengan mengumpulkan konteks.

Langkah 1 — Catat sumber

Email berasal dari alamat eksternal.

Langkah 2 — Periksa konteks

Apakah perusahaan memang sedang melakukan transaksi dengan supplier tersebut?

Langkah 3 — Preserve sample

Pastikan file disimpan sesuai prosedur investigasi.

Langkah 4 — Hitung hash

Gunakan SHA-256 sebagai salah satu identifier.

Langkah 5 — Periksa file type

Pastikan archive memang merupakan archive dan bukan file dengan extension yang menyesatkan.

Langkah 6 — Static inspection

Periksa isi archive menggunakan prosedur yang aman dan jangan mengeksekusi file di dalamnya.

Langkah 7 — Threat intelligence

Cari hash atau indicator yang relevan menggunakan sumber yang telah disetujui.

Langkah 8 — Tentukan kebutuhan eskalasi

Jika terdapat indikator kuat, lanjutkan ke workflow incident response sesuai prosedur organisasi.

Perhatikan bahwa tidak ada satu langkah yang langsung menyatakan file "malware".

Verdict diperoleh dari kombinasi evidence.

24. Konsep Verdict: Benign, Suspicious, atau Malicious

Salah satu cara sederhana memahami hasil triage adalah menggunakan tiga kategori.

Benign

Evidence yang tersedia menunjukkan bahwa file merupakan file legitimate dan tidak terdapat indikator yang mendukung malicious activity.

Suspicious

Terdapat indikator yang tidak biasa atau evidence belum cukup untuk menentukan verdict dengan confidence tinggi.

Malicious

Evidence yang tersedia cukup kuat untuk menghubungkan file dengan malicious behavior atau threat intelligence yang terpercaya.

Perlu diingat bahwa organisasi dapat menggunakan kategori yang jauh lebih detail.

25. Confidence Level Juga Penting

Verdict tanpa confidence dapat menyebabkan komunikasi yang kurang baik.

Misalnya:

Verdict: Suspicious
Confidence: Medium
Reason:
- Unknown source
- Unusual file structure
- No reliable reputation available
- No execution evidence

Format tersebut jauh lebih informatif daripada hanya menulis:

File berbahaya.

SOC Analyst harus mampu menjelaskan mengapa sebuah verdict diberikan.

26. Prinsip Penting: Evidence Over Assumption

Jika hanya ada satu hal yang perlu kamu ingat dari bagian pertama artikel ini, ingat prinsip berikut:

Jangan mengubah asumsi menjadi fakta.

Contoh:

Asumsi: "Nama file terlihat mencurigakan."

Evidence: "File memiliki struktur yang tidak sesuai dengan extension dan hash-nya memiliki reputasi malicious dari sumber threat intelligence yang relevan."

Evidence kedua jauh lebih kuat.

Inilah pola berpikir yang perlu dibangun oleh SOC Analyst.

27. Checklist Triage File Mencurigakan

Berikut checklist sederhana yang dapat digunakan pemula:

☐ Catat nama file
☐ Catat sumber file
☐ Catat waktu diterima
☐ Identifikasi endpoint terkait
☐ Jangan langsung mengeksekusi file
☐ Preserve evidence
☐ Hitung SHA-256
☐ Periksa file type
☐ Periksa metadata
☐ Lakukan static analysis
☐ Periksa threat intelligence
☐ Tentukan apakah dynamic analysis diperlukan
☐ Gunakan sandbox atau lab terisolasi
☐ Korelasikan hasil dengan telemetry endpoint
☐ Tentukan verdict
☐ Dokumentasikan alasan verdict
☐ Eskalasi jika diperlukan

28. Kesalahan Pemula Saat Menganalisis File

Kesalahan #1 — Langsung membuka file

Ini adalah kesalahan paling berbahaya.

Kesalahan #2 — Menganggap extension sebagai kebenaran

Extension dapat dimanipulasi dan tidak selalu menggambarkan struktur file.

Kesalahan #3 — Menganggap unknown berarti safe

File baru atau private sample bisa saja belum memiliki reputation.

Kesalahan #4 — Mengandalkan satu antivirus

Detection engine dapat berbeda-beda. Gunakan beberapa evidence dan konteks.

Kesalahan #5 — Upload dokumen sensitif ke layanan publik

Ini dapat menimbulkan masalah confidentiality.

Kesalahan #6 — Menjalankan malware di komputer utama

Dynamic analysis membutuhkan environment yang dikontrol dan diisolasi.

Kesalahan #7 — Tidak mencatat evidence

Tanpa dokumentasi, analyst akan kesulitan menjelaskan bagaimana verdict diperoleh.

29. Dari File Analysis Menuju Incident Response

Analisis file tidak selalu berhenti ketika file dinyatakan malicious.

Justru pada titik tersebut pertanyaan yang lebih besar dapat muncul:

Siapa yang menerima file?
Siapa yang membukanya?
Apakah file dieksekusi?
Berapa endpoint yang menerima file tersebut?
Apakah ada proses mencurigakan?
Apakah ada koneksi jaringan yang berkaitan?
Apakah credential mungkin terdampak?
Apakah ada persistence?
Apakah perlu melakukan containment?

Dengan kata lain, satu file dapat menjadi titik awal investigasi insiden yang lebih besar.

Inilah alasan SOC Analyst tidak boleh melihat file secara terisolasi.

File adalah salah satu artefak dalam sebuah incident timeline.

30. Kesimpulan Bagian Pertama

Analisis file mencurigakan bukan sekadar mencari apakah sebuah file terdeteksi antivirus.

Seorang SOC Analyst perlu berpikir lebih sistematis.

Mulailah dari konteks.

Kemudian preserve evidence.

Hitung hash.

Identifikasi file type.

Lakukan static analysis.

Gunakan threat intelligence secara bijak.

Jika diperlukan, lakukan dynamic analysis dalam environment yang benar-benar terisolasi.

Setelah semua evidence dikumpulkan, barulah analyst menentukan verdict dan tindakan berikutnya.

Workflow sederhana yang perlu kamu ingat adalah:

Context
   ↓
Evidence
   ↓
Static Analysis
   ↓
Threat Intelligence
   ↓
Dynamic Analysis
   ↓
Correlation
   ↓
Verdict
   ↓
Response

Jangan terburu-buru mengejar teknik malware analysis yang rumit.

Fondasi seorang SOC Analyst justru dimulai dari kemampuan melakukan triage yang rapi, aman, dan berbasis evidence.

Pada bagian berikutnya, kita akan masuk lebih dalam ke praktik static analysis: bagaimana memahami hash, file signature, metadata, strings, struktur dokumen, indicator of compromise, serta bagaimana membaca hasil analisis tanpa langsung mengambil kesimpulan yang salah.

3 Step Pertama Belajar Analisis Malware dari Nol

Kamu tidak perlu langsung menjadi seorang malware researcher untuk bisa memulai analisis file mencurigakan. Sebagai pemula cybersecurity, yang jauh lebih penting adalah memahami workflow analisis dan mengetahui kapan sebuah file harus dihentikan, dikarantina, atau dieskalasikan.

Berikut tiga langkah awal yang aman untuk membangun fondasi:

Mulai dari virus scanner terpercaya
Gunakan layanan threat intelligence yang memungkinkan kamu memeriksa hash file atau, jika memang diperbolehkan oleh kebijakan organisasi, melakukan analisis terhadap sample di lingkungan yang sesuai.

Jangan langsung menyimpulkan bahwa sebuah file aman hanya karena satu engine antivirus memberikan hasil clean. Sebaliknya, jangan pula langsung menganggap file berbahaya hanya karena satu engine memberikan peringatan.
Pelajari malware sandbox
Sandbox memungkinkan sebuah sample dianalisis dalam lingkungan terisolasi sehingga perilakunya dapat diamati tanpa mempertaruhkan workstation utama.

Perhatikan indikator seperti proses yang dibuat, koneksi jaringan, perubahan file, perubahan konfigurasi sistem, dan aktivitas lain yang muncul selama analisis.
Belajar membaca hasil analisis
Jangan berhenti pada label malicious atau suspicious. Biasakan membaca alasan di balik verdict tersebut.

Tujuan seorang SOC Analyst bukan sekadar mengetahui bahwa sebuah file berbahaya, tetapi memahami mengapa file tersebut dianggap berbahaya dan apa dampaknya terhadap organisasi.

Workflow SOC Analyst Saat Menerima File Mencurigakan

Dalam lingkungan SOC yang profesional, analisis file biasanya tidak dilakukan secara acak. Analyst mengikuti workflow tertentu agar investigasi dapat dilakukan secara konsisten dan setiap keputusan memiliki dasar yang jelas.

Workflow sederhana yang bisa dipelajari pemula adalah:

Containment awal
Pengumpulan konteks
Identifikasi tipe file
Hashing
Static analysis
Threat intelligence lookup
Dynamic analysis di lingkungan terisolasi
Korelasi indikator
Penentuan verdict
Response dan dokumentasi

Urutan tersebut tidak selalu sama pada setiap organisasi. Namun, konsep dasarnya tetap serupa: jangan menjalankan sesuatu yang belum kamu pahami pada sistem produksi.

Langkah 1: Jangan Langsung Membuka File

Kesalahan paling umum yang dilakukan pemula adalah membuka file terlebih dahulu untuk melihat isinya.

Misalnya kamu menerima email dengan attachment bernama:

Invoice_2026.pdf.exe

Jika sistem operasi menyembunyikan ekstensi file tertentu, pengguna mungkin hanya melihat nama yang tampak seperti dokumen PDF.

Sebagai SOC Analyst, jangan langsung melakukan double click.

Langkah pertama adalah memperlakukan file tersebut sebagai potentially malicious artifact sampai ada bukti yang cukup untuk menyatakan sebaliknya.

Jika file ditemukan pada endpoint organisasi, koordinasikan proses isolasi atau karantina sesuai prosedur internal. Jangan memindahkan atau mengubah sample secara sembarangan karena tindakan tersebut dapat menghilangkan bukti yang berguna untuk investigasi.

Prinsip sederhananya:

Observe first. Execute later, and only inside an authorized isolated environment.

Langkah 2: Kumpulkan Konteks Sebelum Menganalisis File

Sebuah file tidak boleh dianalisis hanya berdasarkan file itu sendiri.

Konteks sering kali sama pentingnya dengan isi file.

Misalnya, sebuah file Microsoft Word mungkin tidak menunjukkan indikator berbahaya ketika diperiksa secara sederhana. Namun, jika file tersebut dikirim kepada sepuluh karyawan secara bersamaan melalui email phishing yang menyamar sebagai vendor, tingkat kecurigaannya menjadi jauh lebih tinggi.

SOC Analyst biasanya akan mencari informasi seperti:

Siapa yang mengirim file?
Siapa penerima file?
Kapan file diterima?
Dari mana file berasal?
Apakah file dikirim melalui email, browser download, chat, atau media penyimpanan?
Apakah ada user lain yang menerima file yang sama?
Apakah file sudah dibuka?
Apakah endpoint menunjukkan aktivitas abnormal setelah file dibuka?
Apakah nama file menyerupai dokumen bisnis yang umum digunakan?

Informasi tersebut membantu analyst membedakan antara false positive, file tidak dikenal, dan indikasi kampanye serangan yang lebih luas.

Langkah 3: Identifikasi Tipe File yang Sebenarnya

Nama file dan ekstensi tidak selalu menunjukkan format sebenarnya.

Seorang attacker dapat menggunakan nama file yang sengaja dibuat agar terlihat seperti dokumen biasa. Karena itu, analyst perlu membedakan antara:

File name — nama yang diberikan pada file.
File extension — ekstensi yang terlihat oleh pengguna.
File type — format sebenarnya berdasarkan struktur file.
Magic bytes / file signature — byte tertentu yang membantu mengidentifikasi format file.

Contohnya, sebuah file bernama laporan.pdf belum tentu benar-benar merupakan PDF.

Inilah alasan mengapa analisis file tidak boleh hanya mengandalkan nama file.

Untuk latihan, gunakan sample yang memang disediakan untuk pembelajaran keamanan dan lakukan pemeriksaan dalam lab. Hindari bereksperimen menggunakan malware aktif pada komputer pribadi atau perangkat kerja.

Langkah 4: Hitung Hash File

Salah satu kemampuan dasar yang wajib dikuasai SOC Analyst adalah memahami file hash.

Hash dapat dianggap sebagai fingerprint digital dari sebuah file. Perubahan sekecil apa pun pada isi file biasanya akan menghasilkan nilai hash yang berbeda.

Algoritma yang umum ditemui antara lain:

MD5
SHA-1
SHA-256

Dalam workflow modern, SHA-256 sering lebih berguna sebagai identifier dibandingkan MD5 atau SHA-1 karena ketahanan collision-nya lebih baik.

Contoh konsepnya:

sample.exe
        ↓
   SHA-256
        ↓
a1b2c3d4...xyz

Nilai hash tersebut kemudian dapat digunakan sebagai referensi ketika melakukan pencarian pada platform threat intelligence atau sistem internal organisasi.

Keuntungan menggunakan hash adalah analyst tidak selalu perlu mengunggah file untuk melakukan pencarian. Jika hash tersebut sudah dikenal oleh database threat intelligence, analyst dapat memperoleh informasi mengenai reputasi file tanpa harus mendistribusikan sample.

Kenapa SHA-256 Penting dalam Investigasi?

Bayangkan sebuah organisasi menemukan file mencurigakan pada 50 komputer.

Daripada menganggap setiap file sebagai kasus terpisah, SOC Analyst dapat menghitung hash masing-masing file dan melakukan korelasi.

Jika ditemukan hash yang sama:

Endpoint-01 → SHA-256 A
Endpoint-02 → SHA-256 A
Endpoint-03 → SHA-256 A
Endpoint-04 → SHA-256 B

Analyst dapat mulai mengajukan pertanyaan penting:

Apakah tiga endpoint pertama menerima file yang sama?
Apakah file tersebut berasal dari sumber yang sama?
Kapan pertama kali file muncul?
Apakah endpoint dengan hash B memiliki varian berbeda?

Di sinilah hashing berubah dari sekadar aktivitas teknis menjadi bagian penting dari incident investigation.

Langkah 5: Lakukan Static Analysis

Static analysis berarti menganalisis file tanpa mengeksekusinya.

Untuk pemula, konsep ini sangat penting karena memberikan informasi awal dengan risiko yang jauh lebih rendah dibandingkan menjalankan sample secara langsung.

Beberapa hal yang dapat diperiksa antara lain:

Ukuran file
Jenis file
Hash
Metadata
File signature
Strings
Import atau dependency tertentu
Informasi sertifikat digital
Indikator URL atau domain
Struktur internal file

Tujuan tahap ini bukan langsung membuktikan bahwa file berbahaya. Tujuannya adalah membangun initial hypothesis.

Apa yang Bisa Ditemukan dari Strings?

String analysis merupakan salah satu teknik sederhana yang sangat berguna bagi pemula.

Dalam sebuah file executable atau dokumen tertentu, analyst mungkin menemukan string yang berkaitan dengan:

Domain
URL
IP address
Nama file
Path sistem
Nama library
Pesan error
Nama fungsi
Konfigurasi tertentu

Namun, jangan melakukan kesalahan umum dengan menganggap setiap URL atau IP address yang ditemukan sebagai malicious.

Sebuah aplikasi legitimate juga dapat memiliki banyak alamat jaringan di dalam binary-nya.

Indicator harus selalu dilihat dalam konteks.

Contoh Cara Berpikir SOC Analyst

Misalkan static analysis menghasilkan temuan seperti berikut:

File Type   : Windows PE executable
File Size   : 482 KB
SHA-256     : [hash]
Digital Sig : Tidak ditemukan
Strings     : Mengandung beberapa URL
Imports     : Menggunakan fungsi jaringan
Detection   : Beberapa engine memberikan alert

Apakah file tersebut otomatis malware?

Belum tentu.

Analyst harus menghubungkan setiap indikator.

Misalnya:

File executable → normal untuk software tertentu.
Tidak memiliki digital signature → meningkatkan kecurigaan, tetapi bukan bukti malware.
Mengandung URL → belum tentu malicious.
Menggunakan fungsi jaringan → normal untuk aplikasi yang membutuhkan internet.
Beberapa engine mendeteksi file → indikator penting yang membutuhkan validasi lebih lanjut.

Kesimpulan profesional bukan berasal dari satu indikator, tetapi dari kumpulan evidence.

Langkah 6: Gunakan Threat Intelligence

Setelah memperoleh hash dan indikator awal, SOC Analyst dapat melakukan threat intelligence lookup.

Platform seperti VirusTotal dapat membantu analyst memahami apakah sebuah hash, domain, URL, atau indikator tertentu sudah pernah dikenal dalam ekosistem keamanan.

Namun, hasil threat intelligence tetap harus diperlakukan sebagai evidence, bukan kebenaran absolut.

Contohnya, jika sebuah file mendapatkan:

Detection: 2 / 70

Jangan langsung menyimpulkan bahwa file tersebut aman.

Begitu juga jika:

Detection: 70 / 70

Jangan berhenti pada angka tersebut tanpa memahami konteksnya.

Perhatikan:

Nama deteksi dari masing-masing engine
Jenis malware yang dilaporkan
Hubungan hash dengan sample lain
Informasi domain atau URL terkait
Waktu pertama kali file terlihat
Perubahan atau kemunculan varian baru

False Positive: Mengapa SOC Analyst Tidak Boleh Percaya Satu Alert?

Salah satu skill terpenting dalam SOC adalah kemampuan membedakan true positive dan false positive.

False positive terjadi ketika sistem memberikan alert terhadap aktivitas yang sebenarnya legitimate.

Contohnya, sebuah software administrasi perusahaan mungkin menggunakan:

PowerShell
Network connection
Registry modification
Child process
Scheduled task

Semua aktivitas tersebut dapat terlihat mencurigakan jika dilihat secara terpisah.

Tetapi jika software tersebut merupakan aplikasi administrasi resmi dan aktivitasnya sesuai fungsi, maka alert tersebut belum tentu merupakan insiden keamanan.

Inilah mengapa SOC Analyst harus memahami context, baseline, dan business environment.

Langkah 7: Dynamic Analysis dan Konsep Sandbox

Setelah static analysis selesai, tahap berikutnya dapat berupa dynamic analysis.

Dynamic analysis berarti mengamati perilaku sample ketika dijalankan dalam lingkungan yang dikendalikan dan diisolasi.

Untuk pembelajaran, gunakan sandbox atau malware-analysis lab yang memang dirancang untuk tujuan tersebut.

Jangan menjalankan malware secara langsung pada:

Laptop pribadi
Komputer kantor
Server produksi
Mesin yang menyimpan data penting
Jaringan rumah tanpa isolasi yang memadai

Tujuan sandbox adalah memberikan batas antara sample berbahaya dan sistem yang digunakan sehari-hari.

Apa yang Diamati Saat Dynamic Analysis?

Saat sample dijalankan dalam sandbox, analyst dapat memperhatikan berbagai kategori perilaku.

1. Process Activity

Perhatikan proses apa yang dibuat oleh sample.

Contohnya:

sample.exe
   └── child_process.exe
        └── another_process.exe

Process tree dapat memberikan gambaran tentang bagaimana sebuah program bekerja.

Namun, sekali lagi, child process tidak otomatis berarti malicious. Banyak aplikasi legitimate menggunakan child process sebagai bagian dari desain normal.

2. File Activity

Perhatikan apakah sample membuat, menghapus, atau memodifikasi file.

Yang penting bukan hanya file apa yang berubah, tetapi juga mengapa perubahan tersebut terjadi.

3. Registry Activity

Pada Windows, perubahan registry dapat menjadi indikator penting dalam investigasi.

Beberapa malware menggunakan registry untuk persistence, tetapi aplikasi legitimate juga dapat memodifikasi registry untuk konfigurasi.

4. Network Activity

Perhatikan koneksi jaringan yang dibuat selama eksekusi.

Beberapa pertanyaan yang dapat diajukan:

Apakah sample mencoba melakukan koneksi keluar?
Ke domain apa?
Apakah domain tersebut dikenal?
Apakah koneksi menggunakan protokol yang wajar?
Apakah terdapat pola komunikasi berulang?

5. Persistence Indicators

Analyst juga perlu memperhatikan apakah program mencoba membuat dirinya berjalan kembali setelah sistem melakukan restart atau user melakukan login ulang.

Persistence merupakan konsep penting dalam malware analysis karena attacker sering berusaha mempertahankan akses setelah initial execution.

Jangan Salah Memahami C2 Server

Salah satu istilah yang sering muncul ketika belajar malware analysis adalah C2 atau Command and Control.

Secara sederhana, C2 adalah mekanisme yang memungkinkan malware berkomunikasi dengan infrastruktur yang dikendalikan attacker.

Namun, tidak semua koneksi keluar dari aplikasi merupakan koneksi C2.

Sebuah aplikasi legitimate mungkin berkomunikasi dengan:

API server
Update server
Cloud service
Telemetry service
Content delivery network

Karena itu, analyst harus melakukan korelasi antara:

Process + Destination + Timing + Protocol + Context

Kombinasi tersebut jauh lebih bermakna dibandingkan hanya melihat satu IP address.

Langkah 8: Buat Timeline Investigasi

Timeline adalah salah satu alat berpikir paling penting bagi SOC Analyst.

Daripada melihat event secara terpisah, susun kejadian berdasarkan waktu.

Contoh:

09:12  User menerima email
09:14  Attachment disimpan
09:15  File dibuka
09:15  Process baru muncul
09:16  Koneksi jaringan dibuat
09:17  File tambahan dibuat
09:20  Endpoint mengirim alert

Timeline tersebut jauh lebih informatif daripada sekadar mengatakan:

"Ada file mencurigakan."

Dengan timeline, analyst dapat mulai menjawab pertanyaan penting:

Bagaimana initial access terjadi?
Kapan file pertama kali muncul?
Apakah file dieksekusi?
Apa yang terjadi setelah eksekusi?
Apakah terdapat aktivitas lanjutan?
Apakah endpoint lain mengalami pola yang sama?

Langkah 9: Tentukan Verdict

Setelah mengumpulkan evidence, SOC Analyst perlu memberikan verdict.

Format yang digunakan setiap organisasi dapat berbeda, tetapi kategori sederhana berikut mudah dipahami pemula:

Benign: Tidak ditemukan indikasi berbahaya dan aktivitas sesuai konteks.
Suspicious: Terdapat indikator yang tidak wajar, tetapi evidence belum cukup untuk memastikan malicious.
Malicious: Evidence menunjukkan file atau aktivitas memiliki karakteristik berbahaya.
Unknown: Evidence belum cukup untuk memberikan kesimpulan.

Kategori unknown sangat penting.

SOC Analyst tidak harus selalu memaksakan keputusan hanya karena tiket membutuhkan jawaban.

Mengatakan "evidence belum cukup" jauh lebih profesional daripada memberikan verdict yang tidak memiliki dasar.

Bagaimana Menulis Kesimpulan Investigasi?

Hindari laporan seperti:

"File ini virus."

Laporan tersebut terlalu singkat dan tidak membantu tim lain.

Gunakan struktur yang lebih profesional:

Verdict:
Suspicious / Malicious

Reason:
File menunjukkan beberapa indikator tidak wajar
berdasarkan static analysis, reputation lookup,
dan behavioral analysis.

Key Evidence:
- SHA-256: [hash]
- File type: [type]
- Detection: [hasil]
- Network behavior: [ringkasan]
- Process behavior: [ringkasan]

Impact:
[potensi dampak]

Recommended Action:
[containment / blocking / escalation]

Format seperti ini membuat investigasi lebih mudah dibaca oleh SOC Analyst lain, Incident Responder, maupun pihak manajemen.

IOC: Bahasa Penting dalam Dunia SOC

Saat mempelajari file analysis, kamu akan sering menemukan istilah IOC atau Indicator of Compromise.

IOC adalah indikator yang dapat membantu mengidentifikasi kemungkinan kompromi atau aktivitas berbahaya.

Contoh IOC dapat mencakup:

File hash
Domain mencurigakan
IP address
URL
Nama file tertentu
Path file
Email address
Artefak sistem tertentu

Namun, penting untuk memahami bahwa sebuah IOC tidak selalu berarti kompromi.

Sebuah IP address misalnya, bisa digunakan oleh banyak layanan. Karena itu, IOC harus selalu dipertimbangkan bersama konteks dan evidence lainnya.

IOC vs IOA: Apa Bedanya?

Pemula sering mencampuradukkan IOC dan IOA atau Indicator of Attack.

Secara sederhana:

IOC lebih berfokus pada artefak atau jejak yang dapat mengindikasikan kompromi.
IOA lebih berfokus pada perilaku atau pola aktivitas yang mengindikasikan serangan.

Contohnya, hash file tertentu dapat menjadi IOC.

Sementara pola aktivitas seperti proses yang melakukan tindakan tidak biasa dalam konteks tertentu dapat menjadi bagian dari indikasi serangan.

Memahami perbedaan ini akan sangat membantu ketika kamu mulai belajar SIEM, EDR, threat hunting, dan incident response.

Kesalahan Pemula Saat Menganalisis File Mencurigakan

Ada beberapa kesalahan yang sangat sering terjadi ketika seseorang baru belajar malware analysis.

1. Langsung Menjalankan File

Ini adalah kesalahan paling berbahaya.

Jangan menjalankan sample hanya karena ingin melihat apa yang terjadi. Gunakan lingkungan analisis yang memang disiapkan dan diisolasi.

2. Percaya pada Satu Antivirus

Satu engine bukanlah keseluruhan threat intelligence.

Gunakan beberapa sumber evidence dan pahami konteks hasilnya.

3. Menganggap Semua Alert sebagai Malware

Alert adalah sinyal untuk investigasi, bukan otomatis verdict akhir.

4. Tidak Mencatat Evidence

Tanpa dokumentasi, analyst akan kesulitan menjelaskan bagaimana sebuah verdict diperoleh.

5. Mengabaikan Konteks User

File yang terlihat mencurigakan pada satu komputer bisa jadi merupakan software resmi jika digunakan oleh tim tertentu.

6. Mengabaikan Scope dan Authorization

Analisis keamanan harus dilakukan pada sistem, file, dan lingkungan yang memang kamu memiliki hak untuk analisis.

Lab Aman untuk Belajar File Analysis

Kalau kamu benar-benar ingin belajar menjadi SOC Analyst, jangan menjadikan komputer utama sebagai laboratorium malware.

Buat lingkungan pembelajaran yang terpisah.

Arsitektur sederhana dapat berupa:

                    HOST MACHINE
                         |
              +----------+----------+
              |                     |
        ANALYSIS VM             OTHER VM
              |
      +-------+-------+
      |               |
 Static Tools     Monitoring
      |
 Sandbox / Lab Environment

Tujuannya adalah menciptakan batas yang jelas antara aktivitas pembelajaran dan lingkungan sehari-hari.

Untuk pemula, kamu dapat memulai dengan sample benign atau file latihan yang memang dibuat khusus untuk pembelajaran. Jangan mencari atau mengunduh malware aktif secara sembarangan hanya untuk eksperimen.

Tools yang Perlu Dipelajari Pemula

Kamu tidak perlu menguasai puluhan tools sekaligus.

Lebih baik memahami beberapa kategori tools terlebih dahulu.

Hashing tools — untuk menghasilkan fingerprint file.
File identification tools — untuk mengetahui tipe file sebenarnya.
String analysis tools — untuk melihat string yang terdapat dalam sample.
Threat intelligence platforms — untuk melakukan reputation lookup dan korelasi indikator.
Sandbox — untuk mengamati behavior dalam lingkungan terisolasi.
Process monitoring — untuk memahami aktivitas proses.
Network monitoring — untuk mengamati komunikasi jaringan.
SIEM — untuk menghubungkan event dari berbagai sumber.
EDR — untuk melihat telemetry endpoint secara lebih mendalam.

Yang harus kamu pelajari bukan sekadar nama tools, tetapi pertanyaan apa yang dapat dijawab oleh setiap kategori tools.

Roadmap Belajar File Analysis untuk SOC Analyst Pemula

Kalau kamu benar-benar mulai dari nol, jangan langsung masuk ke reverse engineering tingkat lanjut.

Gunakan roadmap bertahap berikut:

Level 1 — Fundamental

Memahami file dan extension
Memahami hash
Memahami metadata
Memahami IOC
Memahami false positive
Memahami static dan dynamic analysis

Level 2 — SOC Workflow

Alert triage
Evidence collection
Threat intelligence
Timeline analysis
Incident classification
Incident documentation

Level 3 — Endpoint Analysis

Process tree
File activity
Registry activity
Persistence concept
Network connection
Endpoint telemetry

Level 4 — Malware Analysis

PE file structure
Executable analysis
Advanced static analysis
Behavioral analysis
Reverse engineering fundamentals

Level 5 — Threat Hunting

IOC hunting
Behavior-based hunting
Detection engineering
SIEM correlation
EDR investigation
MITRE ATT&CK mapping

Dengan roadmap tersebut, kamu tidak hanya belajar "cara mengecek file", tetapi mulai memahami bagaimana sebuah file mencurigakan masuk ke dalam workflow keamanan organisasi.

Checklist SOC Analyst Saat Mendapat File Mencurigakan

Simpan checklist berikut karena bisa digunakan sebagai panduan belajar:

☐ Jangan membuka atau menjalankan file secara langsung.
☐ Catat sumber file.
☐ Catat waktu file ditemukan.
☐ Catat user atau endpoint terkait.
☐ Identifikasi tipe file.
☐ Hitung SHA-256.
☐ Periksa metadata.
☐ Lakukan static analysis.
☐ Lakukan threat intelligence lookup.
☐ Jika diperlukan, lakukan dynamic analysis pada sandbox terisolasi.
☐ Periksa process behavior.
☐ Periksa network behavior.
☐ Cari IOC terkait.
☐ Korelasikan dengan endpoint atau event lain.
☐ Tentukan verdict.
☐ Dokumentasikan evidence.
☐ Eskalasi jika ditemukan indikasi kompromi.

Kesimpulan: Belajar Malware Analysis Tidak Harus Langsung Menjadi Reverse Engineer

Banyak pemula cybersecurity merasa bahwa malware analysis adalah bidang yang sangat rumit karena mereka langsung membayangkan reverse engineering, assembly, debugging, dan teknik tingkat lanjut.

Padahal, seorang SOC Analyst dapat membangun kemampuan secara bertahap.

Kamu bisa mulai dari pertanyaan sederhana:

"File ini sebenarnya apa?"

Lalu berkembang menjadi:

"Dari mana file ini berasal?"

Kemudian:

"Apa yang dilakukan file tersebut?"

Dan akhirnya:

"Apakah aktivitas tersebut menunjukkan adanya ancaman terhadap organisasi?"

Itulah inti dari pekerjaan analisis.

Tools membantu mempercepat proses, tetapi kemampuan utama seorang SOC Analyst tetap berada pada cara berpikir, kemampuan melakukan korelasi, memahami konteks, dan mengambil keputusan berdasarkan evidence.

Mulailah dari static analysis. Pelajari hashing. Pahami IOC. Biasakan membaca process tree dan network activity. Setelah fondasinya kuat, barulah masuk ke dynamic analysis, threat hunting, reverse engineering, dan malware analysis tingkat lanjut.

Yang paling penting, selalu lakukan latihan pada lingkungan yang memang kamu miliki atau telah mendapatkan izin untuk digunakan. Jangan menguji malware aktif pada perangkat produksi hanya demi belajar.

Seorang SOC Analyst yang baik bukan orang yang paling banyak menjalankan tools, tetapi orang yang mampu mengubah sekumpulan alert dan data mentah menjadi keputusan keamanan yang dapat dipertanggungjawabkan.

3 Step Pertama Belajar Analisis Malware dari Nol

Kamu tidak perlu langsung menjadi malware researcher untuk mulai memahami bagaimana file mencurigakan dianalisis. Sebagai pemula cybersecurity, yang paling penting adalah membangun kebiasaan analisis yang aman, sistematis, dan tidak terburu-buru mengambil kesimpulan.

Berikut tiga langkah awal yang bisa kamu lakukan untuk mulai belajar:

Mulai dari file reputation dan antivirus scanner
Gunakan layanan analisis file yang terpercaya untuk melihat apakah hash atau karakteristik file pernah dikaitkan dengan ancaman. Jangan langsung menyimpulkan file aman hanya karena satu engine tidak mendeteksinya.
Pelajari malware sandbox
Gunakan sandbox yang memang dirancang untuk analisis keamanan. Amati proses yang dibuat, koneksi jaringan, perubahan file, dan aktivitas sistem yang muncul selama analisis.
Bangun lab analisis yang terisolasi
Jangan menggunakan komputer utama untuk menjalankan sample yang belum diketahui keamanannya. Gunakan virtual machine atau lingkungan lab terpisah dengan konfigurasi yang dirancang untuk membatasi dampak jika sample ternyata berbahaya.

Prinsip utama: jangan pernah menjalankan file mencurigakan secara sembarangan hanya karena ingin mengetahui apa yang dilakukannya. Dalam malware analysis, keamanan lingkungan analisis harus selalu menjadi prioritas pertama.

Langkah 1: Identifikasi File Sebelum Melakukan Analisis

Kesalahan yang sering dilakukan pemula adalah langsung membuka file untuk melihat isinya. Padahal, langkah pertama seorang SOC Analyst justru adalah mengumpulkan informasi dasar tanpa mengeksekusi file tersebut.

Informasi sederhana seperti nama file, ekstensi, ukuran, hash, waktu pembuatan, dan asal file dapat memberikan konteks penting untuk investigasi.

1. Periksa Nama File

Nama file bisa memberikan petunjuk mengenai bagaimana sebuah file digunakan dalam serangan. Misalnya, sebuah file yang mengaku sebagai dokumen tetapi menggunakan nama yang sangat tidak lazim perlu diperiksa lebih lanjut.

Perhatikan beberapa hal:

Apakah nama file sesuai dengan konteks email atau aktivitas pengguna?
Apakah terdapat karakter aneh atau nama yang sengaja dibuat menyerupai file resmi?
Apakah terdapat ekstensi yang tidak sesuai dengan jenis dokumen?
Apakah file menggunakan nama yang sangat mirip dengan software populer?
Apakah terdapat indikasi bahwa ekstensi sebenarnya disembunyikan oleh sistem operasi?

Jangan menganggap nama file sebagai bukti malware. Nama hanya merupakan indikator awal yang harus dikombinasikan dengan informasi lainnya.

2. Periksa Ekstensi Sebenarnya

Salah satu teknik sederhana yang sering digunakan dalam social engineering adalah membuat nama file terlihat seperti dokumen biasa.

Contohnya:

Invoice_2026.pdf.exe

Pengguna yang tidak memperhatikan ekstensi sebenarnya mungkin mengira file tersebut adalah PDF. Karena itu, seorang analis perlu memastikan jenis file sebenarnya, bukan hanya mempercayai nama yang terlihat di layar.

Hal yang sama berlaku untuk file seperti:

.doc
.docx
.xls
.xlsx
.pdf
.zip
.7z
.iso
.exe
.dll
.msi
.lnk

Ekstensi saja juga belum cukup. File dapat memiliki ekstensi yang menyesatkan, sehingga pemeriksaan struktur internal file tetap diperlukan.

3. Hitung Hash File

Hash dapat dianggap sebagai semacam fingerprint digital sebuah file. Jika isi file berubah, nilai hash biasanya ikut berubah.

Beberapa algoritma hash yang umum ditemukan dalam proses investigasi antara lain:

MD5
SHA-1
SHA-256

Dalam praktik modern, SHA-256 lebih layak dijadikan identitas file dibandingkan MD5 atau SHA-1 untuk kebutuhan integritas dan korelasi.

Contoh sederhana di Windows PowerShell:

Get-FileHash "sample.exe" -Algorithm SHA256

Contoh tersebut tidak menjalankan file. Perintah hanya membaca file untuk menghitung nilai hash.

Setelah mendapatkan hash, analis dapat melakukan korelasi dengan sumber threat intelligence yang sesuai.

Langkah 2: Gunakan Hash Sebelum Upload File

Ini adalah kebiasaan penting yang sering dilewatkan pemula.

Jika kamu mendapatkan file yang dicurigai sebagai malware, jangan langsung mengunggahnya ke layanan online. Hitung hash terlebih dahulu dan cari apakah hash tersebut sudah pernah dikenal oleh platform threat intelligence.

Keuntungannya cukup besar:

Tidak perlu mengunggah sample jika sudah tersedia informasinya.
Investigasi menjadi lebih cepat.
Risiko membocorkan sample internal dapat dikurangi.
Analis dapat mengetahui apakah sample pernah dilaporkan sebelumnya.

Misalnya, sebuah hash SHA-256 sudah dikaitkan dengan keluarga malware tertentu dalam database intelijen. Informasi tersebut dapat menjadi titik awal untuk investigasi lebih lanjut.

Namun ingat: tidak ditemukannya hash bukan berarti file aman.

Malware baru, file yang dimodifikasi, atau sample yang belum pernah dilaporkan dapat menghasilkan hasil pencarian yang kosong.

Langkah 3: Memahami VirusTotal untuk Investigasi Awal

Salah satu platform yang sering digunakan dalam threat intelligence dan investigasi file adalah VirusTotal. Platform ini dapat membantu analis melihat korelasi sebuah file dengan berbagai sumber keamanan.

Untuk pemula, jangan hanya melihat angka seperti:

45 / 70 detected

Angka tersebut memang menarik, tetapi bukan satu-satunya informasi yang penting.

Seorang analis sebaiknya melihat konteks yang lebih luas:

Nama deteksi dari berbagai engine.
Hash file.
Jenis file yang teridentifikasi.
Metadata yang tersedia.
Relasi dengan domain atau alamat IP.
Riwayat deteksi.
Informasi perilaku jika tersedia.
Hubungan dengan sample lain.

Misalnya, satu engine mendeteksi sebuah file sebagai trojan, sedangkan engine lain tidak menemukan indikasi ancaman. Kondisi tersebut tidak otomatis berarti salah satu pihak benar atau salah.

File bisa saja merupakan:

Ancaman baru.
Program legitimate yang menggunakan teknik yang mirip malware.
File yang sudah dimodifikasi.
Potentially unwanted application.
False positive.

Karena itu, SOC Analyst harus menggabungkan beberapa sumber bukti sebelum memberikan verdict.

Langkah 4: Kenali Konsep Static Analysis

Static analysis berarti menganalisis file tanpa menjalankannya.

Ini merupakan salah satu teknik fundamental dalam malware analysis karena memungkinkan analis mengumpulkan banyak informasi awal dengan risiko yang lebih rendah dibandingkan langsung mengeksekusi sample.

Beberapa informasi yang dapat dicari antara lain:

File type.
File size.
Hash.
Metadata.
Strings.
PE headers pada executable Windows.
Imported libraries.
Embedded resources.
Digital signature.
Indikator jaringan.

Apa Itu Strings?

Strings adalah teks yang dapat ditemukan di dalam file. Pada sample tertentu, strings dapat memberikan petunjuk mengenai fungsi atau aktivitas program.

Misalnya, analis dapat menemukan:

example.com
User-Agent
/updates/
config
powershell
cmd
HTTP

Temuan seperti ini belum membuktikan bahwa file tersebut berbahaya. Tetapi informasi tersebut dapat menjadi lead untuk investigasi lebih lanjut.

Hal penting yang harus dipahami pemula adalah bahwa strings dapat dipalsukan, dikompresi, dienkripsi, atau tidak tersedia dalam bentuk yang mudah dibaca.

Karena itu, jangan pernah menentukan verdict hanya berdasarkan satu string.

Langkah 5: Memahami Struktur PE File pada Windows

Jika kamu ingin serius menjadi SOC Analyst, pemahaman dasar mengenai format executable Windows akan sangat membantu.

Executable Windows umumnya menggunakan format Portable Executable (PE).

Di dalam file PE terdapat berbagai struktur yang dapat memberikan informasi kepada analis.

Beberapa istilah penting yang perlu kamu kenali:

DOS Header
PE Header
Optional Header
Sections
Import Table
Export Table
Resources

Analis tidak harus langsung menjadi ahli reverse engineering. Untuk tahap awal, cukup pahami bahwa struktur tersebut dapat memberikan gambaran mengenai bagaimana executable dibuat dan komponen sistem apa yang kemungkinan digunakan.

Contoh Section yang Sering Ditemukan

.text
.rdata
.data
.rsrc
.reloc

Karakteristik section dapat membantu analis menemukan sesuatu yang tidak biasa, tetapi sekali lagi, indikator teknis harus selalu dibaca bersama konteks lainnya.

Langkah 6: Periksa Digital Signature

Banyak software legitimate di Windows menggunakan code signing certificate. Signature dapat membantu pengguna dan analis memverifikasi asal serta integritas software, meskipun keberadaan signature bukan jaminan mutlak bahwa file aman.

Sebaliknya, file tanpa signature juga tidak otomatis berarti malware.

Misalnya, aplikasi internal perusahaan yang dibuat sendiri mungkin tidak menggunakan sertifikat publik. Karena itu, analis harus mempertimbangkan konteks:

Siapa yang mengirim file?
Dari mana file diperoleh?
Apakah file memang seharusnya memiliki signature?
Siapa penerbit sertifikat?
Apakah signature masih valid?
Apakah file mengalami perubahan setelah ditandatangani?

Pendekatan seperti ini jauh lebih akurat dibandingkan sekadar menggunakan aturan "signed = aman" atau "unsigned = malware".

Langkah 7: Dynamic Analysis dengan Sandbox

Setelah informasi static analysis cukup dikumpulkan, tahap berikutnya adalah memahami perilaku file.

Di sinilah dynamic analysis digunakan.

Dalam dynamic analysis, sample dijalankan di lingkungan yang sengaja dibuat terisolasi sehingga aktivitasnya dapat diamati tanpa mempertaruhkan sistem produksi.

Sandbox dapat membantu memperlihatkan:

Proses yang dibuat.
Child process.
Perubahan file.
Aktivitas registry.
Koneksi jaringan.
DNS request.
HTTP atau HTTPS connection.
Persistence behavior.
Aktivitas lain yang relevan.

Tujuannya bukan sekadar melihat apakah program "jalan", tetapi memahami apa yang dilakukan program tersebut ketika dijalankan.

Mengapa Sandbox Penting?

Bayangkan kamu menerima executable yang tidak dikenal.

Jika kamu menjalankannya langsung di laptop utama, kamu tidak tahu apakah program tersebut akan:

membuat proses baru,
mengubah konfigurasi sistem,
membuat koneksi keluar,
mengubah file,
mencoba melakukan persistence,
atau melakukan aktivitas lain yang berbahaya.

Sandbox menyediakan lingkungan yang lebih terkendali untuk mengamati perilaku tersebut.

Penting: jangan menjadikan virtual machine sebagai jaminan mutlak bahwa malware tidak dapat berdampak ke host. Konfigurasi isolasi, jaringan, shared folder, clipboard, dan mekanisme integrasi lainnya harus dirancang dengan hati-hati.

Langkah 8: Apa yang Harus Diamati Saat Dynamic Analysis?

Pemula sering bingung ketika pertama kali melihat hasil sandbox karena jumlah informasinya sangat banyak.

Jangan mencoba memahami semuanya sekaligus.

Gunakan pendekatan bertahap.

1. Process Tree

Perhatikan proses utama dan proses turunannya.

Contohnya secara konseptual:

sample.exe
   |
   +--- process-a.exe
   |
   +--- process-b.exe
          |
          +--- process-c.exe

Process tree dapat memberikan konteks penting mengenai bagaimana sebuah aplikasi bekerja.

Namun, child process tidak otomatis berarti malicious. Banyak software legitimate memang membuat proses tambahan.

2. Network Activity

Perhatikan apakah sample mencoba berkomunikasi dengan jaringan.

Beberapa indikator yang dapat dianalisis:

Domain tujuan.
Alamat IP tujuan.
DNS query.
Port yang digunakan.
Protokol komunikasi.
Waktu koneksi.
Frekuensi komunikasi.

Jika sebuah file yang seharusnya hanya berupa dokumen tiba-tiba melakukan koneksi jaringan yang tidak dapat dijelaskan, hal tersebut layak mendapat perhatian lebih lanjut.

3. File System Activity

Perhatikan apakah sample membuat, menghapus, atau mengubah file tertentu.

Aktivitas file dapat membantu analis memahami apakah program melakukan instalasi komponen tambahan atau mencoba mempertahankan keberadaannya di sistem.

4. Registry Activity

Pada Windows, perubahan registry dapat menjadi indikator penting, terutama jika perubahan berkaitan dengan konfigurasi startup atau persistence.

Tetapi sekali lagi, perubahan registry tidak selalu berbahaya. Banyak aplikasi legitimate juga menggunakan registry.

Langkah 9: Bedakan IOC, Behavior, dan Verdict

Salah satu konsep paling penting untuk pemula adalah memahami perbedaan antara Indicator of Compromise (IOC), perilaku, dan verdict.

IOC

IOC adalah artefak yang dapat membantu mengidentifikasi aktivitas atau kompromi tertentu.

Contohnya:

Hash file.
Domain tertentu.
Alamat IP.
URL.
Nama file.
Path tertentu.
Registry artifact.

Behavior

Behavior menggambarkan apa yang dilakukan program.

Misalnya:

Membuat proses baru.
Membuat koneksi jaringan.
Membuat file.
Mengubah konfigurasi.
Mencoba melakukan persistence.

Verdict

Verdict adalah kesimpulan investigasi berdasarkan seluruh bukti yang tersedia.

Contohnya:

Benign — tidak ditemukan indikasi berbahaya yang cukup.
Suspicious — terdapat indikator yang membutuhkan investigasi lebih lanjut.
Malicious — terdapat bukti yang cukup kuat bahwa file berbahaya.

Memisahkan ketiga konsep ini akan membuat laporan SOC jauh lebih terstruktur.

Langkah 10: Jangan Terjebak False Positive

Kesalahan umum dalam investigasi keamanan adalah menganggap setiap aktivitas aneh sebagai malware.

Contohnya, sebuah aplikasi legitimate mungkin:

menggunakan PowerShell untuk fungsi administratif,
membuat koneksi internet,
mengubah registry,
membuat beberapa child process,
mengakses folder sistem,
menggunakan teknik yang juga digunakan malware.

Karena itu, SOC Analyst harus memahami konteks.

Pertanyaan yang lebih tepat bukan:

"Apakah aktivitas ini terlihat mencurigakan?"

Melainkan:

"Apakah aktivitas ini masuk akal untuk software dan konteks pengguna tersebut?"

Perbedaan cara berpikir ini sangat penting dalam pekerjaan SOC.

Tools yang Perlu Dipelajari Pemula

Kamu tidak perlu menguasai puluhan tools sekaligus. Fokuslah pada fungsi dan konsep terlebih dahulu.

Kategori	Contoh Tools	Fungsi
File Reputation	VirusTotal	Korelasi hash dan indikator keamanan
Hashing	PowerShell	Menghasilkan fingerprint file
Strings	strings	Mencari teks yang tertanam di file
PE Analysis	PEStudio	Melihat karakteristik executable Windows
Process Monitoring	Process Monitor	Mengamati aktivitas proses dan sistem
Network Analysis	Wireshark	Menganalisis lalu lintas jaringan
Reverse Engineering	Ghidra	Menganalisis executable secara lebih mendalam
Sandbox	Sandbox terisolasi	Mengamati behavior sample

Jangan mengejar jumlah tools. Seorang analis yang memahami lima tools dengan baik biasanya lebih efektif daripada seseorang yang mengetahui puluhan tools tetapi tidak memahami hasilnya.

Workflow SOC Analyst Saat Menerima File Mencurigakan

Sekarang kita gabungkan seluruh konsep di atas menjadi sebuah workflow sederhana.

Terima alert atau laporan.
Catat siapa yang menerima file, kapan diterima, dari mana asalnya, dan bagaimana file ditemukan.
Jangan eksekusi sample sembarangan.
Pertahankan sample dan bukti awal tanpa mengubahnya.
Identifikasi file.
Periksa nama, ukuran, ekstensi, tipe file, dan hash.
Lakukan reputation check.
Cari hash dan indikator terkait pada sumber intelijen yang sesuai.
Lakukan static analysis.
Analisis metadata, strings, signature, struktur file, dan indikator lain yang relevan.
Lakukan dynamic analysis jika diperlukan.
Gunakan sandbox atau lab yang benar-benar terisolasi.
Korelasi hasil.
Bandingkan hasil static analysis, dynamic analysis, threat intelligence, dan konteks endpoint.
Tentukan verdict.
Kategorikan file berdasarkan bukti yang tersedia.
Ambil tindakan.
Jika terbukti berbahaya, lakukan containment dan response sesuai prosedur organisasi.
Dokumentasikan semuanya.
Simpan timeline, IOC, hasil analisis, keputusan, dan tindakan yang dilakukan.

Workflow tersebut dapat menjadi fondasi sebelum kamu mempelajari proses incident response yang lebih kompleks.

Bagaimana SOC Analyst Menentukan File Berbahaya?

Tidak ada satu indikator universal yang selalu berarti "malware".

SOC Analyst biasanya membangun kesimpulan dari beberapa lapisan bukti.

Misalnya:

File diterima melalui email mencurigakan
        ↓
Ekstensi tidak sesuai konteks
        ↓
Hash memiliki reputasi buruk
        ↓
Static analysis menunjukkan indikator mencurigakan
        ↓
Sandbox menunjukkan aktivitas abnormal
        ↓
Network activity memiliki korelasi dengan threat intelligence
        ↓
Verdict: Malicious

Semakin banyak bukti independen yang mendukung sebuah kesimpulan, semakin kuat pula tingkat keyakinan analis.

Inilah alasan mengapa pekerjaan SOC bukan sekadar "klik scan lalu lihat hasil antivirus".

Kesalahan Pemula Saat Belajar Malware Analysis

1. Menjalankan Malware di Laptop Utama

Ini adalah kesalahan paling berbahaya.

Jangan mengorbankan komputer pribadi hanya demi mendapatkan pengalaman praktis. Gunakan lab yang memang dirancang untuk pembelajaran keamanan.

2. Menganggap Antivirus Selalu Benar

Antivirus sangat berguna, tetapi bukan oracle yang selalu benar.

Ancaman baru dapat belum terdeteksi. Sebaliknya, software legitimate juga dapat menghasilkan false positive.

3. Hanya Melihat Hash

Hash berguna untuk identifikasi dan korelasi, tetapi hash tidak menjelaskan seluruh behavior sebuah program.

4. Tidak Mencatat Temuan

Investigasi tanpa dokumentasi akan menyulitkan proses eskalasi dan review.

Biasakan mencatat:

Timestamp.
Nama file.
SHA-256.
Source.
Host atau endpoint terkait.
IOC.
Behavior.
Analisis.
Verdict.
Tindakan response.

5. Menganggap Semua Aktivitas Aneh sebagai Malware

Cybersecurity membutuhkan kemampuan membedakan antara unusual dan malicious.

Keduanya tidak selalu sama.

Membangun Lab Malware Analysis untuk Pemula

Jika ingin belajar secara serius, membuat lab pribadi adalah salah satu investasi terbaik.

Arsitektur sederhana dapat terdiri dari:

HOST MACHINE
     |
     +--- Virtualization
             |
             +--- Analysis VM
             |       |
             |       +--- Static Analysis Tools
             |       +--- Monitoring Tools
             |
             +--- Optional Network Analysis VM

Untuk tahap awal, fokuslah pada isolasi.

Beberapa prinsip penting:

Jangan gunakan file malware pada sistem produksi.
Minimalkan integrasi antara guest dan host.
Hindari shared folder yang tidak diperlukan.
Perhatikan konfigurasi clipboard dan drag-and-drop.
Gunakan snapshot untuk eksperimen yang aman.
Dokumentasikan konfigurasi lab.
Gunakan sample dari sumber pembelajaran yang legal dan memang disediakan untuk tujuan edukasi.

Tujuan lab bukan untuk membuat lingkungan yang "tidak mungkin ditembus", melainkan menyediakan lingkungan pembelajaran yang terisolasi dan terkontrol.

Latihan Aman untuk Pemula

Kamu tidak harus mulai dengan malware aktif.

Justru, cara terbaik untuk belajar adalah menggunakan file benign yang sengaja dibuat untuk latihan.

Beberapa latihan yang bisa dilakukan:

Menghitung SHA-256 beberapa file.
Membandingkan metadata file.
Mempelajari struktur executable.
Mengamati process tree aplikasi legitimate.
Menganalisis koneksi jaringan aplikasi yang memang aman.
Membuat timeline aktivitas dari hasil sandbox.
Belajar membaca IOC.
Membuat laporan investigasi sederhana.

Setelah memahami workflow tersebut, kamu dapat beralih ke dataset dan sample yang memang disediakan untuk penelitian atau pendidikan keamanan.

Contoh Studi Kasus: File Invoice Mencurigakan

Bayangkan seorang karyawan menerima email dengan subjek:

Invoice Payment - August 2026

Email tersebut memiliki lampiran yang terlihat seperti dokumen invoice.

Karyawan kemudian melaporkan file tersebut ke SOC.

Tahap 1 — Triage

Analis mencatat:

Pengirim.
Waktu email diterima.
Nama attachment.
Ukuran attachment.
Alamat email penerima.
Konteks komunikasi.

Tahap 2 — Identifikasi

Analis memeriksa tipe file sebenarnya dan menghitung SHA-256.

Tahap 3 — Reputation

Hash diperiksa menggunakan sumber threat intelligence.

Hasilnya menunjukkan bahwa sample belum memiliki reputasi yang jelas.

Kesimpulannya bukan "aman", melainkan:

Belum cukup bukti untuk menentukan verdict.

Tahap 4 — Static Analysis

Analis memeriksa struktur file dan menemukan beberapa karakteristik yang membutuhkan investigasi lebih lanjut.

Tahap 5 — Dynamic Analysis

Sample dianalisis dalam lingkungan sandbox terisolasi.

Hasil pengamatan menunjukkan adanya aktivitas yang tidak sesuai dengan fungsi dokumen yang diklaim.

Tahap 6 — Correlation

IOC yang ditemukan kemudian dibandingkan dengan sumber threat intelligence dan telemetry keamanan organisasi.

Tahap 7 — Response

Jika bukti cukup kuat, organisasi dapat mengambil tindakan seperti mengarantina file, mencari keberadaan sample yang sama pada endpoint lain, melakukan blocking terhadap indikator terkait, dan melakukan eskalasi sesuai prosedur incident response.

Perhatikan bahwa SOC Analyst tidak berhenti setelah menemukan bahwa satu file berbahaya.

Pertanyaan berikutnya justru jauh lebih penting:

"Apakah file ini sudah pernah dieksekusi di endpoint lain?"

Dari File Analysis Menuju Incident Response

Analisis file sering kali hanyalah awal dari investigasi yang lebih besar.

Jika sebuah file dinyatakan malicious, SOC Analyst perlu menentukan apakah file tersebut:

hanya diterima tetapi tidak pernah dibuka,
pernah dieksekusi,
menghasilkan proses lain,
melakukan koneksi jaringan,
membuat perubahan pada sistem,
atau menjadi bagian dari insiden yang lebih besar.

Karena itu, kemampuan analisis file sebaiknya dikombinasikan dengan pengetahuan mengenai:

Endpoint Detection and Response.
SIEM.
Network Security Monitoring.
Threat Intelligence.
Incident Response.
Digital Forensics.

Skill yang Perlu Dikuasai SOC Analyst Pemula

Jika targetmu adalah berkarier sebagai SOC Analyst, jangan hanya fokus pada malware.

Bangun fondasi yang lebih luas.

Skill	Yang Perlu Dipahami
Networking	TCP/IP, DNS, HTTP, TLS, firewall
Operating System	Windows dan Linux fundamentals
Log Analysis	Memahami event dan pola aktivitas
SIEM	Search, correlation, alert investigation
Threat Intelligence	IOC, TTP, threat context
Malware Analysis	Static dan dynamic analysis dasar
Incident Response	Triage, containment, eradication, recovery
Documentation	Timeline, evidence, finding, recommendation

Semakin kuat fondasi tersebut, semakin mudah kamu memahami alert yang kompleks.

Checklist Investigasi File Mencurigakan

Simpan checklist berikut sebagai referensi ketika melakukan latihan:

☐ Apakah file berasal dari sumber yang terpercaya?
☐ Apakah nama file sesuai dengan konteks?
☐ Apakah ekstensi sesuai dengan tipe file sebenarnya?
☐ Berapa ukuran file?
☐ Berapa SHA-256 file?
☐ Apakah hash memiliki reputasi buruk?
☐ Apakah file memiliki digital signature?
☐ Apa saja strings yang menarik?
☐ Apakah terdapat indikator jaringan?
☐ Apakah struktur file terlihat tidak biasa?
☐ Apa behavior file di sandbox?
☐ Apakah file membuat proses baru?
☐ Apakah file melakukan koneksi jaringan?
☐ Apakah file membuat perubahan pada filesystem?
☐ Apakah ada aktivitas persistence?
☐ Apakah terdapat IOC yang bisa dikorelasikan?
☐ Apakah verdict sudah didukung bukti yang cukup?
☐ Apakah endpoint lain perlu diperiksa?
☐ Apakah insiden perlu dieskalasikan?
☐ Apakah seluruh investigasi sudah didokumentasikan?

Kesimpulan: Analisis File Adalah Skill Fundamental SOC Analyst

Menganalisis file mencurigakan bukan sekadar mencari tahu apakah sebuah file merupakan malware atau bukan.

Di dunia Security Operations Center, analisis file merupakan proses investigasi yang menggabungkan static analysis, dynamic analysis, threat intelligence, endpoint telemetry, network activity, dan konteks bisnis.

Seorang SOC Analyst yang baik tidak terburu-buru memberikan verdict.

Mereka mengumpulkan bukti, menguji hipotesis, melakukan korelasi, kemudian mengambil keputusan berdasarkan informasi yang tersedia.

Untuk pemula, kamu tidak perlu langsung mempelajari reverse engineering tingkat lanjut. Mulailah dari hal paling fundamental:

✓ Pahami hash.

✓ Pahami file type dan metadata.

✓ Pelajari static analysis.

✓ Kenali konsep sandbox.

✓ Belajar membaca process tree.

✓ Pelajari network behavior.

✓ Pahami IOC.

✓ Latih kemampuan membuat timeline.

✓ Biasakan mendokumentasikan setiap temuan.

Dan yang paling penting:

Jangan pernah menguji file berbahaya secara sembarangan pada perangkat utama.

Cybersecurity bukan hanya tentang mengetahui bagaimana serangan bekerja, tetapi juga mengetahui bagaimana melakukan investigasi dengan aman dan bertanggung jawab.

Jika kamu konsisten berlatih menggunakan lab yang terisolasi, dataset edukasi, dan skenario simulasi, kemampuan yang awalnya terlihat rumit seperti membaca hash, memahami behavior, menganalisis IOC, hingga membuat verdict akan menjadi semakin familiar.

Pada akhirnya, tujuan seorang SOC Analyst bukan sekadar menemukan malware.

Tujuannya adalah mendeteksi ancaman sedini mungkin, memahami dampaknya, memberikan respons yang tepat, dan membantu organisasi mencegah insiden yang sama terjadi kembali.

Roadmap Belajar File Analysis untuk Pemula

Kalau kamu ingin menjadikan topik ini sebagai bagian dari perjalanan belajar cybersecurity, berikut urutan yang relatif mudah diikuti:

Level 1 — Fundamental
Pelajari file extension, hash, metadata, MIME type, basic Windows/Linux, dan konsep IOC.
Level 2 — Static Analysis
Pelajari strings, PE structure, imports, resources, digital signature, dan indikator file mencurigakan.
Level 3 — Dynamic Analysis
Pelajari process monitoring, filesystem activity, registry activity, DNS, HTTP, dan network behavior.
Level 4 — Threat Intelligence
Belajar menghubungkan hash, domain, IP, URL, dan indikator lain dengan konteks ancaman.
Level 5 — SOC Investigation
Gabungkan hasil file analysis dengan SIEM, EDR, email security, dan endpoint telemetry.
Level 6 — Malware Research
Setelah fondasi kuat, barulah masuk lebih jauh ke reverse engineering, debugging, memory analysis, dan teknik analisis malware tingkat lanjut.

Dengan roadmap seperti ini, kamu tidak perlu merasa harus menguasai semuanya dalam satu malam. Bangun fondasi sedikit demi sedikit dan pastikan setiap konsep dipahami melalui latihan.

Belajar membaca hasil analisis: Jangan hanya melihat label "malicious" atau "clean". Perhatikan process tree, koneksi jaringan, DNS request, perubahan file, registry activity, dan indikator lain yang muncul selama analisis.

Setelah memahami tiga langkah dasar tersebut, kamu bisa mulai membangun workflow analisis file yang lebih terstruktur. Tujuannya bukan sekadar mengetahui apakah sebuah file berbahaya, tetapi memahami mengapa file tersebut dianggap berbahaya, apa yang dilakukan file tersebut, dan bagaimana organisasi harus meresponsnya.

Workflow SOC Analyst Saat Menganalisis File Mencurigakan

Dalam lingkungan Security Operations Center, analisis file biasanya tidak dilakukan secara acak. Ada alur kerja yang membantu analyst bekerja cepat tetapi tetap mempertahankan akurasi.

Workflow sederhana yang bisa dipelajari pemula adalah:

Receive: menerima file atau alert dari pengguna, email gateway, EDR, SIEM, atau sistem keamanan lainnya.
Preserve: menjaga file asli agar tidak berubah dan mencatat informasi penting mengenai sumbernya.
Identify: menentukan tipe file, hash, ukuran, metadata, dan karakteristik dasar.
Static Analysis: menganalisis file tanpa mengeksekusinya.
Threat Intelligence: melakukan korelasi dengan sumber intelijen dan IOC yang tersedia.
Dynamic Analysis: jika diperlukan, mengamati perilaku file dalam lingkungan sandbox yang terisolasi.
Determine Verdict: menentukan apakah file aman, mencurigakan, atau berbahaya.
Respond: melakukan containment, blocking, remediation, dan eskalasi sesuai prosedur.
Document: mencatat seluruh temuan untuk kebutuhan investigasi dan pembelajaran.

Workflow ini penting karena seorang SOC Analyst tidak hanya dituntut menemukan malware. Analyst juga harus mampu menghasilkan evidence yang dapat dipertanggungjawabkan.

Langkah 1: Jangan Langsung Membuka File

Ini adalah prinsip paling penting bagi pemula.

Ketika mendapatkan file yang dicurigai berbahaya, kesalahan paling umum adalah langsung melakukan double click untuk melihat isinya. Dalam konteks investigasi keamanan, tindakan tersebut dapat mengubah kondisi sistem dan bahkan menyebabkan payload berjalan.

Biasakan menggunakan pendekatan:

Observe → Identify → Analyze → Execute only in controlled environment.

Jika file berasal dari email, tiket keamanan, atau laporan pengguna, catat konteksnya terlebih dahulu.

Siapa yang menerima file?
Kapan file diterima?
Dari mana file berasal?
Apakah pengguna mengharapkan file tersebut?
Apakah ada email atau pesan yang menyertai file?
Apakah pengguna sudah membuka file?
Apakah terdapat aktivitas mencurigakan setelah file dibuka?

Konteks tersebut sering kali sama pentingnya dengan hasil analisis teknis.

Sebuah dokumen Word yang berasal dari vendor resmi mungkin memiliki tingkat risiko berbeda dibandingkan dokumen dengan nama sama yang dikirim dari alamat email yang tidak dikenal.

Langkah 2: Identifikasi Tipe File Sebenarnya

Jangan hanya mempercayai nama atau ekstensi file.

File bernama:

invoice.pdf.exe

jelas patut dicurigai. Namun teknik penyerang tidak selalu sesederhana itu. File dapat menggunakan ekstensi yang menyesatkan, nama file yang sangat mirip dengan dokumen asli, atau format yang berbeda dari apa yang terlihat pada antarmuka pengguna.

Karena itu, SOC Analyst perlu mengetahui file signature atau magic bytes.

Magic bytes merupakan pola byte tertentu yang biasanya terdapat pada awal sebuah file dan membantu mengidentifikasi format sebenarnya.

Contohnya, sebuah file yang memiliki ekstensi .jpg belum tentu benar-benar merupakan gambar JPEG. Pemeriksaan tipe file dapat membantu menemukan ketidaksesuaian tersebut.

Pada Linux, salah satu pendekatan sederhana adalah:

file suspicious_file

Hasilnya dapat memberikan indikasi apakah file tersebut merupakan PDF, executable, archive, script, atau tipe lainnya.

Untuk pembelajaran, gunakan sample yang memang disediakan untuk analisis malware dan lakukan pemeriksaan di lingkungan lab. Jangan mencoba membuka atau mengeksekusi sample berbahaya pada komputer utama.

Langkah 3: Hitung Hash File

Setelah mengetahui tipe file, langkah berikutnya adalah membuat identitas digital file tersebut menggunakan hash.

Hash dapat dianggap sebagai semacam sidik jari digital sebuah file. Jika isi file berubah, nilai hash umumnya ikut berubah.

Beberapa algoritma hash yang sering ditemui dalam analisis malware adalah:

MD5
SHA-1
SHA-256

Untuk kebutuhan investigasi modern, SHA-256 umumnya lebih disukai dibandingkan MD5 sebagai identitas file karena sifat keamanannya lebih baik.

Contoh pada Linux:

sha256sum suspicious_file

Contoh pada PowerShell:

Get-FileHash .\suspicious_file -Algorithm SHA256

Nilai hash kemudian dapat digunakan untuk melakukan korelasi dengan sumber threat intelligence yang sesuai.

Namun ada satu hal yang sangat penting:

Hash bukan bukti bahwa sebuah file aman.

Hash hanya membantu mengidentifikasi file. File baru yang belum pernah terlihat sebelumnya bisa saja memiliki reputasi yang belum tersedia di database mana pun.

Langkah 4: Gunakan Threat Intelligence dengan Benar

Setelah memperoleh SHA-256, SOC Analyst dapat mencari apakah hash tersebut pernah diketahui oleh layanan threat intelligence.

Platform seperti VirusTotal dapat membantu melakukan korelasi terhadap berbagai mesin deteksi dan sumber intelijen.

Namun jangan melakukan kesalahan dengan menganggap:

"Kalau hasil scan tidak mendeteksi malware, berarti file pasti aman."

Kesimpulan tersebut terlalu sederhana.

Ada beberapa alasan mengapa file berbahaya dapat belum terdeteksi:

Sample masih sangat baru.
Malware menggunakan teknik obfuscation.
Payload membutuhkan kondisi tertentu untuk aktif.
File merupakan bagian dari rangkaian serangan.
Deteksi berbasis signature belum mengenali sample tersebut.
Perilaku berbahaya hanya muncul setelah tahap tertentu.

Karena itu, threat intelligence sebaiknya dianggap sebagai satu sumber bukti, bukan satu-satunya dasar keputusan.

Langkah 5: Memahami String di Dalam File

Salah satu teknik static analysis paling dasar adalah melihat string yang terdapat di dalam file.

String dapat berupa teks yang tersimpan secara langsung di dalam binary atau dokumen.

Dalam beberapa kasus, string dapat memberikan petunjuk seperti:

Nama domain.
Alamat IP.
URL.
Nama file.
Path tertentu.
Nama fungsi.
Pesan error.
Parameter command line.

Pada Linux, command sederhana yang sering digunakan adalah:

strings suspicious_file

Untuk filtering awal, analyst dapat mencari pola tertentu:

strings suspicious_file | grep -Ei "http|https|cmd|powershell|\.exe|\.dll"

Perlu diingat bahwa output strings bukan otomatis bukti malicious.

Misalnya, sebuah aplikasi legitimate dapat memiliki string seperti powershell.exe karena memang menggunakan PowerShell untuk fungsi administratif tertentu.

Inilah alasan konteks sangat penting. Analyst harus menghubungkan string tersebut dengan perilaku dan informasi lain.

Langkah 6: Periksa Metadata

Metadata dapat memberikan informasi tambahan mengenai sebuah file.

Untuk dokumen, metadata mungkin berisi informasi seperti:

Nama author.
Software yang digunakan untuk membuat dokumen.
Waktu pembuatan.
Waktu modifikasi.
Versi aplikasi.
Informasi konfigurasi tertentu.

Metadata tidak selalu akurat karena dapat dimodifikasi, tetapi tetap berguna sebagai bagian dari investigasi.

Untuk analisis dokumen, tools seperti ExifTool dapat digunakan untuk membaca metadata pada berbagai format file.

Contoh:

exiftool suspicious_document

Bayangkan sebuah dokumen yang mengaku sebagai invoice dari perusahaan tertentu tetapi metadata-nya menunjukkan bahwa dokumen dibuat menggunakan aplikasi atau lingkungan yang tidak berhubungan dengan organisasi tersebut.

Temuan tersebut belum membuktikan malware, tetapi merupakan red flag yang layak diperiksa lebih lanjut.

Langkah 7: Analisis Struktur File

Setelah metadata dan string diperiksa, analyst dapat melihat struktur file secara lebih mendalam.

Tujuannya adalah mencari komponen yang tidak biasa atau tidak sesuai dengan fungsi file.

Misalnya pada dokumen:

Macro.
Embedded object.
External reference.
Script.
Attachment tersembunyi.
Komponen yang tidak biasa.

Pada executable, analyst dapat memperhatikan:

Import.
Export.
Section.
Resource.
Certificate.
Compiler information.
Entropy.

Tools yang digunakan akan berbeda tergantung tipe file. Karena itu, kemampuan paling penting bagi pemula bukan menghafalkan ratusan tools, tetapi memahami pertanyaan apa yang ingin dijawab dari setiap pemeriksaan.

Langkah 8: Memahami PE File pada Windows

Banyak malware Windows menggunakan format Portable Executable atau PE.

File seperti:

.exe
.dll
.sys

dapat menggunakan struktur PE.

Dalam analisis malware, beberapa komponen PE yang menarik untuk diperhatikan antara lain:

PE Header — berisi informasi struktural mengenai executable.
Sections — bagian-bagian binary yang menyimpan kode, data, resource, dan komponen lainnya.
Imports — API atau library yang digunakan program.
Resources — resource seperti icon, dialog, atau data embedded.
Digital Signature — informasi mengenai tanda tangan digital jika tersedia.

Beberapa tools populer untuk mempelajari PE antara lain PEStudio, Detect It Easy, dan CFF Explorer.

Tujuan penggunaan tools tersebut bukan untuk langsung memberikan keputusan final, melainkan membantu analyst mendapatkan gambaran struktur program.

Langkah 9: Mengenali Obfuscation

Penulis malware tentu tidak ingin kode mereka mudah dipahami.

Karena itu, malware dapat menggunakan berbagai teknik obfuscation untuk menyulitkan analisis.

Contohnya:

String encoding.
String encryption.
Packing.
Code transformation.
Dynamic resolution.

Salah satu indikasi yang kadang muncul adalah entropy tinggi pada bagian tertentu dari file. Namun entropy tinggi bukan berarti file otomatis malicious.

File legitimate seperti compressed archive atau installer juga dapat memiliki entropy tinggi.

Jadi prinsipnya tetap sama:

Indikator adalah petunjuk, bukan vonis.

Static Analysis vs Dynamic Analysis

Setelah memahami static analysis, sekarang kita masuk ke bagian yang lebih menarik: dynamic analysis.

Perbedaan sederhananya adalah:

Static Analysis	Dynamic Analysis
File tidak dijalankan	File dijalankan dalam lingkungan terkontrol
Melihat struktur dan karakteristik	Melihat perilaku aktual
Relatif lebih aman	Membutuhkan isolasi kuat
Cocok untuk triage awal	Cocok untuk behavioral analysis

Keduanya bukan metode yang saling menggantikan.

Dalam investigasi profesional, analyst dapat menggabungkan static analysis dan dynamic analysis untuk mendapatkan gambaran yang lebih lengkap.

Apa yang Dicari SOC Analyst Saat Dynamic Analysis?

Ketika sample dijalankan di sandbox atau lab yang benar-benar terisolasi, analyst dapat mengamati berbagai indikator perilaku.

Beberapa di antaranya adalah:

1. Process Creation

Apakah file membuat proses lain?

Misalnya sebuah dokumen yang tiba-tiba memicu proses yang tidak sesuai dengan fungsi normal dokumen tersebut patut diperiksa lebih lanjut.

2. File Modification

Apakah file membuat, mengubah, atau menghapus file lain?

3. Registry Activity

Pada Windows, perubahan registry tertentu dapat menjadi indikator aktivitas mencurigakan, khususnya jika berhubungan dengan mekanisme persistence.

4. Network Activity

Apakah program melakukan koneksi keluar?

Perhatikan:

Domain.
IP address.
DNS request.
HTTP/HTTPS connection.
Port yang digunakan.
Pola komunikasi.

5. Persistence

Apakah program mencoba membuat dirinya berjalan kembali setelah reboot atau login?

6. Child Process

Apakah proses utama menghasilkan child process yang tidak lazim?

Semua informasi tersebut dapat membantu analyst membangun behavioral profile dari sample.

Memahami Process Tree

Process tree merupakan salah satu konsep penting dalam pekerjaan SOC Analyst.

Bayangkan sebuah file dijalankan dan kemudian menghasilkan rangkaian proses:

Application
 └── Process A
      └── Process B
           └── Process C

Hubungan parent-child tersebut memberikan konteks mengenai apa yang terjadi di sistem.

Contohnya, sebuah aplikasi legitimate mungkin memiliki pola proses yang dapat diprediksi berdasarkan fungsinya.

Sebaliknya, jika sebuah dokumen sederhana tiba-tiba menghasilkan proses command interpreter, kemudian membuat proses lain yang melakukan koneksi jaringan, analyst memiliki alasan kuat untuk melakukan investigasi lebih lanjut.

Yang perlu diperhatikan adalah rantai perilaku, bukan hanya satu proses.

Memahami Network Indicator

Malware sering membutuhkan komunikasi jaringan untuk melakukan berbagai aktivitas.

Dalam investigasi defensif, SOC Analyst dapat memperhatikan:

Domain yang dihubungi.
IP address tujuan.
DNS query.
Jenis protokol.
Frekuensi koneksi.
Waktu komunikasi.
Certificate atau TLS metadata jika tersedia.

Misalnya, sebuah aplikasi yang seharusnya hanya bekerja secara offline tetapi secara konsisten melakukan koneksi ke domain eksternal yang tidak dikenal merupakan sinyal yang patut diperiksa.

Sekali lagi, koneksi jaringan tidak otomatis berarti malicious. Banyak aplikasi legitimate membutuhkan internet.

Yang dicari analyst adalah korelasi antara koneksi, proses, file, dan konteks pengguna.

IOC: Bahasa Penting dalam Dunia SOC

IOC atau Indicator of Compromise adalah artefak yang dapat membantu menunjukkan kemungkinan terjadinya kompromi.

IOC dapat berupa:

File hash.
IP address.
Domain.
URL.
File path.
Nama file.
Registry artifact.
Email address tertentu.

Misalnya SOC menemukan sebuah SHA-256 tertentu dari file malicious. Hash tersebut dapat dimasukkan ke dalam proses threat hunting untuk mengetahui apakah file yang sama pernah muncul pada endpoint lain.

Inilah salah satu alasan mengapa pencatatan IOC sangat penting.

IOC Bukan Berarti Bukti Tunggal

Seorang analyst pemula sering melakukan kesalahan dengan menganggap satu IOC sebagai bukti final.

Contohnya:

"IP ini malicious, berarti semua koneksi ke IP tersebut pasti merupakan serangan."

Dalam praktiknya, konteks tetap diperlukan.

Alamat IP dapat berubah kepemilikan, domain dapat menggunakan shared hosting, dan beberapa layanan legitimate menggunakan infrastruktur cloud yang sama dengan banyak organisasi lain.

Karena itu, SOC Analyst perlu mempertimbangkan:

Reputasi IOC.
Usia IOC.
Riwayat aktivitas.
Konteks endpoint.
Proses yang menghasilkan koneksi.
Waktu kejadian.
IOC lain yang berkaitan.

Menggunakan SIEM untuk Menghubungkan Temuan

Dalam organisasi besar, informasi mengenai file tidak hanya berasal dari satu sumber.

SOC Analyst mungkin menerima data dari:

EDR.
Email security gateway.
Firewall.
DNS security.
Proxy.
Authentication system.
Endpoint logs.
Cloud logs.

SIEM membantu mengumpulkan dan melakukan korelasi data tersebut.

Misalnya:

Pengguna menerima email dengan attachment mencurigakan.
Hash attachment masuk ke sistem deteksi.
File ternyata dijalankan oleh pengguna.
EDR mencatat proses baru.
Endpoint melakukan DNS request ke domain yang tidak dikenal.
Firewall mencatat koneksi keluar.

Masing-masing event mungkin terlihat kecil jika dilihat secara terpisah.

Tetapi ketika dikorelasikan, keseluruhan rangkaian dapat memberikan gambaran insiden yang jauh lebih jelas.

Contoh Skenario Investigasi SOC Analyst

Bayangkan sebuah perusahaan menerima laporan dari karyawan:

"Saya menerima invoice dari vendor, tetapi setelah membuka dokumen komputer terasa lambat."

Jangan langsung menyimpulkan bahwa komputer terkena malware.

Mulailah dari fakta.

Tahap 1: Kumpulkan konteks

Siapa pengirim email?
Kapan email diterima?
Siapa penerimanya?
Apakah transaksi tersebut memang diharapkan?
Apakah attachment dibuka?
Apakah ada aktivitas abnormal setelah pembukaan?

Tahap 2: Identifikasi attachment

Periksa nama file, ekstensi, ukuran, hash, dan tipe file sebenarnya.

Tahap 3: Static analysis

Periksa metadata, string, struktur file, dan karakteristik lainnya tanpa menjalankan sample.

Tahap 4: Threat intelligence

Cari hash dan IOC terkait pada sumber intelijen yang tersedia.

Tahap 5: Dynamic analysis

Jika diperlukan, sample dapat diperiksa dalam sandbox yang sesuai untuk melihat perilakunya.

Tahap 6: Korelasi endpoint

Periksa apakah terdapat proses, koneksi jaringan, file creation, atau aktivitas lain setelah attachment dibuka.

Tahap 7: Tentukan verdict

Gabungkan seluruh evidence sebelum menentukan apakah file:

Benign
Suspicious
Malicious

Tahap 8: Response

Jika malicious, organisasi dapat menjalankan prosedur containment dan remediation sesuai playbook internal.

Benign, Suspicious, atau Malicious?

Tiga istilah ini sangat sering muncul dalam pekerjaan SOC.

Benign

Aktivitas atau file dianggap normal dan tidak menunjukkan indikasi ancaman setelah dilakukan pemeriksaan.

Suspicious

Terdapat karakteristik yang tidak biasa atau mencurigakan, tetapi evidence belum cukup untuk menyatakan bahwa file benar-benar malicious.

Malicious

Terdapat bukti yang cukup bahwa file atau aktivitas berkaitan dengan perilaku berbahaya.

Penting bagi SOC Analyst untuk tidak memaksakan verdict ketika evidence belum cukup.

Uncertainty yang terdokumentasi jauh lebih baik daripada kepastian palsu.

Kesalahan Pemula Saat Menganalisis Malware

Berikut beberapa kesalahan yang sering terjadi ketika seseorang baru belajar malware analysis.

1. Menjalankan malware di komputer utama

Ini adalah kesalahan paling berbahaya.

Jangan pernah menjadikan komputer pribadi sebagai laboratorium untuk menjalankan sample malware.

2. Menganggap satu scanner sebagai kebenaran mutlak

Engine antivirus atau layanan scanning sangat membantu, tetapi hasilnya tetap harus diinterpretasikan.

3. Hanya melihat hash

Hash membantu identifikasi, tetapi tidak menjelaskan seluruh perilaku file.

4. Tidak mencatat timeline

Waktu kejadian sangat penting untuk memahami hubungan antara email, eksekusi file, proses, dan koneksi jaringan.

5. Mengabaikan konteks bisnis

File yang sama dapat memiliki arti berbeda tergantung lingkungan dan penggunaannya.

6. Terlalu cepat menyimpulkan

Analisis keamanan membutuhkan evidence. Jangan mengubah indikator menjadi kesimpulan tanpa korelasi.

Lab Aman untuk Belajar Malware Analysis

Kalau kamu ingin belajar secara hands-on, buatlah lingkungan lab yang terisolasi.

Konsep sederhananya adalah:

Host Machine
     |
     +--- Virtualization
              |
              +--- Analysis VM
              |
              +--- Monitoring Tools
              |
              +--- Isolated Network

Beberapa prinsip yang perlu diperhatikan:

Gunakan virtual machine khusus untuk analisis.
Jangan gunakan akun pribadi di VM tersebut.
Hindari koneksi langsung ke jaringan produksi.
Gunakan snapshot untuk mengembalikan kondisi lab.
Pisahkan environment analisis dari data pribadi.
Gunakan sample malware yang memang disediakan untuk tujuan edukasi.
Pahami risiko sebelum menjalankan sample apa pun.

Untuk pemula, latihan menggunakan CTF, malware-analysis lab, dan sample edukasi jauh lebih aman daripada mencari malware aktif secara sembarangan di internet.

Tools yang Perlu Dipelajari SOC Analyst Pemula

Kamu tidak perlu menguasai semuanya sekaligus.

Bangun kemampuan secara bertahap.

Kategori	Contoh Tools	Tujuan
Hash	sha256sum, PowerShell	Identifikasi file
Metadata	ExifTool	Memeriksa metadata
String	strings	Mencari string yang relevan
PE Analysis	PEStudio, Detect It Easy	Analisis executable
Network	Wireshark	Analisis traffic
Process	Process Explorer	Melihat proses
Monitoring	Process Monitor	File system, registry, process activity
Threat Intelligence	VirusTotal	Korelasi IOC dan reputasi
SIEM	Berbagai platform SIEM	Korelasi log dan alert

Jangan mengejar jumlah tools.

Lebih baik menguasai sepuluh tools dengan memahami kapan dan mengapa tools tersebut digunakan daripada menghafalkan lima puluh tools tanpa memahami hasilnya.

Roadmap Belajar Malware Analysis untuk Pemula

Kalau kamu benar-benar mulai dari nol, jangan langsung mencoba melakukan reverse engineering malware kompleks.

Gunakan roadmap bertahap.

Tahap 1: Fundamental Operating System

Pelajari:

File system.
Process.
Memory.
Windows services.
Registry.
Permissions.
Basic networking.

Tahap 2: Fundamental Networking

Pahami:

TCP/IP.
DNS.
HTTP dan HTTPS.
Port.
Client-server.
Proxy.
Firewall.

Tahap 3: SOC Fundamentals

Pelajari:

Alert triage.
IOC.
Incident response.
Log analysis.
SIEM.
EDR.
Threat intelligence.

Tahap 4: Static Malware Analysis

Mulai dengan:

Hash.
Metadata.
Strings.
File signatures.
PE structure.
Basic obfuscation.

Tahap 5: Dynamic Analysis

Pelajari cara mengamati:

Process creation.
File activity.
Registry activity.
Network connection.
Persistence behavior.

Tahap 6: Reverse Engineering

Setelah fundamental kuat, barulah masuk ke topik seperti:

Assembly.
Debugger.
Disassembler.
Control flow.
Function analysis.
Advanced malware behavior.

Jangan terburu-buru menuju tahap terakhir.

Banyak pemula ingin langsung membongkar malware kompleks, padahal belum memahami process, registry, DNS, atau HTTP. Akibatnya proses belajar menjadi jauh lebih sulit.

Skill yang Sebenarnya Dicari dari SOC Analyst

Menjadi SOC Analyst bukan berarti harus menjadi programmer hebat atau reverse engineer tingkat lanjut sejak hari pertama.

Skill penting yang perlu dibangun antara lain:

Analytical thinking — mampu memecah masalah menjadi bagian kecil.
Attention to detail — mampu memperhatikan indikator kecil.
Log analysis — mampu membaca event dalam jumlah besar.
Networking — memahami bagaimana sistem berkomunikasi.
Operating system knowledge — memahami perilaku endpoint.
Threat intelligence — mampu menggunakan sumber intelijen dengan benar.
Documentation — mampu menulis hasil investigasi secara jelas.
Communication — mampu menjelaskan risiko kepada tim non-teknis.

Skill teknis sangat penting, tetapi kemampuan menjelaskan temuan juga sangat menentukan kualitas seorang analyst.

Bagaimana Menulis Laporan Analisis File?

Investigasi yang bagus tetapi tidak terdokumentasi dengan baik akan sulit digunakan oleh tim lain.

Minimal, laporan dapat memiliki struktur berikut:

Incident Summary
File Information
Source
Hash
Static Analysis
Dynamic Analysis
Network Indicators
Host Indicators
Threat Intelligence Correlation
Assessment
Recommended Response

Contoh ringkas:

Verdict: Suspicious

File Type: PDF
SHA-256: [hash]
Source: Email attachment

Static Analysis:
- Unexpected embedded object
- Suspicious external reference
- Metadata anomaly

Dynamic Analysis:
- Unexpected child process
- External DNS request
- Suspicious network connection

Assessment:
The file requires further investigation.

Recommended Action:
- Quarantine sample
- Review affected endpoint
- Hunt related indicators
- Escalate according to IR procedure

Perhatikan bahwa laporan tidak perlu menggunakan bahasa yang dramatis.

Gunakan bahasa berdasarkan evidence.

Perbedaan Malware Analyst dan SOC Analyst

Kedua role ini sering dianggap sama, padahal fokusnya bisa berbeda.

SOC Analyst	Malware Analyst
Monitoring dan triage	Analisis malware lebih mendalam
Incident detection	Reverse engineering
Alert investigation	Behavior analysis
IOC correlation	Code analysis
Incident escalation	Malware family identification

Namun keduanya saling berhubungan.

SOC Analyst yang memahami malware analysis akan memiliki kemampuan triage yang lebih kuat. Sebaliknya, malware analyst juga membutuhkan konteks SOC agar hasil analisisnya relevan dengan insiden nyata.

Checklist Analisis File Mencurigakan

Simpan checklist berikut jika kamu sedang belajar menjadi SOC Analyst:

☐ Jangan langsung membuka file.
☐ Catat sumber file.
☐ Catat waktu penerimaan.
☐ Identifikasi ekstensi.
☐ Verifikasi tipe file sebenarnya.
☐ Hitung SHA-256.
☐ Periksa reputasi hash.
☐ Periksa metadata.
☐ Analisis strings.
☐ Periksa struktur file.
☐ Cari indikator obfuscation.
☐ Lakukan dynamic analysis hanya di environment terisolasi.
☐ Amati process tree.
☐ Amati file dan registry activity.
☐ Amati network activity.
☐ Kumpulkan IOC.
☐ Korelasikan dengan endpoint atau log lain.
☐ Tentukan verdict berdasarkan evidence.
☐ Dokumentasikan hasil.
☐ Eskalasi jika diperlukan.

Kesimpulan: Belajar Analisis File Adalah Fondasi SOC Analyst

Menganalisis file mencurigakan bukan sekadar mencari tahu apakah sebuah file mengandung malware.

Seorang SOC Analyst harus mampu menjawab pertanyaan yang jauh lebih penting:

Apakah file ini berbahaya?

Bagaimana cara file tersebut bekerja?

Apa dampaknya terhadap endpoint?

Apakah aktivitas serupa terjadi di sistem lain?

Dan apa yang harus dilakukan organisasi setelah temuan tersebut ditemukan?

Prosesnya dimulai dari hal sederhana seperti memeriksa hash dan metadata, kemudian berkembang menjadi static analysis, threat intelligence, dynamic analysis, network analysis, hingga akhirnya masuk ke incident response dan threat hunting.

Yang paling penting adalah jangan terburu-buru.

Cybersecurity bukan perlombaan untuk menghafalkan sebanyak mungkin tools. Seorang analyst yang baik adalah seseorang yang mampu mengambil data mentah, mengubahnya menjadi informasi, kemudian menghubungkan informasi tersebut menjadi sebuah kesimpulan yang dapat dipertanggungjawabkan.

Mulailah dari fundamental.

Pahami bagaimana file bekerja. Pahami bagaimana Windows bekerja. Pahami process, registry, DNS, HTTP, dan network. Setelah itu, pelajari static analysis dan dynamic analysis secara bertahap.

Dan selalu ingat satu prinsip penting:

Jangan mengejar malware. Bangun lab yang aman, gunakan sample edukasi yang legal, dan biarkan evidence yang membimbing investigasimu.

Dengan fondasi tersebut, kamu tidak hanya belajar "mendeteksi file berbahaya". Kamu sedang membangun cara berpikir seorang SOC Analyst yang mampu melakukan triage, investigasi, korelasi, dan respons terhadap ancaman secara sistematis.

Penutup: Dari Pemula Menjadi SOC Analyst yang Siap Menghadapi Dunia Nyata

Perjalanan menjadi SOC Analyst tidak terjadi dalam satu malam.

Kamu mungkin akan mulai dengan hal sederhana: membaca hash, memeriksa sebuah domain, melihat process tree, atau memahami satu alert dari SIEM.

Kemudian perlahan kamu akan mulai melihat pola.

Kamu akan memahami bahwa sebuah file tidak berdiri sendiri. File memiliki sumber, pengguna, proses, koneksi jaringan, timestamp, IOC, dan konteks.

Satu event mungkin tidak berarti apa-apa.

Tetapi sepuluh event yang saling berhubungan bisa menceritakan sebuah serangan.

Itulah inti pekerjaan SOC.

Bukan sekadar melihat alert.

Bukan sekadar menekan tombol block.

Melainkan memahami apa yang sebenarnya terjadi di balik sebuah aktivitas digital.

Jika kamu masih pemula, tidak perlu merasa kewalahan melihat begitu banyak tools dan istilah cybersecurity. Bangun kemampuan satu per satu.

Mulai dari:

✓ Operating system

✓ Networking

✓ Log analysis

✓ Hash dan IOC

✓ Static analysis

✓ Dynamic analysis

✓ Threat intelligence

✓ SIEM dan EDR

✓ Incident response

✓ Malware analysis

Setelah fondasi tersebut kuat, kamu akan jauh lebih mudah memahami alert yang lebih kompleks.

Karena pada akhirnya, tools hanyalah alat. Skill utama seorang SOC Analyst adalah kemampuan berpikir, menghubungkan evidence, dan mengambil keputusan berdasarkan data.

FAQ: Analisis File Mencurigakan untuk SOC Analyst Pemula

Apakah pemula bisa belajar malware analysis?

Bisa. Mulailah dari static analysis sederhana seperti hash, metadata, strings, dan identifikasi tipe file. Setelah memahami fundamental, lanjutkan ke dynamic analysis dan reverse engineering secara bertahap.

Apakah malware harus dijalankan untuk mengetahui apakah berbahaya?

Tidak. Banyak informasi dapat diperoleh melalui static analysis tanpa mengeksekusi file. Dynamic analysis hanya dilakukan ketika diperlukan dan harus menggunakan lingkungan yang terisolasi serta sesuai prosedur keamanan.

Apakah hasil VirusTotal selalu benar?

Tidak. VirusTotal dan layanan threat intelligence lainnya sangat berguna sebagai sumber korelasi, tetapi hasilnya harus dikombinasikan dengan konteks dan evidence lain.

Apakah hash dapat membuktikan file aman?

Tidak. Hash berfungsi terutama sebagai identitas file. File yang belum dikenal dapat memiliki reputasi yang belum tersedia dalam database.

Apakah SOC Analyst harus bisa coding?

Kemampuan scripting sangat membantu, terutama untuk automation, parsing log, dan analisis data. Namun pemula tidak harus langsung menjadi programmer tingkat lanjut. Bangun fundamental cybersecurity terlebih dahulu.

Tools apa yang sebaiknya dipelajari terlebih dahulu?

Mulailah dari tools yang membantu memahami konsep dasar seperti command-line utilities, hash tools, metadata tools, Wireshark, Process Explorer, Process Monitor, serta platform threat intelligence. Setelah konsepnya dipahami, baru tambahkan tools yang lebih kompleks.

Apakah analisis malware legal?

Analisis malware untuk tujuan edukasi, penelitian, dan pertahanan dapat dilakukan secara sah jika menggunakan sample dan lingkungan yang memang boleh digunakan. Jangan mengambil, menyebarkan, atau menjalankan malware terhadap sistem milik pihak lain tanpa izin.

Apakah laptop biasa bisa digunakan untuk belajar?

Untuk fundamental dan beberapa latihan static analysis, perangkat sederhana sudah cukup. Dynamic analysis membutuhkan resource tambahan karena biasanya melibatkan virtual machine. Prioritaskan isolasi dan keamanan lab daripada spesifikasi semata.

Berapa lama sampai siap bekerja sebagai SOC Analyst?

Tidak ada durasi yang sama untuk semua orang. Yang lebih penting adalah membangun kemampuan secara konsisten dan membuktikannya melalui latihan, lab, proyek, dokumentasi, dan pemahaman konsep.

Final Checklist Sebelum Menjadi SOC Analyst

Jika kamu ingin menjadikan artikel ini sebagai panduan belajar, gunakan checklist berikut:

☐ Memahami konsep dasar cybersecurity.
☐ Memahami Windows dan Linux.
☐ Memahami dasar TCP/IP.
☐ Memahami DNS, HTTP, dan HTTPS.
☐ Memahami hash dan file signature.
☐ Bisa melakukan static file triage.
☐ Memahami metadata dan strings.
☐ Memahami process tree.
☐ Memahami Windows registry.
☐ Memahami network indicator.
☐ Memahami IOC.
☐ Bisa membaca alert keamanan.
☐ Memahami konsep SIEM.
☐ Memahami konsep EDR.
☐ Memahami threat intelligence.
☐ Memiliki lab cybersecurity yang terisolasi.
☐ Berlatih menggunakan sample edukasi yang legal.
☐ Bisa menulis laporan investigasi.
☐ Memahami dasar incident response.
☐ Selalu memprioritaskan keamanan dan legalitas saat melakukan pengujian.

Kalau sebagian besar checklist tersebut sudah kamu kuasai, kamu sudah memiliki fondasi yang jauh lebih kuat untuk melanjutkan ke topik SOC tingkat lanjut seperti threat hunting, incident response, malware reverse engineering, detection engineering, dan digital forensics.

Mulai dari virus scanner terpercaya: Jangan langsung menjalankan file mencurigakan di komputer utama. Gunakan layanan analisis reputasi file untuk memeriksa hash atau sampel sesuai kebijakan keamanan organisasi. Pelajari bagaimana hasil deteksi dibaca, bukan hanya melihat label "malicious" atau "clean".
Eksplorasi malware sandbox terpercaya: Untuk pembelajaran, gunakan sampel yang memang disediakan secara aman untuk riset dan analisis. Perhatikan perubahan proses, koneksi jaringan, file yang dibuat, dan indikator lainnya tanpa menjalankan sampel berbahaya di perangkat pribadi.
Pelajari dasar static analysis: Biasakan membaca metadata, hash, file header, struktur PE atau dokumen, serta string yang terdapat di dalam file. Tujuannya bukan langsung menentukan malware atau bukan, tetapi membangun hipotesis awal.

Langkah 1: Jangan Pernah Membuka File Mencurigakan di Komputer Utama

Kesalahan paling umum yang dilakukan pemula ketika belajar malware analysis adalah menjalankan file mencurigakan secara langsung untuk melihat apa yang terjadi.

Ini adalah kebiasaan yang harus dihindari.

File berbahaya tidak selalu menampilkan sesuatu yang aneh di layar. Bisa saja sebuah file terlihat seperti tidak melakukan apa-apa, tetapi di belakang layar ia mencoba membuat proses baru, mengubah konfigurasi, membaca kredensial, membuat koneksi jaringan, atau melakukan aktivitas lain.

Karena itu, prinsip pertama dalam analisis file mencurigakan adalah:

Analisis harus dilakukan dalam lingkungan yang terisolasi dan terkontrol.

Dalam lingkungan profesional, SOC biasanya menggunakan kombinasi sandbox, virtual machine, endpoint yang dikontrol khusus untuk analisis, serta sistem monitoring jaringan.

Untuk pemula, konsep yang perlu dipahami terlebih dahulu adalah isolation.

Jangan gunakan laptop pribadi sebagai lingkungan eksperimen malware.
Jangan menjalankan sampel tidak dikenal pada komputer kerja.
Jangan menghubungkan laboratorium malware secara sembarangan ke jaringan produksi.
Gunakan sampel dan sumber pembelajaran yang memang diperuntukkan untuk riset keamanan.
Pastikan lingkungan analisis dapat dikembalikan ke kondisi bersih setelah pengujian.

Tujuannya sederhana: apabila terjadi sesuatu yang tidak diinginkan selama eksperimen, dampaknya tidak menyebar ke sistem lain.

Langkah 2: Pahami Hash Sebelum Menganalisis File

Salah satu konsep paling penting dalam file analysis adalah hash.

Hash dapat dianggap sebagai semacam sidik jari digital sebuah file. Algoritma tertentu mengubah isi file menjadi nilai dengan panjang tertentu. Jika isi file berubah, nilai hash biasanya ikut berubah.

Beberapa algoritma hash yang sering kamu temui dalam keamanan siber adalah:

MD5
SHA-1
SHA-256

Dalam praktik modern, SHA-256 lebih umum digunakan sebagai referensi identitas file dibandingkan MD5 untuk kebutuhan keamanan.

Misalnya SOC menerima laporan:

Suspicious file: invoice.exe
SHA-256: [nilai hash file]

Nilai tersebut dapat digunakan untuk melakukan pivot ke sumber informasi lain.

SOC Analyst dapat bertanya:

Apakah hash tersebut pernah terlihat sebelumnya?
Apakah file tersebut pernah dikategorikan berbahaya?
Apakah terdapat laporan dari organisasi lain?
Apakah file dengan hash tersebut berkaitan dengan kampanye tertentu?
Apakah file yang diterima pengguna sama dengan file yang dianalisis sebelumnya?

Inilah alasan hash sangat penting dalam proses investigasi.

Catatan: hash bukan bukti tunggal bahwa sebuah file berbahaya. File yang belum pernah terlihat sebelumnya dapat memiliki reputasi yang belum tersedia. Sebaliknya, file yang memiliki hash tertentu perlu tetap dianalisis berdasarkan konteks dan bukti lainnya.

Langkah 3: Kenali Perbedaan MD5, SHA-1, dan SHA-256

Bagi pemula, kamu tidak perlu langsung mempelajari matematika di balik algoritma hash. Yang lebih penting adalah memahami penggunaannya dalam workflow SOC.

MD5 masih sering ditemukan pada sistem lama, laporan keamanan, dan database malware. Namun, MD5 tidak lagi dianggap cocok sebagai mekanisme kriptografis yang aman untuk kebutuhan tertentu.

SHA-1 juga sudah memiliki kelemahan kriptografis yang membuatnya tidak ideal untuk penggunaan keamanan modern tertentu.

SHA-256 menjadi pilihan yang lebih relevan untuk identifikasi file dalam banyak workflow keamanan modern.

Contoh sederhana workflow:

File masuk
      ↓
Hitung SHA-256
      ↓
Cari reputasi hash
      ↓
Bandingkan dengan intelligence
      ↓
Lanjutkan analisis jika diperlukan

Dengan workflow seperti ini, SOC Analyst tidak harus selalu mengunggah file ke layanan eksternal. Dalam banyak kasus, hash saja sudah cukup untuk melakukan pencarian reputasi awal.

Langkah 4: Periksa Metadata File

Setelah hash diperoleh, tahap berikutnya adalah memeriksa metadata.

Metadata dapat memberikan informasi tambahan mengenai file, walaupun metadata sendiri tidak selalu dapat dipercaya sepenuhnya.

Untuk file executable, beberapa informasi yang menarik antara lain:

Ukuran file
Waktu pembuatan atau modifikasi jika tersedia
Format file
Arsitektur
Informasi versi
Nama perusahaan atau produk
Informasi copyright
Digital signature

Misalnya sebuah file bernama:

Microsoft_Update.exe

Nama tersebut terlihat meyakinkan.

Tetapi ketika metadata diperiksa, ternyata informasi produsennya kosong, tidak memiliki tanda tangan digital yang valid, dan karakteristik file tidak sesuai dengan software yang diklaim.

Apakah itu otomatis malware?

Belum tentu.

Namun, temuan tersebut cukup untuk meningkatkan tingkat kecurigaan dan menjadi alasan untuk melakukan pemeriksaan lanjutan.

Langkah 5: Memahami File Signature dan File Header

Salah satu teknik dasar static analysis adalah memahami bagaimana sistem mengenali tipe file.

Nama file dan ekstensi tidak selalu mencerminkan isi sebenarnya.

Misalnya sebuah file bernama:

document.pdf

belum tentu benar-benar merupakan file PDF.

Seorang SOC Analyst dapat memeriksa struktur dan file signature untuk memastikan bahwa format internal file sesuai dengan ekstensi yang digunakan.

Konsep ini penting karena attacker dapat mencoba menggunakan nama file yang terlihat aman untuk menipu pengguna.

Contoh pola yang patut diperhatikan:

Ekstensi tidak sesuai dengan format internal file.
File memiliki struktur yang tidak konsisten.
Header menunjukkan format yang berbeda dari nama file.
Dokumen memiliki struktur yang tidak lazim.
Executable menyamar menggunakan nama dokumen atau gambar.

Ingat, satu indikator bukan berarti sebuah file pasti malicious. Analyst harus menggabungkan beberapa bukti.

Langkah 6: Analisis Strings pada File

String analysis merupakan salah satu teknik paling mudah dipelajari oleh pemula.

Tujuannya adalah mencari teks yang dapat dibaca manusia di dalam sebuah file.

Dalam kasus tertentu, string dapat mengungkap:

Nama domain
Alamat IP
URL
Nama file
Path sistem
Nama fungsi
Pesan error
Informasi konfigurasi

Bayangkan kamu menemukan sebuah executable yang memiliki banyak string berkaitan dengan:

HTTP
HTTPS
User-Agent
cmd.exe
PowerShell
AppData
Temp
Registry

Apakah itu otomatis membuktikan file tersebut malware?

Tidak.

Software legitimate juga dapat menggunakan komponen dan fungsi yang sama.

Namun, string tersebut memberikan konteks yang sangat berguna untuk investigasi lebih lanjut.

Seorang analyst tidak hanya bertanya "apa yang ditemukan?", tetapi juga:

"Apakah temuan tersebut masuk akal untuk jenis file ini?"

Langkah 7: Cari URL, Domain, dan IP Address

Salah satu aktivitas penting dalam analisis file adalah mengidentifikasi indikator jaringan.

Jika static analysis menemukan domain atau URL tertentu, analyst dapat melakukan korelasi dengan sumber threat intelligence yang tersedia.

Misalnya sebuah file memiliki referensi ke domain yang:

Baru dibuat.
Tidak berhubungan dengan vendor yang diklaim.
Memiliki reputasi buruk.
Pernah dikaitkan dengan malware.
Memiliki pola domain yang mencurigakan.

Temuan tersebut dapat meningkatkan tingkat risiko.

Namun, sekali lagi, jangan langsung mengambil kesimpulan hanya berdasarkan satu indikator.

Domain yang terlihat asing belum tentu malicious. Banyak layanan cloud, CDN, analytics, dan platform pihak ketiga menggunakan domain yang tidak familiar bagi pengguna.

Inilah alasan SOC Analyst harus mampu melakukan korelasi.

Langkah 8: Memahami Import dan Fungsi yang Digunakan File

Pada executable tertentu, analyst dapat melihat fungsi atau library yang digunakan oleh program.

Informasi tersebut dapat membantu membentuk gambaran tentang kemampuan program.

Misalnya ditemukan indikasi penggunaan fungsi yang berkaitan dengan:

Komunikasi jaringan.
Manipulasi file.
Proses sistem.
Registry.
Enkripsi.
Manajemen proses.

Namun jangan melakukan kesalahan klasik berikut:

"Ada fungsi networking berarti malware."

Kesimpulan tersebut terlalu sederhana.

Browser, aplikasi chat, antivirus, game, updater, dan software legitimate lainnya juga membutuhkan networking.

Yang dicari analyst adalah kombinasi indikator dan konteks.

Langkah 9: Periksa Digital Signature

Digital signature dapat membantu menentukan apakah sebuah file ditandatangani oleh penerbit tertentu dan apakah tanda tangan tersebut masih valid.

Jika sebuah installer mengklaim berasal dari perusahaan terkenal tetapi:

tidak memiliki signature;
signature tidak valid;
publisher berbeda dari klaim nama file;
sertifikat menunjukkan informasi yang tidak sesuai konteks;

maka analyst memiliki alasan untuk melakukan investigasi tambahan.

Perlu dipahami bahwa digital signature bukan jaminan mutlak bahwa file aman.

File legitimate dapat dikompromikan, akun developer dapat disalahgunakan, atau sertifikat dapat digunakan dalam skenario serangan tertentu.

Karena itu signature harus diperlakukan sebagai salah satu bukti, bukan sebagai keputusan final.

Langkah 10: Masuk ke Dynamic Analysis

Setelah static analysis memberikan hipotesis awal, tahap berikutnya adalah dynamic analysis.

Dynamic analysis berarti mengamati perilaku file ketika dijalankan dalam lingkungan yang terisolasi dan dikontrol.

Di sinilah konsep sandbox menjadi sangat penting.

Sandbox memungkinkan analyst mengamati aktivitas file tanpa memberikan akses bebas ke lingkungan produksi.

Beberapa kategori aktivitas yang biasanya diamati adalah:

Proses yang dibuat.
Child process.
Perubahan file.
Perubahan konfigurasi.
Aktivitas jaringan.
Perubahan registry pada Windows.
Aktivitas persistence.
Aktivitas terhadap proses lain.

Tujuan dynamic analysis bukan sekadar melihat apakah program "terbuka" atau tidak.

Yang lebih penting adalah memahami apa yang dilakukan program di belakang layar.

Static Analysis vs Dynamic Analysis

Kedua metode tersebut memiliki tujuan berbeda.

Aspek	Static Analysis	Dynamic Analysis
File dijalankan?	Tidak	Ya, dalam lingkungan terisolasi
Kecepatan	Relatif cepat	Dapat membutuhkan waktu lebih lama
Metadata	Sangat berguna	Kurang menjadi fokus utama
Strings	Sangat berguna	Dapat dikorelasikan dengan behavior
Network behavior	Diprediksi dari artefak tertentu	Dapat diamati secara langsung
Process behavior	Terbatas	Dapat diamati
Risiko	Lebih rendah jika tidak dieksekusi	Membutuhkan isolasi yang kuat

Dalam investigasi profesional, kedua pendekatan sering digunakan bersama.

Bagaimana SOC Analyst Membaca Behavior File?

Misalkan sebuah file dijalankan di sandbox dan menghasilkan beberapa aktivitas.

Analyst melihat:

Process created
        ↓
Child process created
        ↓
File modification
        ↓
Outbound network connection
        ↓
Additional process activity

Jangan langsung menyimpulkan bahwa semuanya malicious.

Langkah berikutnya adalah mencari hubungan antaraktivitas.

Misalnya:

Proses apa yang dibuat?
Siapa parent process-nya?
Apakah child process tersebut normal untuk aplikasi?
File apa yang dibuat?
Di lokasi mana file tersebut dibuat?
Ke mana koneksi jaringan diarahkan?
Apakah domain tersebut relevan dengan aplikasi?
Apakah aktivitas tersebut muncul sebelum atau sesudah user membuka file?

Dengan pendekatan tersebut, analyst tidak hanya melihat aktivitas secara terpisah, tetapi mencoba membangun sebuah timeline.

Membangun Timeline Investigasi

Timeline adalah salah satu konsep yang sangat penting dalam pekerjaan SOC.

Daripada melihat ratusan event secara acak, analyst menyusunnya berdasarkan urutan waktu.

10:01:12
User menerima file

10:02:04
File dibuka

10:02:05
Process A dibuat

10:02:06
Process B dibuat

10:02:08
File baru muncul

10:02:10
Outbound connection terdeteksi

10:02:13
Additional process activity

Timeline tersebut dapat membantu menjawab pertanyaan penting:

Apa yang terjadi setelah file dibuka?

Jika aktivitas yang tidak biasa mulai muncul segera setelah file dijalankan, hubungan tersebut perlu diperiksa lebih lanjut.

Timeline juga membantu ketika sebuah kasus harus dieskalasikan kepada Incident Response.

Memahami IOC: Indicator of Compromise

Dalam investigasi malware, kamu akan sering mendengar istilah IOC atau Indicator of Compromise.

IOC adalah artefak yang dapat membantu mengidentifikasi aktivitas atau kompromi tertentu.

Contoh IOC dapat mencakup:

File hash.
Domain mencurigakan.
Alamat IP tertentu.
Nama file.
Path file.
Artefak konfigurasi.
Karakteristik proses tertentu.

IOC sangat berguna karena hasil investigasi tidak berhenti pada satu file saja.

Misalnya SOC menemukan file malicious pada satu endpoint.

Pertanyaan berikutnya adalah:

"Apakah file atau indikator yang sama pernah muncul di endpoint lain?"

Jika jawabannya ya, maka ruang lingkup insiden dapat menjadi jauh lebih besar.

IOC vs IOA: Apa Bedanya?

Pemula sering mencampuradukkan IOC dan IOA.

IOC lebih berfokus pada artefak atau indikator yang dapat menunjukkan adanya kompromi.

IOA atau Indicator of Attack lebih berfokus pada perilaku atau aktivitas yang mengindikasikan sebuah serangan sedang berlangsung.

Contoh sederhana:

Hash file tertentu ditemukan pada endpoint = contoh IOC.
Proses yang tidak biasa melakukan aktivitas tertentu = dapat menjadi bagian dari IOA.

Dalam SOC modern, kedua pendekatan dapat digunakan secara bersamaan untuk meningkatkan kemampuan deteksi.

Menggunakan Threat Intelligence dengan Benar

Threat intelligence membantu SOC Analyst memahami konteks sebuah indikator.

Ketika menemukan hash, domain, IP, atau artefak tertentu, analyst dapat melakukan korelasi dengan sumber intelligence yang tersedia bagi organisasi.

Tujuannya bukan sekadar mencari label:

"Malware atau bukan?"

Tetapi juga mencari:

Pernah muncul kapan?
Terkait dengan keluarga malware apa?
Apakah indikator tersebut memiliki hubungan dengan kampanye tertentu?
Apakah terdapat indikator lain yang berhubungan?
Apakah organisasi pernah melihat indikator tersebut sebelumnya?

Dengan demikian, threat intelligence berubah dari sekadar database menjadi sumber konteks untuk proses investigasi.

VirusTotal: Apa yang Harus Dilihat Pemula?

Salah satu platform yang sering dikenal pemula adalah VirusTotal.

Yang perlu dipahami adalah cara membaca hasilnya secara kritis.

Jangan hanya melihat angka seperti:

45 / 70 detections

lalu menyimpulkan seluruh kasus selesai.

Perhatikan juga konteks:

Vendor mana yang mendeteksi?
Nama deteksinya apa?
Apakah beberapa vendor menggunakan klasifikasi yang sama?
Apakah file tersebut baru atau sudah lama beredar?
Apakah terdapat informasi behavior?
Apakah terdapat hubungan dengan domain atau IP tertentu?

Hasil dari platform threat intelligence sebaiknya menjadi bahan investigasi, bukan satu-satunya dasar keputusan.

Selain itu, organisasi harus mempertimbangkan kebijakan privasi sebelum mengunggah file yang mungkin mengandung data sensitif, rahasia perusahaan, atau informasi pelanggan ke layanan eksternal.

False Positive: Musuh Besar SOC Analyst

Salah satu tantangan terbesar dalam pekerjaan SOC adalah false positive.

False positive terjadi ketika sebuah aktivitas dianggap mencurigakan atau malicious, padahal sebenarnya legitimate.

Contohnya:

Administrator menggunakan PowerShell untuk pekerjaan normal.
Software updater melakukan koneksi jaringan.
Aplikasi perusahaan membuat child process tertentu.
Tool developer memodifikasi file temporary.

Jika setiap aktivitas tersebut dianggap malware, SOC akan menghasilkan terlalu banyak alert.

Akibatnya analyst mengalami alert fatigue.

Inilah alasan pentingnya memahami konteks.

Deteksi yang baik bukan berarti menghasilkan alert sebanyak mungkin.

Deteksi yang baik berarti menghasilkan alert yang relevan dan dapat ditindaklanjuti.

False Negative: Risiko yang Lebih Berbahaya

Kebalikan dari false positive adalah false negative.

Dalam kasus ini, aktivitas malicious justru dianggap aman.

False negative jauh lebih berbahaya karena ancaman dapat lolos dari sistem monitoring.

Karena itu SOC Analyst harus menjaga keseimbangan antara:

Sensitivitas deteksi.
Spesifisitas deteksi.
Konteks endpoint.
Konteks user.
Konteks jaringan.
Konteks waktu.

Inilah salah satu alasan mengapa pekerjaan SOC tidak bisa sepenuhnya diserahkan kepada automated detection.

Bagaimana Menentukan File: Benign, Suspicious, atau Malicious?

Setelah mengumpulkan bukti, analyst harus membuat keputusan.

Secara sederhana, sebuah file dapat dikategorikan menjadi beberapa kondisi:

1. Benign

Tidak ditemukan indikator yang menunjukkan aktivitas berbahaya dan perilakunya konsisten dengan fungsi software tersebut.

2. Suspicious

Terdapat indikator atau perilaku yang tidak biasa, tetapi bukti belum cukup untuk menyatakan bahwa file tersebut malicious.

3. Malicious

Terdapat bukti kuat bahwa file tersebut melakukan aktivitas berbahaya atau memang merupakan bagian dari ancaman yang telah teridentifikasi.

Kategori suspicious sangat penting.

Analyst tidak harus memaksakan keputusan hanya menjadi "aman" atau "malware" ketika bukti belum cukup.

Menjaga ketidakpastian secara profesional jauh lebih baik daripada membuat kesimpulan yang salah.

Framework Sederhana untuk Pemula: H-A-S-H

Agar lebih mudah diingat, kamu dapat menggunakan kerangka sederhana berikut saat belajar.

H — Hash: Identifikasi file secara konsisten.
A — Artefact: Cari metadata, strings, header, signature, dan indikator lainnya.
S — Source: Telusuri asal file dan konteks bagaimana file diterima.
H — History & Behavior: Korelasikan reputasi, threat intelligence, dan perilaku file.

Framework ini bukan standar resmi industri, tetapi dapat digunakan sebagai checklist pembelajaran untuk membantu pemula mengingat urutan berpikir.

Contoh Studi Kasus: File Invoice Mencurigakan

Sekarang kita gunakan contoh sederhana.

Seorang karyawan menerima email yang mengaku berasal dari vendor.

Email tersebut memiliki lampiran:

Invoice_2026.pdf

Pengguna melaporkan email tersebut kepada SOC karena nama vendor terasa tidak biasa.

Apa yang dilakukan analyst?

Tahap 1 — Konteks

Analyst memeriksa:

Siapa pengirim email?
Apakah domain pengirim sesuai dengan vendor?
Apakah karyawan memang sedang menunggu invoice?
Apakah format invoice sesuai dengan komunikasi sebelumnya?

Tahap 2 — Identitas File

Analyst mendapatkan hash file dan mencatat metadata dasar.

Tahap 3 — Static Analysis

File diperiksa tanpa dijalankan secara langsung pada workstation pengguna.

Analyst memeriksa struktur dokumen, metadata, strings, serta artefak lain yang relevan.

Tahap 4 — Threat Intelligence

Hash dan indikator yang relevan dikorelasikan dengan sumber intelligence yang tersedia.

Tahap 5 — Dynamic Analysis

Jika diperlukan, file dianalisis dalam sandbox yang terisolasi untuk mengamati perilaku.

Tahap 6 — Verdict

Seluruh bukti digabungkan untuk menentukan apakah file benign, suspicious, atau malicious.

Tahap 7 — Response

Jika terbukti malicious, SOC dapat melakukan tindakan sesuai prosedur organisasi seperti mengisolasi endpoint, memblokir indikator, mencari kemunculan indikator pada endpoint lain, dan melakukan eskalasi kepada tim incident response.

Kenapa Konteks Email Sangat Penting?

Banyak pemula terlalu fokus pada file dan melupakan bagaimana file tersebut sampai ke korban.

Padahal konteks distribusi dapat memberikan petunjuk penting.

Misalnya:

File datang dari pengirim yang tidak dikenal.
Nama pengirim terlihat mirip dengan vendor resmi.
Isi email mendesak korban melakukan tindakan tertentu.
File tidak sesuai dengan kebiasaan komunikasi sebelumnya.
Pengirim meminta pengguna melewati prosedur keamanan.

Semua informasi tersebut dapat membantu analyst menentukan tingkat risiko.

Inilah alasan malware analysis bukan hanya soal membedah file.

Malware analysis adalah proses memahami file, sistem, user, jaringan, dan konteks serangan sebagai satu kesatuan.

Bagaimana SOC Menghubungkan File dengan Endpoint?

Misalnya SOC menemukan hash mencurigakan.

Investigasi tidak berhenti di sana.

Analyst dapat mencari apakah indikator tersebut muncul pada endpoint lain berdasarkan kemampuan dan sumber data organisasi.

Pertanyaan yang dapat diajukan:

Apakah file yang sama ada di komputer lain?
Kapan pertama kali muncul?
User siapa yang mengaksesnya?
Apakah file pernah dijalankan?
Apakah ada koneksi jaringan setelah eksekusi?
Apakah ada proses mencurigakan setelah file dibuka?

Jika hanya satu endpoint yang terdampak, kasus mungkin bersifat terbatas.

Jika indikator yang sama ditemukan pada puluhan endpoint, maka prioritas insiden tentu berbeda.

Peran SIEM dalam Investigasi File Mencurigakan

SIEM atau Security Information and Event Management merupakan salah satu teknologi penting dalam operasi SOC.

SIEM membantu mengumpulkan dan menghubungkan log dari berbagai sumber.

Dalam konteks investigasi file, sumber data yang relevan dapat mencakup:

Endpoint.
Firewall.
Proxy.
DNS.
Email security.
Identity provider.
Cloud platform.
Application logs.

Bayangkan analyst menemukan domain mencurigakan dari sebuah file.

Dengan data yang tersedia di SIEM, analyst dapat mencari apakah endpoint lain pernah melakukan koneksi ke domain tersebut.

Ini mengubah investigasi dari:

"Apakah file ini berbahaya?"

menjadi:

"Apakah indikator dari file ini pernah muncul di lingkungan organisasi?"

Perubahan cara berpikir inilah yang membedakan analisis file sederhana dengan investigasi SOC.

EDR dan Analisis File Mencurigakan

Endpoint Detection and Response atau EDR memberikan visibilitas yang lebih dalam terhadap aktivitas endpoint.

Jika sebuah file dijalankan, EDR pada lingkungan yang sesuai dapat membantu analyst memahami hubungan antara:

File.
Process.
Parent process.
Child process.
Network connection.
User.
Endpoint.

Hubungan tersebut sering kali lebih berharga daripada satu alert tunggal.

Misalnya:

Email attachment
      ↓
User opens file
      ↓
Process starts
      ↓
Child process appears
      ↓
Outbound connection
      ↓
Additional artifact created

Analyst kemudian dapat menyelidiki setiap hubungan tersebut.

Jangan Hanya Mengandalkan Satu Tool

Kesalahan umum pemula adalah mencari "tool terbaik untuk mendeteksi malware".

Pada kenyataannya, tidak ada satu tool yang mampu memberikan seluruh jawaban untuk semua kasus.

Sebuah workflow profesional biasanya menggunakan beberapa kategori kemampuan:

File identification untuk mengetahui identitas dan format file.
Static analysis untuk memeriksa artefak tanpa eksekusi.
Sandbox untuk mengamati behavior secara terisolasi.
Threat intelligence untuk mendapatkan konteks.
SIEM untuk korelasi log.
EDR untuk visibilitas endpoint.
Network monitoring untuk melihat aktivitas komunikasi.

Tool hanyalah instrumen.

Skill utama seorang SOC Analyst adalah kemampuan menghubungkan hasil dari berbagai instrumen tersebut.

Kesalahan Pemula Saat Belajar Malware Analysis

Ada beberapa kesalahan yang sangat sering terjadi.

1. Langsung Menjalankan Malware

Ini merupakan kesalahan paling berbahaya. Selalu prioritaskan isolasi dan gunakan lingkungan pembelajaran yang memang dirancang untuk analisis.

2. Menganggap Semua Alert sebagai Malware

Alert hanyalah sinyal untuk investigasi. Alert bukan selalu verdict.

3. Terlalu Percaya pada Scanner

Scanner sangat membantu, tetapi hasilnya tetap harus dikorelasikan dengan konteks.

4. Tidak Mencatat Temuan

Biasakan membuat catatan sejak awal. Investigasi yang tidak terdokumentasi akan sulit direkonstruksi.

5. Mengabaikan Timeline

Urutan kejadian sering memberikan konteks yang tidak terlihat ketika event dilihat secara terpisah.

6. Tidak Memahami Sistem Operasi

Untuk menjadi SOC Analyst yang baik, kamu perlu memahami dasar Windows, Linux, proses, filesystem, networking, authentication, dan logging.

Checklist Analisis File untuk SOC Analyst Pemula

Gunakan checklist berikut ketika berlatih di lab:

☐ File diterima dari mana?
☐ Siapa yang mengirim?
☐ Apakah konteks penerimaan masuk akal?
☐ Apa nama file?
☐ Apa ekstensi file?
☐ Apakah format internal sesuai ekstensi?
☐ Berapa ukuran file?
☐ Apa SHA-256-nya?
☐ Apakah terdapat metadata mencurigakan?
☐ Apakah digital signature valid?
☐ Apakah terdapat strings menarik?
☐ Apakah terdapat domain atau URL?
☐ Apakah terdapat indikator jaringan?
☐ Bagaimana reputasi file?
☐ Bagaimana behavior file di sandbox?
☐ Apakah terdapat proses mencurigakan?
☐ Apakah terdapat perubahan file atau konfigurasi?
☐ Apakah endpoint lain memiliki indikator yang sama?
☐ Apakah verdict sudah didukung bukti yang cukup?
☐ Apakah seluruh investigasi sudah terdokumentasi?

Template Laporan Analisis File Sederhana

Pemula juga perlu belajar membuat laporan, bukan hanya menjalankan tools.

Berikut struktur sederhana yang dapat digunakan:

FILE ANALYSIS REPORT

1. File Information
- File Name:
- File Type:
- File Size:
- SHA-256:

2. Source
- Source:
- Sender:
- Delivery Context:

3. Static Analysis
- Metadata:
- Strings:
- Signature:
- Interesting Artifacts:

4. Threat Intelligence
- Hash Reputation:
- Related Indicators:
- External Intelligence:

5. Dynamic Analysis
- Processes:
- File Activity:
- Network Activity:
- Other Behavior:

6. Assessment
- Verdict:
- Confidence:
- Reason:

7. Recommended Response
- Endpoint Action:
- Indicator Blocking:
- Additional Hunting:
- Escalation:

8. Analyst Notes
- Additional Findings:
- Questions for Further Investigation:

Template seperti ini membantu kamu berpikir secara terstruktur.

Bagaimana Mengukur Confidence dalam Verdict?

Dalam investigasi keamanan, analyst tidak selalu memiliki bukti sempurna.

Karena itu penting membedakan antara verdict dan confidence.

Contohnya:

Malicious — High Confidence: Banyak indikator independen mendukung kesimpulan.
Suspicious — Medium Confidence: Ada beberapa indikator kuat tetapi belum cukup untuk keputusan final.
Benign — High Confidence: Behavior dan konteks konsisten dengan software legitimate.

Konsep ini sangat berguna ketika hasil investigasi disampaikan kepada tim lain.

Dengan mencantumkan confidence, penerima laporan memahami seberapa kuat bukti yang mendukung kesimpulan.

Skill yang Harus Dipelajari Setelah Menguasai Dasar

Jika kamu sudah memahami hash, metadata, static analysis, dynamic analysis, IOC, threat intelligence, dan workflow SOC, jangan berhenti di sana.

Langkah berikutnya adalah memperkuat fundamental.

1. Networking

Pelajari TCP/IP, DNS, HTTP, HTTPS, TLS, proxy, firewall, dan konsep koneksi jaringan.

2. Windows Internals Dasar

Pahami proses, service, registry, filesystem, user account, permission, dan event logging.

3. Linux

Banyak tool keamanan dan lingkungan analisis menggunakan Linux. Kemampuan command line akan sangat membantu.

4. Python

Python dapat digunakan untuk otomatisasi parsing data, pemrosesan IOC, analisis log, dan berbagai tugas repetitif.

5. Detection Engineering

Setelah memahami bagaimana malware berperilaku, pelajari bagaimana behavior tersebut dapat diterjemahkan menjadi rule atau detection.

6. Threat Hunting

Jangan hanya menunggu alert. Pelajari cara mencari aktivitas mencurigakan berdasarkan hipotesis tertentu.

7. Incident Response

Ketika sebuah file benar-benar malicious, kamu perlu memahami apa yang dilakukan setelah deteksi: containment, eradication, recovery, dan dokumentasi.

Dari File Analysis Menuju Threat Hunting

Ini adalah perkembangan skill yang sangat menarik.

Pada awalnya kamu mungkin hanya bertanya:

"Apakah file ini malware?"

Setelah kemampuanmu berkembang, pertanyaanmu berubah menjadi:

"Jika file ini malicious, aktivitas apa yang mungkin ditinggalkannya di lingkungan organisasi?"

Kemudian kamu mulai mencari indikator tersebut secara proaktif.

Misalnya kamu menemukan karakteristik tertentu dari sebuah sampel pada lab.

Kamu kemudian bertanya:

Apakah proses serupa pernah muncul?
Apakah domain tertentu pernah diakses?
Apakah hash terkait pernah terlihat?
Apakah endpoint lain menunjukkan pola yang sama?

Inilah awal dari pola pikir threat hunter.

Bagaimana AI Membantu SOC Analyst Menganalisis File?

AI juga mulai digunakan dalam workflow SOC.

Namun prinsipnya tetap sama: AI adalah alat bantu, bukan pengganti analyst.

AI dapat membantu dalam beberapa aktivitas seperti:

Merangkum alert.
Mengelompokkan event yang berkaitan.
Membantu menjelaskan log yang kompleks.
Membantu membuat hipotesis investigasi.
Membantu melakukan enrichment terhadap data.
Membantu menyusun laporan awal.

Tetapi hasil AI tetap harus diverifikasi.

Model AI dapat salah memahami konteks, menghasilkan kesimpulan yang tidak akurat, atau memberikan informasi yang sudah tidak relevan.

Untuk itu, workflow yang lebih aman adalah:

Raw Evidence
     ↓
Tool Analysis
     ↓
AI Assistance
     ↓
Human Validation
     ↓
Final Verdict

Bukan:

File
 ↓
AI
 ↓
"Malware!"

Perbedaan tersebut sangat penting bagi seorang SOC Analyst.

Etika dan Keamanan Saat Belajar Malware Analysis

Malware analysis adalah bidang yang membutuhkan tanggung jawab tinggi.

Sampel malware dapat bersifat berbahaya jika diperlakukan sembarangan.

Karena itu:

Gunakan lingkungan lab yang terisolasi.
Gunakan sampel yang diperoleh dari sumber pembelajaran dan riset yang sah.
Jangan menguji sampel pada komputer milik orang lain.
Jangan mengunggah dokumen perusahaan atau data rahasia ke layanan publik.
Hormati kebijakan keamanan organisasi.
Jangan menggunakan hasil analisis untuk melakukan serangan terhadap sistem pihak lain.

Tujuan mempelajari malware analysis adalah memahami ancaman agar kita dapat mendeteksi, mencegah, dan meresponsnya dengan lebih baik.

Roadmap Belajar SOC Analyst untuk Pemula

Jika kamu benar-benar baru memulai cybersecurity, jangan mencoba mempelajari semuanya sekaligus.

Gunakan roadmap bertahap berikut.

Level 1 — Fundamental

Networking dasar.
Operating system.
Command line.
File system.
HTTP dan DNS.

Level 2 — Security Fundamental

Authentication.
Authorization.
Encryption.
Common attack techniques.
Security logging.

Level 3 — SOC Fundamental

SIEM.
EDR.
Alert triage.
IOC.
Threat intelligence.
Incident response.

Level 4 — Malware Analysis

Hash analysis.
Metadata analysis.
Static analysis.
Dynamic analysis.
Sandbox analysis.
Behavior analysis.

Level 5 — Advanced

Reverse engineering.
Threat hunting.
Detection engineering.
Digital forensics.
Malware family analysis.
Automation dan scripting.

Kesimpulan: SOC Analyst Harus Mampu Berpikir Seperti Investigator

Menganalisis file mencurigakan bukan sekadar membuka sebuah scanner lalu melihat apakah warnanya merah atau hijau.

Seorang SOC Analyst harus mampu menggabungkan banyak potongan informasi menjadi sebuah cerita.

Dimulai dari:

Dari mana file tersebut berasal?

Kemudian:

Apa sebenarnya file tersebut?

Lalu:

Apa yang terdapat di dalamnya?

Berikutnya:

Apa yang dilakukan file tersebut ketika dijalankan?

Setelah itu:

Apakah behavior tersebut normal untuk software yang bersangkutan?

Dan akhirnya:

Apakah aktivitas tersebut memiliki dampak terhadap lingkungan organisasi?

Inilah pola pikir yang harus dibangun oleh pemula.

Tools seperti scanner, sandbox, SIEM, EDR, dan threat intelligence memang sangat membantu. Tetapi tools tidak dapat menggantikan kemampuan analyst untuk memahami konteks dan mengambil keputusan.

Semakin banyak kamu berlatih, semakin mudah kamu mengenali pola.

Pada awalnya, sebuah log mungkin terlihat seperti sekumpulan angka dan teks yang membingungkan.

Setelah memahami konsepnya, kamu mulai melihat hubungan:

User
 ↓
File
 ↓
Process
 ↓
Network
 ↓
Artifact
 ↓
IOC
 ↓
Detection
 ↓
Response

Dan ketika kamu mampu melihat hubungan tersebut, kamu tidak lagi sekadar menjadi orang yang membaca alert.

Kamu mulai berpikir seperti seorang security investigator.

Itulah fondasi utama seorang SOC Analyst.

Jadi, jika kamu ingin memulai perjalanan di bidang cybersecurity, jangan merasa harus langsung menguasai reverse engineering tingkat lanjut. Mulailah dari fundamental, pahami bagaimana sistem bekerja, pelajari cara membaca artefak, biasakan membuat hipotesis, dan selalu validasi kesimpulan berdasarkan bukti.

Karena pada akhirnya, kemampuan terpenting seorang SOC Analyst bukanlah seberapa banyak tools yang bisa digunakan.

Kemampuan terpenting adalah seberapa baik kamu dapat mengubah data mentah menjadi keputusan keamanan yang tepat.

3 Step Pertama Belajar Analisis Malware dari Nol

Kamu tidak perlu langsung menjadi malware researcher untuk memahami bagaimana sebuah file mencurigakan dianalisis. Sebagai pemula cybersecurity, yang paling penting adalah memahami proses berpikir seorang SOC Analyst: jangan langsung mengeksekusi file, kumpulkan bukti, analisis indikator, lalu tentukan tindakan berdasarkan risiko.

Berikut tiga langkah awal yang aman dan realistis untuk membangun kemampuan analisis:

Mulai dari file scanner dan threat intelligence: Gunakan layanan keamanan yang memiliki reputasi baik untuk melihat apakah hash atau karakteristik file sudah pernah dikaitkan dengan ancaman. Jangan menjadikan satu hasil scanner sebagai keputusan final.
Pelajari malware sandbox: Amati bagaimana sampel berperilaku di lingkungan terisolasi. Perhatikan proses yang dibuat, koneksi jaringan, perubahan file, dan aktivitas sistem.
Bangun isolated lab: Jika ingin melakukan analisis lebih jauh, gunakan mesin virtual atau lingkungan lab khusus yang tidak terhubung ke aset produksi maupun data pribadi.

Prinsip utama: file mencurigakan tidak boleh diperlakukan seperti file biasa. Perlakukan ia sebagai bukti yang berpotensi berbahaya sampai ada cukup informasi untuk menyatakan sebaliknya.

Memahami Alur Kerja SOC Analyst Saat Menerima File Mencurigakan

Dalam lingkungan Security Operations Center, analisis file bukan pekerjaan yang dilakukan secara acak. Biasanya terdapat alur yang membantu analyst bekerja secara konsisten dan mengurangi risiko kesalahan.

Secara sederhana, alurnya dapat digambarkan seperti berikut:

Alert → Triage → Preservation → Static Analysis → Dynamic Analysis → Threat Intelligence → Correlation → Verdict → Response → Documentation

Setiap tahap memiliki tujuan yang berbeda.

Alert: sistem atau pengguna melaporkan file yang dianggap mencurigakan.
Triage: analyst menentukan tingkat urgensi dan apakah insiden perlu segera dieskalasikan.
Preservation: bukti diamankan agar tidak berubah atau hilang.
Static Analysis: file diperiksa tanpa menjalankannya.
Dynamic Analysis: perilaku file diamati dalam lingkungan terisolasi.
Threat Intelligence: indikator dibandingkan dengan sumber intelijen yang tersedia.
Correlation: temuan dibandingkan dengan log, endpoint, pengguna, dan aktivitas jaringan.
Verdict: analyst menentukan apakah file benign, suspicious, atau malicious berdasarkan bukti.
Response: organisasi mengambil tindakan mitigasi sesuai prosedur.
Documentation: seluruh proses dan alasan pengambilan keputusan dicatat.

Memahami alur ini penting karena seorang SOC Analyst tidak hanya dituntut menemukan malware. Mereka juga harus mampu menjelaskan mengapa sebuah file dianggap berbahaya dan bukti apa yang mendukung keputusan tersebut.

Langkah 1: Jangan Langsung Membuka File

Kesalahan paling umum yang dilakukan pemula adalah membuka file untuk melihat "apa isinya". Untuk file yang belum dipercaya, tindakan tersebut justru dapat mengubah situasi dari investigasi menjadi insiden.

Jika file berasal dari sumber yang tidak dikenal, jangan:

menjalankan executable secara langsung;
membuka dokumen menggunakan aplikasi utama di komputer kerja;
mengaktifkan macro atau content yang diminta dokumen;
menekan tombol atau tautan yang terdapat di dalam dokumen;
memindahkan file ke komputer produksi tanpa prosedur;
menghubungkan file ke lingkungan yang berisi data sensitif.

Sebaliknya, perlakukan file tersebut sebagai untrusted artifact.

Dalam operasi keamanan profesional, prinsip least privilege, isolasi, dan pemisahan lingkungan sangat penting. Tujuannya sederhana: jika asumsi awal ternyata salah dan file memang berbahaya, dampaknya tetap berada dalam batas yang terkendali.

Langkah 2: Identifikasi Jenis File Sebenarnya

Nama file dan ekstensi bukanlah bukti bahwa file benar-benar memiliki format tersebut.

Sebuah file bernama:

invoice.pdf

belum tentu merupakan PDF. File dapat diberi nama yang menipu pengguna atau menggunakan ekstensi yang tidak sesuai dengan format sebenarnya.

Karena itu, analyst perlu membedakan antara:

filename — nama yang diberikan kepada file;
extension — ekstensi yang terlihat oleh pengguna;
file type — format sebenarnya berdasarkan struktur atau magic bytes;
metadata — informasi tambahan yang terdapat pada file.

Konsep ini sangat penting dalam malware analysis karena penyerang dapat menggunakan teknik social engineering untuk membuat file berbahaya terlihat seperti dokumen biasa.

Contohnya, nama yang tampak meyakinkan dapat membuat pengguna mengabaikan fakta bahwa format sebenarnya adalah program yang dapat dieksekusi.

Pelajaran untuk pemula: jangan pernah menentukan tingkat keamanan file hanya berdasarkan nama atau ikon file.

Langkah 3: Hitung Hash File

Salah satu konsep paling penting dalam analisis file adalah hash.

Hash dapat dianggap sebagai semacam sidik jari digital yang dihasilkan dari isi sebuah file. Jika isi file berubah, nilai hash umumnya ikut berubah.

Beberapa algoritma hash yang sering kamu temui dalam dunia keamanan adalah:

MD5
SHA-1
SHA-256

Dalam praktik keamanan modern, SHA-256 sering lebih berguna dibandingkan MD5 untuk identifikasi file karena memiliki ketahanan kriptografis yang lebih baik terhadap collision.

Namun, penting memahami bahwa hash bukan alat untuk membuktikan bahwa file aman.

Hash terutama berguna untuk:

mengidentifikasi file secara konsisten;
mencari apakah sampel sudah pernah diketahui;
melakukan korelasi dengan threat intelligence;
mencari file yang sama pada beberapa endpoint;
membuat indikator untuk kebutuhan investigasi dan respons.

Misalnya, jika sebuah file ditemukan pada lima komputer berbeda dan kelimanya memiliki SHA-256 yang sama, analyst dapat mengetahui bahwa objek yang ditemukan kemungkinan merupakan file yang identik.

Inilah salah satu alasan mengapa hash menjadi bagian penting dalam IOC atau Indicator of Compromise.

Apa Itu IOC dan Mengapa Penting bagi SOC Analyst?

IOC atau Indicator of Compromise adalah artefak atau indikator yang dapat membantu analyst mengidentifikasi kemungkinan adanya aktivitas berbahaya.

IOC dapat berupa:

file hash;
alamat IP mencurigakan;
domain berbahaya;
URL tertentu;
nama file yang tidak biasa;
path tertentu pada sistem;
artefak registry;
indikator proses;
dan karakteristik lain yang berkaitan dengan aktivitas ancaman.

Bayangkan SOC menerima laporan bahwa sebuah file mencurigakan ditemukan pada satu komputer.

Jika analyst hanya memeriksa file tersebut, investigasi mungkin berhenti di sana.

Namun, jika analyst mendapatkan hash file dan kemudian melakukan korelasi terhadap endpoint lain, bisa saja ditemukan bahwa file dengan hash yang sama ternyata terdapat pada 20 komputer.

Situasinya berubah.

Yang awalnya terlihat sebagai satu file mencurigakan dapat berkembang menjadi indikasi insiden yang lebih luas.

Inilah alasan mengapa pekerjaan SOC Analyst tidak berhenti pada analisis satu objek. Analyst harus selalu bertanya:

"Apakah artefak ini muncul di tempat lain?"

Langkah 4: Lakukan Static Analysis

Static analysis adalah proses menganalisis file tanpa mengeksekusinya.

Tujuannya adalah mendapatkan sebanyak mungkin informasi dari struktur file sebelum mengambil keputusan apakah perlu dilakukan analisis perilaku.

Beberapa informasi yang dapat diperiksa antara lain:

ukuran file;
hash;
format file;
metadata;
string yang dapat dibaca;
struktur internal;
informasi header;
indikasi packing atau obfuscation;
informasi sertifikat digital jika tersedia.

Static analysis memiliki keunggulan besar: file tidak perlu dijalankan sehingga risiko terhadap sistem analyst dapat ditekan.

Namun, static analysis juga memiliki keterbatasan.

Malware modern dapat menggunakan packing, obfuscation, enkripsi, atau teknik lain untuk menyembunyikan informasi penting. Karena itu, file yang terlihat "bersih" secara statis belum tentu benar-benar aman.

Mengenal Strings dalam Analisis Malware

Salah satu teknik paling sederhana untuk memulai analisis adalah memeriksa strings.

Strings adalah rangkaian karakter yang dapat dibaca yang ditemukan di dalam sebuah file.

Dalam konteks malware analysis, strings terkadang dapat mengungkap:

nama domain;
alamat IP;
URL;
nama file;
path sistem;
pesan kesalahan;
nama fungsi;
parameter tertentu;
atau petunjuk lain mengenai fungsi program.

Misalnya, sebuah file mencurigakan mengandung string yang mengarah ke domain tertentu. Temuan tersebut belum otomatis membuktikan bahwa file tersebut malware.

Namun, string tersebut dapat menjadi lead yang kemudian diperiksa menggunakan sumber threat intelligence dan bukti lain.

Ini merupakan prinsip penting dalam SOC:

Satu indikator bukan selalu verdict.

Analyst harus menggabungkan berbagai indikator untuk membangun gambaran yang lebih kuat.

Langkah 5: Periksa Metadata dan Struktur File

Metadata sering dianggap sepele oleh pemula, padahal dapat memberikan konteks tambahan.

Untuk dokumen, misalnya, metadata tertentu dapat memberikan informasi tentang:

aplikasi yang digunakan untuk membuat file;
waktu pembuatan atau modifikasi;
informasi author yang tersedia;
versi software;
karakteristik struktur dokumen.

Untuk file executable, analyst juga dapat memperhatikan informasi seperti:

format executable;
arsitektur;
section;
timestamp yang tersedia;
import dan export;
informasi sertifikat digital;
indikasi adanya packer.

Metadata tidak boleh dianggap sebagai bukti absolut karena informasi tersebut dapat dimodifikasi atau dipalsukan.

Namun, metadata dapat menjadi bagian dari evidence chain yang membantu analyst memahami asal dan karakteristik sebuah file.

Langkah 6: Gunakan Threat Intelligence untuk Memperkaya Analisis

Setelah mendapatkan hash dan indikator lain, tahap berikutnya adalah melakukan threat intelligence lookup.

Tujuannya bukan sekadar mencari label "malware" atau "clean". Analyst perlu memahami konteks di balik hasil tersebut.

Pertanyaan yang dapat diajukan antara lain:

Apakah hash ini pernah ditemukan sebelumnya?
Apakah file tersebut dikaitkan dengan keluarga malware tertentu?
Apakah ada domain atau IP yang berhubungan?
Apakah file tersebut memiliki hubungan dengan kampanye serangan tertentu?
Apakah indikator tersebut masih aktif atau sudah tidak relevan?
Apakah beberapa sumber independen memberikan hasil yang konsisten?

Di sinilah kemampuan analitis seorang SOC Analyst sangat diperlukan.

Misalnya, sebuah scanner memberikan satu deteksi positif sementara puluhan engine lain tidak memberikan deteksi. Situasi tersebut belum tentu berarti file aman atau malware.

Analyst perlu mempertimbangkan konteks tambahan sebelum membuat keputusan.

Jangan menyamakan jumlah deteksi dengan tingkat kepastian secara otomatis.

Mengapa VirusTotal Tidak Boleh Dijadikan "Hakim Terakhir"?

Layanan agregasi threat intelligence seperti VirusTotal sangat berguna dalam proses investigasi karena dapat membantu analyst melihat berbagai hasil deteksi dari sumber yang berbeda.

Namun, hasil tersebut tetap harus diinterpretasikan.

Beberapa kemungkinan yang dapat terjadi:

file baru sehingga belum banyak engine mengenalinya;
file legitimate tetapi memiliki karakteristik yang dianggap mencurigakan;
terjadi false positive;
file merupakan varian malware yang sudah dimodifikasi;
hasil scanner berbeda karena masing-masing engine menggunakan pendekatan berbeda.

Karena itu, threat intelligence sebaiknya digunakan sebagai salah satu sumber bukti, bukan satu-satunya sumber keputusan.

Langkah 7: Dynamic Analysis dan Konsep Sandbox

Jika static analysis belum memberikan jawaban yang cukup, analyst dapat beralih ke dynamic analysis.

Dynamic analysis berarti mengamati apa yang dilakukan sebuah file ketika dijalankan di lingkungan yang dikendalikan.

Inilah alasan sandbox menjadi komponen penting dalam malware analysis.

Sandbox memungkinkan analyst mengamati perilaku file tanpa langsung mempertaruhkan workstation utama.

Beberapa aktivitas yang dapat diamati antara lain:

proses yang dibuat;
child process;
perubahan file;
aktivitas registry;
koneksi jaringan;
DNS request;
aktivitas terhadap layanan sistem;
perubahan konfigurasi;
dan indikator persistence.

Tujuan dynamic analysis bukan sekadar melihat apakah program "jalan". Tujuannya adalah memahami perilaku.

Apa yang Harus Dicari Saat Mengamati Behavior?

Sebagai pemula, kamu tidak perlu langsung memahami seluruh aktivitas sistem. Mulailah dengan beberapa kategori sederhana.

1. Process Creation

Perhatikan proses utama dan proses anak yang dibuat setelah file dijalankan.

Proses yang tidak sesuai dengan fungsi file dapat menjadi indikator yang patut diperiksa lebih lanjut.

2. Network Activity

Perhatikan apakah file mencoba melakukan koneksi ke domain atau alamat IP tertentu.

Jika sebuah dokumen sederhana tiba-tiba menghasilkan aktivitas jaringan yang tidak masuk akal, temuan tersebut layak ditelusuri.

3. File Modification

Amati apakah file membuat, mengubah, atau menghapus file lain.

Perubahan pada direktori sensitif atau pembuatan file dengan nama yang tidak biasa dapat menjadi indikator penting.

4. Persistence

Perhatikan apakah program mencoba membuat mekanisme agar dapat berjalan kembali setelah sistem restart atau pengguna melakukan login kembali.

5. Registry Activity

Pada Windows, perubahan registry tertentu dapat memberikan petunjuk mengenai perilaku program.

Namun, registry activity sendiri tidak otomatis berarti malicious karena banyak aplikasi legitimate juga menggunakan registry.

Belajar Membaca Network Behavior

Salah satu kemampuan penting dalam SOC adalah memahami hubungan antara endpoint dan jaringan.

Misalnya, sebuah file dijalankan dan kemudian terlihat rangkaian aktivitas:

Process Start
        ↓
DNS Request
        ↓
Outbound Connection
        ↓
HTTP/HTTPS Request
        ↓
Additional File Activity

Rangkaian tersebut belum otomatis berarti malware. Namun, pola seperti ini memberikan analyst sebuah investigation path.

Analyst kemudian dapat bertanya:

Domain apa yang diakses?
Apakah domain tersebut sesuai dengan fungsi aplikasi?
Kapan domain tersebut dibuat?
Apakah domain pernah dikaitkan dengan aktivitas berbahaya?
Apakah endpoint lain melakukan koneksi yang sama?
Apakah koneksi tersebut terjadi sebelum atau setelah file dibuka?

Perhatikan bahwa fokusnya bukan hanya pada satu indikator, tetapi pada hubungan antarindikator.

Konsep Attack Chain: Jangan Melihat Indikator Secara Terpisah

Salah satu peningkatan kemampuan terbesar bagi seorang SOC Analyst adalah belajar melihat sebuah insiden sebagai rangkaian kejadian.

Misalnya:

Email Masuk
   ↓
Attachment Dibuka
   ↓
Process Baru Dibuat
   ↓
Script Interpreter Dipanggil
   ↓
DNS Request
   ↓
Outbound Connection
   ↓
File Tambahan Diunduh
   ↓
Persistence Attempt

Jika analyst hanya melihat satu aktivitas, setiap bagian mungkin terlihat biasa.

Namun jika seluruh kejadian dikorelasikan, muncul gambaran yang jauh lebih mencurigakan.

Inilah perbedaan antara sekadar membaca alert dan melakukan investigasi keamanan.

False Positive vs True Positive

Pemula sering menganggap tugas SOC Analyst adalah menemukan sebanyak mungkin ancaman. Dalam kenyataannya, terlalu banyak alert yang salah juga merupakan masalah.

False positive terjadi ketika aktivitas legitimate dianggap sebagai ancaman.

True positive terjadi ketika alert memang menunjukkan aktivitas malicious atau pelanggaran keamanan yang sebenarnya.

Bayangkan sebuah SOC menerima 10.000 alert dalam satu hari.

Jika sebagian besar merupakan false positive, analyst akan mengalami alert fatigue. Akibatnya, alert penting berisiko terlewat karena analyst harus memproses terlalu banyak noise.

Karena itu, kualitas triage sangat penting.

SOC Analyst yang baik bukan orang yang selalu berkata:

"Semua mencurigakan, blok semuanya."

Sebaliknya, mereka bertanya:

"Apa bukti yang mendukung verdict ini?"

Cara Membuat Verdict: Benign, Suspicious, atau Malicious?

Setelah melakukan analisis, analyst biasanya perlu menentukan klasifikasi.

Benign

File atau aktivitas memiliki penjelasan legitimate yang didukung bukti.

Suspicious

Terdapat indikator yang tidak biasa, tetapi bukti belum cukup untuk menyatakan file sebagai malicious.

Malicious

Terdapat kombinasi bukti yang kuat bahwa file atau aktivitas berbahaya dan memerlukan tindakan respons.

Yang penting adalah alasan di balik verdict.

Jangan membuat laporan hanya dengan tulisan:

Verdict: Malicious

Laporan yang lebih berguna menjelaskan:

Verdict: Malicious

Reason:
- File memiliki indikator malicious yang konsisten
- Terdapat aktivitas proses yang tidak sesuai konteks
- Terdapat koneksi jaringan ke indikator yang berisiko
- Aktivitas file menunjukkan perilaku yang tidak sesuai fungsi normal
- Temuan berkorelasi dengan aktivitas endpoint lainnya

Dengan format seperti ini, analyst lain dapat memahami bagaimana keputusan dibuat.

Bagaimana Menentukan Severity Sebuah File?

Tidak semua malware memiliki dampak yang sama. Karena itu, SOC Analyst juga perlu mempertimbangkan tingkat risiko.

Beberapa faktor yang dapat digunakan:

apakah file benar-benar dieksekusi;
jumlah endpoint yang terdampak;
hak akses pengguna;
jenis sistem yang terkena;
apakah terdapat indikasi credential theft;
apakah terdapat komunikasi keluar;
apakah terdapat persistence;
apakah data sensitif berpotensi terekspos;
dan apakah aktivitas masih berlangsung.

Sebuah file berbahaya yang hanya ditemukan di lingkungan lab tentu memiliki konteks berbeda dengan file berbahaya yang aktif pada endpoint administrator perusahaan.

Inilah mengapa context matters dalam SOC.

Apa yang Dilakukan Setelah File Terbukti Berbahaya?

Analisis tidak berhenti ketika verdict sudah ditentukan.

Jika file terbukti malicious, SOC Analyst perlu mengikuti prosedur incident response organisasi.

Tindakan dapat mencakup:

mengisolasi endpoint sesuai prosedur;
mengkarantina atau memblokir file;
memblokir IOC yang relevan;
mencari IOC pada endpoint lain;
melakukan korelasi dengan log keamanan;
melakukan eskalasi ke Incident Response apabila diperlukan;
mengumpulkan bukti tambahan;
dan mendokumentasikan seluruh tindakan.

Perlu diperhatikan bahwa tindakan respons harus mengikuti prosedur organisasi. Analyst tidak boleh mengambil tindakan destruktif secara sembarangan karena dapat menghilangkan bukti penting untuk investigasi.

Threat Hunting Setelah Menemukan File Malicious

Salah satu pertanyaan terpenting setelah menemukan malware adalah:

"Apakah ini hanya terjadi pada satu endpoint?"

Jawabannya dapat dicari melalui threat hunting.

Misalnya, analyst memiliki SHA-256 file yang dianggap malicious.

Hash tersebut kemudian dapat digunakan sebagai indikator untuk mencari keberadaan file yang sama pada endpoint lain.

Namun, pencarian tidak harus berhenti pada hash.

Jika tersedia, analyst juga dapat mencari:

domain terkait;
alamat IP;
nama file;
path;
nama proses;
indikator persistence;
pola koneksi;
dan karakteristik perilaku lainnya.

Semakin banyak indikator yang berhasil dikorelasikan, semakin baik kemampuan SOC untuk menentukan apakah insiden bersifat lokal atau memiliki cakupan lebih luas.

Tools yang Perlu Dipelajari Pemula SOC Analyst

Kamu tidak perlu menguasai puluhan tools sekaligus. Fokuslah pada kategori dan fungsi.

1. Hashing Tools

Digunakan untuk menghasilkan fingerprint file seperti SHA-256.

2. File Identification Tools

Digunakan untuk membantu menentukan format sebenarnya dari sebuah file.

3. Strings & Metadata Tools

Digunakan untuk mendapatkan informasi statis dari file.

4. Threat Intelligence Platforms

Digunakan untuk melakukan korelasi hash, domain, IP, URL, dan indikator lainnya dengan data ancaman yang tersedia.

5. Sandbox

Digunakan untuk mengamati perilaku file dalam lingkungan yang terisolasi.

6. SIEM

Security Information and Event Management membantu analyst mengumpulkan dan menghubungkan log dari berbagai sumber.

7. EDR

Endpoint Detection and Response membantu melihat aktivitas endpoint seperti proses, koneksi, dan event keamanan.

8. Network Analysis Tools

Digunakan untuk memahami aktivitas jaringan dan membantu investigasi komunikasi mencurigakan.

Tips untuk pemula: jangan menghafalkan nama tools. Pahami dulu pertanyaan yang ingin dijawab.

Misalnya:

"Apa jenis file ini?" → file identification
"Apakah file ini pernah diketahui?" → threat intelligence
"Apa yang dilakukan file ini?" → sandbox / dynamic analysis
"Apakah komputer lain terkena?" → SIEM / EDR / threat hunting
"Kapan aktivitas dimulai?" → timeline dan log analysis

Kesalahan Pemula Saat Menganalisis File Mencurigakan

Ada beberapa kesalahan yang sering dilakukan ketika seseorang baru belajar SOC.

Kesalahan 1: Langsung Menjalankan File

Ini merupakan kesalahan paling berbahaya. Selalu mulai dengan analisis yang tidak memerlukan eksekusi.

Kesalahan 2: Terlalu Percaya Satu Scanner

Satu hasil deteksi tidak selalu memberikan gambaran lengkap. Gunakan beberapa sumber bukti dan perhatikan konteks.

Kesalahan 3: Tidak Mencatat Temuan

Analisis keamanan membutuhkan dokumentasi. Catat hash, waktu, sumber file, indikator, hasil pemeriksaan, dan alasan verdict.

Kesalahan 4: Mengabaikan Konteks

File yang sama dapat memiliki tingkat risiko berbeda tergantung di mana file tersebut ditemukan dan siapa yang menjalankannya.

Kesalahan 5: Menganggap Semua Alert Harus Menjadi Insiden

SOC Analyst harus mampu membedakan antara event biasa, suspicious activity, dan confirmed incident.

Kesalahan 6: Menguji Malware di Komputer Utama

Eksperimen malware sebaiknya dilakukan dalam lingkungan lab yang dirancang khusus, terisolasi, dan tidak memiliki akses ke data penting.

Membangun Lab Malware Analysis yang Aman untuk Belajar

Jika tujuanmu adalah belajar, jangan menggunakan komputer kerja atau perangkat utama untuk eksperimen file berbahaya.

Bangun lingkungan belajar yang terisolasi.

Konsep dasarnya dapat berupa:

HOST MACHINE
     |
     +---- Virtual Machine
              |
              +---- Analysis Tools
              |
              +---- Monitoring Tools
              |
              +---- Test Samples

Lingkungan tersebut harus dirancang dengan prinsip keamanan yang jelas.

Gunakan sistem operasi khusus untuk lab.
Jangan menyimpan data pribadi di dalam VM analisis.
Hindari menghubungkan lab ke jaringan produksi.
Gunakan snapshot untuk memudahkan pemulihan.
Batasi akses jaringan sesuai kebutuhan pembelajaran.
Gunakan sampel yang memang disediakan untuk tujuan edukasi.
Jangan menguji sampel secara sembarangan pada perangkat orang lain.

Tujuan lab bukan menciptakan lingkungan yang "bebas aturan", tetapi menciptakan lingkungan yang memungkinkan kamu belajar tanpa membahayakan sistem lain.

Belajar dari Malware Tanpa Harus Menggunakan Malware Nyata

Pemula sering berpikir bahwa satu-satunya cara belajar malware analysis adalah mengunduh malware sungguhan.

Pendekatan tersebut tidak diperlukan.

Kamu dapat memulai dengan:

sampel edukasi yang memang dibuat untuk pembelajaran;
dataset keamanan yang disediakan untuk riset;
CTF cybersecurity;
laboratorium malware analysis;
simulasi incident response;
dan file benign yang memiliki karakteristik tertentu untuk latihan analisis.

Dengan cara ini, kamu dapat mempelajari konsep seperti hash analysis, metadata, strings, IOC, process tree, network behavior, dan incident triage tanpa harus mengejar sampel berbahaya dari sumber yang tidak terpercaya.

Roadmap Belajar File Analysis untuk SOC Analyst Pemula

Jika kamu benar-benar baru di bidang cybersecurity, jangan mencoba mempelajari semuanya dalam satu minggu.

Gunakan roadmap bertahap.

Level 1 — Fundamental

Pahami sistem operasi Windows dan Linux.
Pahami file dan filesystem.
Pahami proses dan service.
Pahami dasar networking.
Pahami konsep hash.

Level 2 — SOC Fundamental

Pelajari log analysis.
Pelajari IOC.
Pelajari alert triage.
Pelajari SIEM.
Pelajari EDR.
Pelajari incident response.

Level 3 — File Analysis

Static analysis.
Metadata analysis.
String analysis.
Hash correlation.
Threat intelligence.
Sandbox analysis.

Level 4 — Malware Analysis

PE file fundamentals.
Process analysis.
Network behavior analysis.
Persistence mechanisms.
Basic reverse engineering.
Memory analysis.

Level 5 — Professional SOC Investigation

Threat hunting.
Detection engineering.
Attack chain analysis.
Incident investigation.
Digital forensics fundamentals.
Incident reporting.

Dengan roadmap seperti ini, kamu tidak hanya belajar "cara scan file", tetapi membangun kemampuan investigasi yang benar-benar relevan untuk pekerjaan SOC.

Contoh Skenario Investigasi SOC Analyst

Bayangkan sebuah perusahaan menerima email dengan attachment bernama:

Invoice_Company_2026.pdf

Seorang karyawan menganggap file tersebut aman karena terlihat seperti PDF.

Sistem keamanan kemudian menghasilkan alert.

Apa yang dilakukan SOC Analyst?

Tahap 1 — Triage

Analyst memeriksa siapa penerima email, dari mana email berasal, kapan diterima, dan apakah attachment benar-benar dibuka.

Tahap 2 — Preservation

File dan informasi terkait diamankan untuk kebutuhan investigasi.

Tahap 3 — Static Analysis

Analyst memeriksa hash, format sebenarnya, metadata, dan karakteristik file.

Tahap 4 — Threat Intelligence

Hash dan indikator yang tersedia dibandingkan dengan sumber intelijen.

Tahap 5 — Dynamic Analysis

Jika diperlukan, file dianalisis di sandbox untuk melihat perilakunya.

Tahap 6 — Correlation

Analyst mencari apakah terdapat endpoint lain yang menerima atau mengeksekusi file yang sama.

Tahap 7 — Verdict

Berdasarkan bukti yang terkumpul, file dikategorikan sesuai tingkat keyakinan.

Tahap 8 — Response

Jika malicious, organisasi menjalankan prosedur mitigasi dan incident response yang berlaku.

Perhatikan bahwa tidak ada satu langkah ajaib.

Keahlian SOC Analyst berasal dari kemampuan menghubungkan banyak potongan bukti menjadi satu cerita insiden yang masuk akal.

Bagaimana Menulis Laporan Analisis File?

Laporan SOC harus dapat dibaca oleh orang teknis maupun nonteknis.

Struktur sederhana yang bisa digunakan:

1. Executive Summary
2. Alert Information
3. File Information
4. Hash
5. Static Analysis
6. Dynamic Analysis
7. Threat Intelligence
8. Network Indicators
9. Related Endpoints
10. Risk Assessment
11. Verdict
12. Recommended Actions

Contoh struktur informasi file:

File Name      : suspicious_document
File Type      : [hasil identifikasi]
SHA-256        : [hash]
Source         : [email/web/download]
First Seen     : [timestamp]
Affected Host  : [hostname]
User           : [user]
Verdict        : [Benign/Suspicious/Malicious]

Untuk lingkungan produksi, data sensitif seperti username, hostname, alamat internal, atau informasi pelanggan harus ditangani sesuai kebijakan keamanan organisasi.

Kesimpulan: Menjadi SOC Analyst Bukan Sekadar Bisa Scan File

Analisis file mencurigakan adalah salah satu kemampuan fundamental yang sangat berguna bagi seorang SOC Analyst.

Namun, kemampuan tersebut tidak berhenti pada mengunggah file ke scanner lalu membaca label malicious atau clean.

SOC Analyst harus mampu membangun sebuah proses investigasi:

Identifikasi → Amankan → Analisis → Korelasi → Validasi → Tentukan Verdict → Respons → Dokumentasikan.

Mulailah dari hal sederhana seperti memahami hash, file type, metadata, strings, IOC, dan konsep sandbox. Setelah itu, lanjutkan ke proses analysis yang lebih kompleks seperti process analysis, network behavior, threat hunting, dan incident response.

Yang paling penting, jangan terburu-buru mengejar tools.

Tools dapat berubah. Prinsip investigasi tetap.

Hari ini kamu mungkin menggunakan satu platform threat intelligence. Besok organisasi tempatmu bekerja mungkin menggunakan platform berbeda. Namun kemampuan untuk bertanya "apa yang terjadi, kapan terjadi, mengapa mencurigakan, dan bukti apa yang mendukung kesimpulan tersebut?" akan selalu relevan.

Itulah pola pikir yang membedakan pengguna tools biasa dengan seorang SOC Analyst.

Dan jika kamu masih pemula, jangan merasa harus langsung memahami semuanya.

Mulailah dengan satu file benign, satu lab terisolasi, satu konsep pada satu waktu, lalu biasakan dirimu membuat catatan investigasi. Dari proses kecil tersebut, kemampuan cybersecurity-mu akan berkembang secara bertahap.

Ingat: tujuan utama seorang defender bukan sekadar menemukan malware. Tujuannya adalah memahami ancaman, mengurangi risiko, melindungi aset, dan membantu organisasi merespons insiden dengan cepat serta terukur.

Langkah 4: Jangan Langsung Membuka File Mencurigakan

Kesalahan paling umum yang dilakukan pemula ketika menemukan file mencurigakan adalah langsung membukanya untuk melihat apa yang terjadi.

Ini justru merupakan hal yang harus dihindari.

Jika file tersebut benar-benar mengandung malware, menjalankannya pada komputer utama dapat menyebabkan berbagai dampak, mulai dari pencurian informasi, perubahan konfigurasi sistem, koneksi ke server eksternal, hingga infeksi yang menyebar ke perangkat atau jaringan lain.

Dalam workflow seorang SOC Analyst, prinsip dasarnya sederhana:

Jangan percaya file hanya karena namanya terlihat normal.

Sebelum file dieksekusi, analis harus melakukan triage terlebih dahulu. Triage adalah proses pemeriksaan awal untuk menentukan apakah sebuah artefak layak dicurigai dan seberapa besar prioritas investigasinya.

Contohnya, sebuah file bernama:

Invoice_Payment_August.pdf

belum tentu benar-benar merupakan file PDF.

Nama file dapat dimanipulasi. File tersebut mungkin saja memiliki ekstensi ganda, format berbeda, atau bahkan executable yang diberi nama menyerupai dokumen.

Karena itu, jangan hanya melihat nama file melalui Windows Explorer. Periksa juga:

Ekstensi sebenarnya
Ukuran file
Hash file
File type atau magic bytes
Metadata
Waktu pembuatan dan modifikasi
Asal file
Konteks bagaimana file diterima

Langkah sederhana ini sudah dapat memberikan banyak informasi tanpa harus menjalankan file.

Langkah 5: Identifikasi Jenis File dengan Benar

Salah satu kemampuan dasar yang wajib dimiliki SOC Analyst adalah mengetahui jenis file sebenarnya.

Jangan berasumsi bahwa:

namafile.pdf

pasti merupakan PDF.

Begitu juga:

dokumen.docx

belum tentu aman hanya karena menggunakan ekstensi dokumen Microsoft Office.

Sistem operasi biasanya menggunakan ekstensi untuk menentukan bagaimana sebuah file ditampilkan dan dibuka. Namun, ekstensi tersebut dapat diubah dengan mudah.

Karena itu, analis keamanan perlu melihat struktur internal file.

Apa Itu Magic Bytes?

Magic bytes adalah byte tertentu pada bagian awal file yang dapat digunakan untuk mengidentifikasi format sebenarnya dari sebuah file.

Sebagai contoh, file PDF biasanya memiliki signature yang diawali dengan:

%PDF-

Sementara beberapa format file executable Windows menggunakan signature:

MZ

Artinya, jika sebuah file bernama:

Invoice.pdf

tetapi signature internalnya menunjukkan bahwa file tersebut merupakan executable, analis sudah memiliki indikator penting bahwa file tersebut perlu diperiksa lebih lanjut.

Pada Linux, salah satu cara sederhana untuk memeriksa tipe file adalah menggunakan:

file suspicious_file

Perintah tersebut dapat membantu mengidentifikasi format file berdasarkan struktur datanya, bukan sekadar berdasarkan nama atau ekstensi.

Untuk pembelajaran, kamu juga dapat menggunakan utilitas seperti file, strings, dan xxd dalam lingkungan lab yang terisolasi.

⚠️ Catatan keamanan: Jangan melakukan eksperimen terhadap file malware secara langsung pada komputer pribadi yang digunakan untuk aktivitas sehari-hari. Gunakan lingkungan analisis yang terisolasi dan sample yang memang disediakan untuk tujuan edukasi.

Langkah 6: Hitung Hash File

Setelah mengetahui tipe file, langkah berikutnya adalah membuat fingerprint digital dari file tersebut.

Fingerprint ini biasanya berupa hash.

Hash memungkinkan SOC Analyst mengidentifikasi file secara konsisten tanpa harus bergantung pada nama file.

Nama file dapat berubah:

invoice.exe
invoice-final.exe
invoice_new.exe
dokumen.exe

Namun, jika konten file tidak berubah, nilai hash biasanya tetap sama.

Jenis Hash yang Sering Ditemui

MD5 — masih sering ditemukan pada database threat intelligence lama, tetapi tidak ideal sebagai satu-satunya indikator identitas karena kelemahan collision.
SHA-1 — lebih kuat dibanding MD5 dalam konteks tertentu, tetapi juga sudah tidak direkomendasikan sebagai pilihan utama untuk kebutuhan keamanan modern.
SHA-256 — umum digunakan untuk identifikasi file dan pertukaran indikator ancaman.

Di Linux, SHA-256 dapat dihitung menggunakan:

sha256sum suspicious_file

Di Windows PowerShell, kamu dapat menggunakan:

Get-FileHash .\suspicious_file -Algorithm SHA256

Hasilnya akan terlihat kurang lebih seperti:

Algorithm       Hash
---------       ----
SHA256          8A7B...<nilai hash>...

Hash tersebut kemudian dapat digunakan untuk melakukan pencarian pada sumber threat intelligence yang sesuai.

Kenapa Hash Sangat Penting?

Bayangkan sebuah organisasi menerima file yang sama di lima komputer berbeda.

Daripada menganalisis file tersebut dari nol di setiap endpoint, SOC Analyst dapat membandingkan hash.

Jika hash identik, besar kemungkinan file yang diterima memiliki konten yang sama.

Dari sini analis dapat melakukan korelasi:

Apakah hash tersebut pernah dilaporkan sebelumnya?
Apakah file tersebut berhubungan dengan malware tertentu?
Apakah ada endpoint lain yang memiliki file dengan hash sama?
Kapan file pertama kali muncul?
Dari mana file tersebut berasal?

Inilah alasan hash menjadi salah satu IOC atau Indicator of Compromise yang sangat berguna dalam investigasi.

Langkah 7: Gunakan Threat Intelligence untuk Memperkaya Analisis

Setelah mendapatkan hash, jangan langsung mengambil kesimpulan bahwa file tersebut aman atau berbahaya.

Gunakan hash sebagai titik awal untuk mencari konteks tambahan.

Salah satu platform yang sering digunakan dalam workflow analisis malware adalah VirusTotal. Platform tersebut dapat membantu analis melihat apakah sebuah file atau hash pernah diamati oleh berbagai mesin deteksi keamanan.

Namun ada satu konsep penting yang harus dipahami pemula:

Hasil deteksi antivirus bukanlah verdict absolut.

Misalnya sebuah file mendapatkan hasil:

2 / 70 detections

Jangan langsung menyimpulkan bahwa file tersebut pasti aman.

Sebaliknya, jangan pula menganggap:

70 / 70 detections

sebagai satu-satunya bukti yang dibutuhkan untuk memahami keseluruhan insiden.

SOC Analyst harus melihat konteks yang lebih luas.

Informasi Apa yang Perlu Diperhatikan?

Nama deteksi dari beberapa engine
Jenis file
File size
Metadata
Domain terkait
IP address terkait
URL yang berhubungan
Behavior yang pernah diamati
Relasi dengan sample lain
Waktu pertama kali file terlihat

Informasi tersebut membantu mengubah sebuah file dari sekadar objek yang mencurigakan menjadi bagian dari sebuah incident narrative.

Langkah 8: Belajar Membaca Strings pada File

Setelah hash dan threat intelligence, langkah berikutnya adalah melakukan pemeriksaan terhadap string yang terdapat di dalam file.

Strings analysis sangat populer dalam malware analysis karena relatif sederhana tetapi dapat memberikan petunjuk berharga.

Beberapa file dapat menyimpan string seperti:

Domain
IP address
URL
Path file
Nama fungsi
Pesan error
Nama registry key
Nama library

Di Linux, kamu dapat menggunakan:

strings suspicious_file

Untuk file besar, output dapat diarahkan ke file lain:

strings suspicious_file > strings.txt

Kemudian hasilnya dapat dianalisis secara offline.

Contoh Temuan yang Menarik

Misalnya kamu menemukan string:

https://example.invalid/update
192.0.2.10
cmd.exe
powershell.exe
AppData
RunOnce

Satu string saja belum membuktikan bahwa file tersebut malicious.

Namun kombinasi beberapa indikator tersebut dapat menjadi alasan untuk melakukan investigasi lebih lanjut.

Inilah pola berpikir yang penting bagi SOC Analyst:

Jangan melihat satu indikator secara terisolasi. Cari hubungan antarindikator.

Langkah 9: Periksa Metadata File

Metadata sering dianggap tidak penting oleh pemula. Padahal, dalam beberapa investigasi, metadata dapat memberikan konteks yang sangat berguna.

Metadata dapat mencakup informasi seperti:

Author
Software yang digunakan untuk membuat file
Creation date
Modification date
Company name
Product name
Version
File description

Untuk file tertentu, tools seperti ExifTool dapat membantu menampilkan metadata.

exiftool suspicious_file

Bayangkan kamu mendapatkan executable yang mengaku sebagai installer dari perusahaan terkenal.

Namun setelah diperiksa, metadata justru menunjukkan:

Company Name: Unknown
Product Name: -
Original Filename: random.exe

Temuan seperti ini tidak otomatis berarti malware, tetapi dapat menjadi red flag yang layak dikorelasikan dengan indikator lain.

Langkah 10: Analisis PE File untuk Malware Windows

Jika file yang dianalisis merupakan executable Windows, pemahaman mengenai format PE atau Portable Executable menjadi sangat berguna.

Format PE digunakan oleh berbagai jenis executable dan library Windows, termasuk:

EXE
DLL
SYS
Beberapa komponen executable lainnya

Seorang SOC Analyst tidak selalu harus menjadi reverse engineer tingkat lanjut. Namun, memahami struktur dasar PE dapat membantu membaca indikator yang muncul dari tools analisis.

Beberapa hal yang dapat diperhatikan antara lain:

PE header
Sections
Imported libraries
Exported functions
Entry point
Compile information
Entropy

Apa Itu Import?

Executable Windows dapat menggunakan fungsi dari library sistem seperti:

kernel32.dll
advapi32.dll
user32.dll
wininet.dll

Import tertentu dapat memberikan petunjuk mengenai kemampuan program.

Misalnya, penggunaan fungsi yang berkaitan dengan jaringan, proses, file system, atau registry dapat menjadi bagian dari analisis perilaku.

Tetapi sekali lagi, jangan melakukan kesalahan interpretasi.

Adanya API tertentu tidak otomatis berarti file tersebut malware.

Aplikasi legitimate juga menggunakan API Windows yang sama.

Yang dicari analis adalah kombinasi indikator dan konteks.

Langkah 11: Memahami Konsep Entropy

Entropy adalah konsep statistik yang dapat membantu analis memahami tingkat kerandoman data.

Dalam malware analysis, entropy sering digunakan sebagai salah satu indikator untuk mengidentifikasi data yang mungkin dikompresi atau dienkripsi.

Jika sebuah section executable memiliki entropy yang relatif tinggi, hal tersebut dapat mengindikasikan bahwa data di dalamnya telah dikompresi, dipaketkan, atau dienkripsi.

Namun, sekali lagi:

High entropy bukan berarti malware.

Program legitimate juga dapat menggunakan compression atau encryption.

Karena itu, entropy sebaiknya digunakan sebagai satu indikator tambahan, bukan sebagai verdict tunggal.

Langkah 12: Dynamic Analysis dengan Sandbox

Setelah static analysis memberikan informasi awal, analis dapat melanjutkan ke dynamic analysis menggunakan lingkungan sandbox yang terisolasi.

Tujuannya adalah melihat apa yang dilakukan file ketika dieksekusi.

Berbeda dengan static analysis:

Static analysis = melihat file tanpa menjalankannya.

Dynamic analysis = mengamati perilaku file ketika berjalan.

Beberapa aktivitas yang dapat diamati antara lain:

Process creation
File creation
File modification
Registry modification
Network connection
DNS request
HTTP/HTTPS communication
Persistence behavior
Child process

Misalnya sebuah file dijalankan di sandbox dan kemudian:

Membuat process baru
Membuat file di direktori pengguna
Membuat koneksi ke domain eksternal
Mengubah konfigurasi tertentu
Mencoba mempertahankan eksekusi setelah reboot

Rangkaian aktivitas tersebut jauh lebih informatif dibanding hanya melihat nama file.

Jangan Menggunakan Komputer Utama untuk Dynamic Malware Analysis

Ini adalah salah satu aturan paling penting bagi pemula.

Jika kamu baru belajar malware analysis, jangan menjadikan laptop pribadi sebagai laboratorium eksperimen.

Lingkungan analisis idealnya memiliki isolasi yang memadai, misalnya menggunakan:

Virtual machine
Sandbox khusus malware analysis
Network isolation
Snapshot dan restore
Monitoring tools
Sample yang memang diperuntukkan bagi pembelajaran

Tujuannya bukan hanya melindungi komputer analis, tetapi juga mencegah sample berbahaya berinteraksi dengan sistem lain.

🚨 Peringatan: Jangan mengunduh atau menjalankan malware aktif dari sumber sembarangan hanya untuk mengikuti tutorial. Untuk latihan pemula, gunakan dataset dan sandbox edukasi yang memang dirancang untuk analisis keamanan.

Langkah 13: Apa yang Harus Diamati Saat File Berjalan?

Pemula sering bertanya:

"Kalau malware sudah dijalankan di sandbox, saya harus melihat apa?"

Jawabannya bukan sekadar "apakah muncul error atau tidak".

Kamu perlu mengamati perubahan yang terjadi pada sistem.

1. Process Activity

Perhatikan process apa yang dibuat oleh file.

Contohnya, sebuah aplikasi membuka process anak yang tidak biasa atau menjalankan interpreter sistem tanpa alasan yang jelas.

Hal tersebut perlu dikorelasikan dengan konteks aplikasi.

2. File Activity

Perhatikan apakah executable membuat atau memodifikasi file lain.

Lokasi file juga penting.

File yang dibuat di direktori sementara belum tentu malicious, tetapi kombinasi dengan indikator lain dapat meningkatkan tingkat kecurigaan.

3. Registry Activity

Pada Windows, perubahan registry dapat memberikan informasi mengenai konfigurasi dan persistence.

Namun, jangan langsung menganggap setiap registry modification sebagai malicious.

Banyak aplikasi legitimate juga menggunakan registry untuk menyimpan konfigurasi.

4. Network Activity

Ini merupakan salah satu bagian yang sangat penting.

Perhatikan:

Domain yang diakses
IP address tujuan
DNS request
Port yang digunakan
Protocol
Frekuensi koneksi

Jika sebuah file yang seharusnya hanya berupa dokumen melakukan koneksi jaringan yang tidak diharapkan, hal tersebut patut diperiksa lebih lanjut.

Langkah 14: Bedakan IOC, TTP, dan Behavior

Salah satu kesalahan pemula dalam SOC adalah mencampur semua temuan menjadi satu kategori.

Padahal ada perbedaan antara Indicator of Compromise, perilaku, dan teknik yang digunakan attacker.

IOC — Indicator of Compromise

IOC adalah indikator yang dapat membantu mengidentifikasi kemungkinan aktivitas kompromi.

Contohnya:

File hash
Domain tertentu
IP address
URL
Nama file tertentu
Path tertentu

Behavior

Behavior menjelaskan apa yang dilakukan program.

Contohnya:

Membuat process baru
Mengubah file
Mengakses registry
Melakukan koneksi jaringan

TTP — Tactics, Techniques, and Procedures

TTP memberikan perspektif yang lebih luas mengenai bagaimana aktivitas tersebut dilakukan.

Framework seperti MITRE ATT&CK dapat digunakan untuk membantu memetakan aktivitas yang diamati ke teknik yang relevan.

Dengan pendekatan ini, SOC Analyst tidak hanya bertanya:

"File apa ini?"

Tetapi juga:

"Apa yang dilakukan file ini, bagaimana caranya, dan apa dampaknya terhadap lingkungan organisasi?"

Langkah 15: Buat Timeline Investigasi

Setelah mengumpulkan berbagai indikator, langkah berikutnya adalah menyusun timeline.

Timeline sangat membantu ketika satu file ternyata berhubungan dengan beberapa endpoint atau user.

Contoh sederhana:

Waktu	Aktivitas	Host	Catatan
09:12	File diterima	HOST-01	Email attachment
09:15	File dibuka	HOST-01	User menjalankan file
09:16	Process baru dibuat	HOST-01	Perlu investigasi
09:17	Network connection	HOST-01	Tujuan eksternal

Dari timeline tersebut, analis dapat melihat urutan kejadian secara lebih jelas.

Timeline juga sangat berguna ketika melakukan incident response karena membantu menjawab pertanyaan:

Kapan insiden dimulai?
Endpoint mana yang pertama kali terpengaruh?
Aktivitas apa yang terjadi setelah file dijalankan?
Apakah ada endpoint lain yang mengalami kejadian serupa?
Apakah terdapat indikasi persistence?

Langkah 16: Tentukan Verdict File

Setelah seluruh data terkumpul, SOC Analyst harus memberikan verdict.

Verdict sebaiknya tidak dibuat hanya berdasarkan satu tool.

Secara sederhana, kamu dapat menggunakan kategori:

Benign — tidak ditemukan indikasi berbahaya berdasarkan informasi yang tersedia.
Suspicious — terdapat indikator yang tidak biasa dan membutuhkan investigasi lebih lanjut.
Malicious — terdapat bukti kuat bahwa file melakukan aktivitas berbahaya.
Unknown — bukti yang tersedia belum cukup untuk menentukan klasifikasi.

Kategori Unknown sangat penting untuk dipahami.

SOC Analyst tidak harus selalu memaksakan jawaban "aman" atau "malware".

Jika bukti belum cukup, mengatakan "belum dapat ditentukan" jauh lebih profesional daripada memberikan verdict yang salah.

Contoh Skenario Investigasi File Mencurigakan

Sekarang mari kita gabungkan seluruh proses di atas dalam sebuah skenario sederhana.

Seorang karyawan menerima email dengan attachment:

Invoice_2026.pdf

Karyawan kemudian melaporkan file tersebut kepada SOC karena terlihat tidak biasa.

Tahap 1 — Triage

Analis tidak membuka file pada workstation pengguna.

File dikumpulkan sebagai artefak investigasi dan diberi identitas internal.

Tahap 2 — Hash

SOC Analyst menghitung SHA-256 dan melakukan pencarian terhadap sumber threat intelligence yang tersedia.

Tahap 3 — File Identification

Analisis menunjukkan bahwa file tidak memiliki struktur PDF yang sesuai dengan ekstensi yang digunakan.

Ini menjadi red flag pertama.

Tahap 4 — Static Analysis

Analis memeriksa metadata, strings, struktur file, dan indikator lain tanpa mengeksekusi file.

Tahap 5 — Sandbox

Karena masih terdapat kecurigaan, file dianalisis dalam lingkungan terisolasi.

Sandbox menunjukkan adanya aktivitas process dan network yang tidak sesuai dengan ekspektasi sebuah dokumen PDF.

Tahap 6 — Correlation

IOC yang ditemukan kemudian dibandingkan dengan telemetry keamanan organisasi.

SOC menemukan bahwa hash yang sama pernah muncul pada endpoint lain.

Tahap 7 — Containment

Endpoint yang terindikasi terdampak kemudian ditangani sesuai prosedur incident response organisasi.

Tahap 8 — Documentation

Seluruh temuan dicatat, termasuk:

Hash
Nama file
Waktu kejadian
User terkait
Endpoint terdampak
IOC
Behavior
Evidence
Tindakan yang telah dilakukan

Inilah gambaran sederhana bagaimana sebuah file yang awalnya hanya terlihat seperti "attachment biasa" dapat berubah menjadi sebuah investigasi keamanan yang lengkap.

Kesalahan Pemula Saat Belajar Malware Analysis

Jika kamu baru mulai menjadi SOC Analyst, ada beberapa kesalahan yang sebaiknya dihindari.

1. Terlalu Percaya pada Antivirus

Antivirus adalah sumber informasi penting, tetapi bukan satu-satunya sumber kebenaran.

Deteksi yang tidak muncul bukan berarti file pasti aman.

2. Langsung Menjalankan Malware

Ini adalah kesalahan paling berbahaya.

Jangan menjalankan sample yang tidak dikenal pada sistem utama.

3. Menganggap Satu IOC Sebagai Bukti Mutlak

Satu domain atau satu string mencurigakan belum tentu membuktikan sebuah file malicious.

Selalu lakukan korelasi.

4. Tidak Mencatat Evidence

Investigasi tanpa dokumentasi akan menyulitkan proses eskalasi dan review.

Biasakan mencatat apa yang ditemukan, kapan ditemukan, dan bagaimana kesimpulan dibuat.

5. Tidak Memahami Konteks

File executable pada komputer developer mungkin normal.

File executable dengan nama yang menyerupai invoice yang diterima melalui email phishing tentu memiliki konteks yang berbeda.

Cybersecurity bukan hanya tentang menemukan sesuatu yang aneh. Cybersecurity adalah memahami mengapa sesuatu itu aneh.

Checklist Analisis File Mencurigakan untuk Pemula

Gunakan checklist berikut sebagai panduan awal ketika menangani file mencurigakan:

☐ Jangan membuka file pada endpoint utama
☐ Simpan evidence secara aman
☐ Catat nama dan lokasi file
☐ Hitung SHA-256
☐ Identifikasi tipe file sebenarnya
☐ Periksa metadata
☐ Lakukan strings analysis bila relevan
☐ Periksa informasi threat intelligence
☐ Lakukan static analysis
☐ Gunakan sandbox terisolasi jika diperlukan
☐ Amati process activity
☐ Amati file activity
☐ Amati registry activity
☐ Amati network activity
☐ Korelasikan IOC dengan telemetry organisasi
☐ Tentukan verdict berdasarkan evidence
☐ Dokumentasikan seluruh proses
☐ Eskalasi jika memenuhi kriteria incident response

Tools yang Sebaiknya Dipelajari SOC Analyst Pemula

Kamu tidak perlu menguasai puluhan tools sekaligus. Lebih baik memahami beberapa tools dasar dan mengetahui kapan masing-masing digunakan.

Kategori	Contoh Tools	Tujuan
Hashing	sha256sum, PowerShell	Menghasilkan fingerprint file
File identification	file, format analysis tools	Mengidentifikasi tipe file
Metadata	ExifTool	Menganalisis metadata
Strings	strings	Mencari string yang relevan
Threat intelligence	VirusTotal dan sumber TI lainnya	Korelasi indikator
PE analysis	PEStudio dan tools sejenis	Analisis executable Windows
Dynamic analysis	Sandbox	Mengamati behavior
Network analysis	Wireshark	Menganalisis network traffic
Threat framework	MITRE ATT&CK	Memetakan behavior ke teknik

Jangan mengejar jumlah tools.

Yang lebih penting adalah memahami pertanyaan yang ingin kamu jawab.

Contohnya:

"Apa sebenarnya file ini?"

Gunakan file identification dan static analysis.

"Apakah file ini pernah diketahui sebagai ancaman?"

Gunakan threat intelligence.

"Apa yang dilakukan file ketika dijalankan?"

Gunakan sandbox dan dynamic analysis.

"Apakah endpoint lain terkena dampak yang sama?"

Gunakan SIEM, EDR, atau sumber telemetry organisasi.

Penutup: Dari Membuka File Menjadi Membaca Evidence

Analisis file mencurigakan bukan sekadar mencari tahu apakah sebuah file "virus" atau bukan.

Seorang SOC Analyst harus mampu mengubah sebuah file menjadi kumpulan evidence yang dapat dianalisis.

Mulai dari hash, metadata, struktur file, strings, network activity, process activity, hingga hubungan dengan endpoint lain.

Semakin banyak evidence yang berhasil dikumpulkan, semakin kuat pula dasar pengambilan keputusan.

Dan yang paling penting, jangan terburu-buru.

Dalam cybersecurity, keputusan yang cepat memang penting, tetapi keputusan yang cepat tanpa evidence dapat menghasilkan false positive, false negative, bahkan memperburuk insiden.

Mulailah dengan workflow sederhana:

Identify → Hash → Enrich → Analyze → Correlate → Verdict → Respond → Document.

Jika kamu menguasai alur tersebut, kamu sudah memiliki fondasi yang jauh lebih kuat untuk melanjutkan ke tahap berikutnya dalam perjalanan menjadi SOC Analyst.

Pada tahap selanjutnya, kamu dapat memperdalam kemampuan dengan mempelajari SIEM, EDR, incident response, threat hunting, malware analysis, dan MITRE ATT&CK.

Karena pada akhirnya, SOC Analyst yang baik bukan orang yang paling banyak menggunakan tools.

SOC Analyst yang baik adalah orang yang mampu memahami evidence, menghubungkan titik-titik informasi, dan mengambil keputusan berdasarkan data.

FAQ: Analisis File Mencurigakan untuk SOC Analyst

Apakah pemula bisa belajar malware analysis?

Bisa. Kamu tidak harus langsung mempelajari reverse engineering tingkat lanjut. Mulailah dari konsep dasar seperti hash, file type, metadata, strings, IOC, static analysis, dan dynamic analysis menggunakan sandbox yang aman.

Apakah setiap file EXE berbahaya?

Tidak. EXE adalah format executable Windows dan digunakan oleh banyak software legitimate. Status berbahaya harus ditentukan berdasarkan evidence dan konteks, bukan hanya ekstensi file.

Apakah hasil VirusTotal selalu benar?

Tidak. Threat intelligence adalah sumber informasi yang sangat berguna, tetapi hasilnya tetap perlu diinterpretasikan bersama metadata, behavior, konteks, dan evidence lainnya.

Apakah static analysis lebih aman daripada dynamic analysis?

Secara umum, static analysis tidak menjalankan file sehingga risikonya berbeda dari dynamic analysis. Dynamic analysis harus dilakukan dalam lingkungan yang dirancang untuk isolasi dan analisis malware.

Apakah SOC Analyst harus bisa reverse engineering?

Tidak selalu. Kemampuan reverse engineering sangat berguna untuk peran tertentu, tetapi SOC Analyst pemula dapat membangun fondasi dari triage, log analysis, threat intelligence, IOC analysis, SIEM, EDR, dan incident response terlebih dahulu.

Apa skill paling penting untuk mulai belajar SOC?

Mulailah dari kemampuan memahami sistem operasi, jaringan dasar, log, proses, file system, autentikasi, HTTP, DNS, serta konsep keamanan seperti IOC, TTP, phishing, malware, dan incident response.

Static Analysis: Langkah Pertama Menganalisis File Tanpa Menjalankannya

Setelah menerima file mencurigakan, salah satu prinsip paling penting yang harus dipahami pemula adalah: jangan langsung menjalankan file tersebut di komputer utama.

Langkah awal yang lebih aman adalah melakukan static analysis. Sesuai namanya, static analysis dilakukan dengan memeriksa karakteristik file tanpa mengeksekusi program tersebut.

Tujuannya bukan langsung menentukan apakah file tersebut merupakan malware atau bukan. Tujuan awalnya adalah mengumpulkan sebanyak mungkin indikator yang dapat membantu proses investigasi.

Dalam workflow seorang SOC Analyst, static analysis biasanya digunakan untuk menjawab beberapa pertanyaan dasar:

File sebenarnya berjenis apa?
Apakah ekstensi file sesuai dengan format sebenarnya?
Berapa ukuran file tersebut?
Kapan file dibuat atau dimodifikasi?
Apa nilai hash dari file?
Apakah terdapat string mencurigakan?
Apakah file mengandung URL, alamat IP, domain, atau perintah tertentu?
Apakah file menggunakan teknik packing atau obfuscation?
Apakah file memiliki struktur yang tidak lazim?

Informasi tersebut kemudian dapat digabungkan dengan hasil threat intelligence, sandbox, EDR, SIEM, dan sumber lainnya untuk mendapatkan kesimpulan yang lebih akurat.

Kenapa Static Analysis Penting untuk SOC Analyst?

Bayangkan sebuah organisasi menerima email yang berisi file bernama Invoice_2026.pdf. Secara sekilas, nama tersebut terlihat normal.

Namun setelah diperiksa, ternyata file tersebut bukan PDF. Header file menunjukkan bahwa isinya adalah executable Windows.

Temuan sederhana seperti ini sudah cukup untuk meningkatkan tingkat kecurigaan terhadap file tersebut.

Inilah salah satu alasan mengapa SOC Analyst tidak boleh hanya mengandalkan nama file atau ikon yang tampil di Windows.

Nama file dapat diubah dengan mudah. Ikon dapat dibuat menyerupai dokumen. Bahkan ekstensi dapat disamarkan.

Karena itu, analyst perlu melihat karakteristik sebenarnya dari file.

Langkah 1: Jangan Eksekusi File

Sebelum melakukan analisis apa pun, buat keputusan pertama:

File mencurigakan diperlakukan sebagai tidak tepercaya sampai terbukti sebaliknya.

Jangan melakukan tindakan seperti:

Double-click file.
Membuka dokumen dengan aplikasi utama yang terhubung ke sistem perusahaan.
Mengaktifkan macro pada dokumen Office.
Membuka shortcut yang tidak dikenal.
Menjalankan script yang berasal dari sumber tidak terpercaya.
Memindahkan file ke komputer produksi hanya untuk melihat isinya.

Jika file memang perlu dieksekusi untuk kebutuhan investigasi, gunakan lingkungan analisis yang terisolasi dan memang disiapkan untuk tujuan tersebut.

Untuk pemula, prinsip sederhananya adalah:

Analisis dulu, eksekusi belakangan.

Langkah 2: Identifikasi Jenis File Sebenarnya

Salah satu kesalahan umum pemula adalah mempercayai ekstensi file.

Misalnya sebuah file bernama:

Invoice.pdf

Nama tersebut belum membuktikan bahwa file tersebut benar-benar PDF.

File dapat diberi nama apa saja. Oleh karena itu, analyst perlu memeriksa file signature atau magic bytes.

Magic bytes adalah sekumpulan byte pada bagian awal file yang membantu mengidentifikasi format sebenarnya.

Dengan pendekatan ini, analyst dapat menemukan kasus seperti:

File berekstensi PDF tetapi sebenarnya executable.
File berekstensi JPG tetapi sebenarnya arsip.
File berekstensi DOCX tetapi memiliki struktur yang tidak sesuai.
File ZIP yang menyembunyikan script atau executable.

Ini merupakan teknik sederhana tetapi sangat berguna dalam proses triage.

Langkah 3: Periksa Ukuran File

Ukuran file bukan bukti bahwa sebuah file berbahaya. Namun ukuran dapat menjadi indikator tambahan.

Misalnya sebuah dokumen invoice sederhana berukuran beberapa kilobyte, tetapi file yang diterima memiliki ukuran ratusan megabyte tanpa alasan yang jelas.

Kondisi tersebut tidak otomatis berarti malware, tetapi layak diselidiki.

Ukuran file juga dapat membantu menemukan beberapa teknik seperti:

File yang mengandung data tambahan.
Arsip yang sangat terkompresi.
Executable yang menggunakan packer.
Dokumen yang mengandung objek tertanam.
File yang sengaja dibuat besar untuk menghindari proses scanning tertentu.

Ingat bahwa ukuran hanya merupakan indicator, bukan verdict.

Langkah 4: Menghitung Hash File

Salah satu konsep paling penting dalam malware analysis adalah file hashing.

Hash dapat dianggap sebagai sebuah fingerprint digital yang dihasilkan berdasarkan isi file.

Beberapa algoritma hash yang sering ditemui dalam keamanan siber adalah:

MD5
SHA-1
SHA-256

Untuk kebutuhan identifikasi modern, SHA-256 biasanya lebih disukai dibandingkan MD5 atau SHA-1.

Contohnya, sebuah file dapat memiliki nilai:

SHA-256:
[contoh-hash-file]

Hash tersebut kemudian dapat digunakan untuk mencari apakah file yang sama pernah diketahui oleh sistem threat intelligence.

Namun ada satu konsep penting yang harus dipahami pemula:

Hash bukan alat untuk membuktikan bahwa file aman.

Jika sebuah hash tidak ditemukan dalam database threat intelligence, bukan berarti file tersebut pasti bersih.

Bisa saja file tersebut merupakan malware baru yang belum pernah dianalisis sebelumnya.

MD5, SHA-1, atau SHA-256?

Ketiganya dapat digunakan untuk identifikasi, tetapi tingkat keamanannya berbeda.

MD5 sudah memiliki kelemahan kriptografis yang diketahui dan tidak sebaiknya digunakan untuk kebutuhan integritas keamanan modern.

SHA-1 juga telah mengalami kelemahan terhadap collision sehingga penggunaannya untuk kebutuhan keamanan baru tidak direkomendasikan.

SHA-256 merupakan pilihan yang jauh lebih sesuai untuk identifikasi file dan kebutuhan integritas modern.

Dalam konteks SOC, analyst mungkin masih menemukan MD5 atau SHA-1 karena banyak database lama menggunakannya. Itu tidak berarti hash tersebut harus diabaikan.

Justru analyst perlu memahami bahwa satu file dapat memiliki beberapa representasi hash.

Langkah 5: Gunakan Hash untuk Threat Intelligence

Setelah mendapatkan hash, analyst dapat melakukan pencarian pada sumber threat intelligence yang sesuai dengan kebijakan organisasi.

Salah satu contoh platform yang banyak digunakan dalam investigasi file adalah VirusTotal.

Tujuannya bukan sekadar melihat berapa banyak antivirus yang mendeteksi file tersebut.

Analyst perlu membaca konteks hasilnya.

Misalnya sebuah file mendapatkan beberapa deteksi dari vendor keamanan.

Jangan langsung menyimpulkan:

"Ada deteksi berarti pasti malware."

Begitu juga sebaliknya:

"Tidak ada deteksi berarti pasti aman."

Keduanya merupakan kesimpulan yang terlalu sederhana.

Hasil scanner harus dikombinasikan dengan indikator lain.

Langkah 6: Periksa Metadata File

Metadata dapat memberikan konteks tambahan tentang sebuah file.

Tergantung formatnya, metadata dapat mencakup informasi seperti:

Nama aplikasi pembuat file.
Versi software.
Nama perusahaan.
Tanggal pembuatan.
Tanggal modifikasi.
Informasi author.
Versi dokumen.
Informasi compiler untuk executable tertentu.

Metadata tidak boleh dipercaya secara mutlak karena dapat dimodifikasi.

Namun metadata yang tidak konsisten dapat menjadi petunjuk investigasi.

Contohnya, sebuah file bernama Microsoft_Update.exe mengklaim berasal dari perusahaan tertentu, tetapi metadata internalnya menunjukkan informasi yang tidak berhubungan.

Temuan seperti ini belum membuktikan malware, tetapi meningkatkan nilai investigasi.

Langkah 7: Periksa Strings

Strings analysis merupakan salah satu teknik yang relatif mudah dipelajari pemula.

Tujuannya adalah mencari teks yang dapat dibaca manusia di dalam sebuah file.

Pada executable atau script tertentu, analyst mungkin menemukan:

URL.
Domain.
Alamat IP.
Nama file.
Path sistem.
Nama registry key.
Pesan error.
Nama library.
Perintah tertentu.
Parameter konfigurasi.

Contohnya, jika sebuah executable mengandung string yang mengarah ke domain yang tidak dikenal, informasi tersebut dapat menjadi indicator of compromise potensial.

Namun sekali lagi, string saja tidak cukup untuk menentukan bahwa sebuah file malicious.

Sebuah aplikasi legitimate juga dapat mengandung URL, alamat IP, path sistem, dan berbagai string teknis lainnya.

Kenapa Strings Analysis Bisa Menipu?

Malware modern sering menggunakan obfuscation atau packing untuk menyembunyikan informasi penting.

Akibatnya, analyst mungkin tidak menemukan URL atau konfigurasi C2 secara langsung.

Misalnya sebuah malware menyimpan string dalam bentuk terenkripsi dan baru mendekripsinya ketika program berjalan.

Dalam kondisi seperti ini, static analysis sederhana mungkin tidak cukup.

Analyst dapat membutuhkan teknik lanjutan seperti:

Unpacking.
Disassembly.
Debugging.
Memory analysis.
Dynamic analysis.

Inilah alasan mengapa workflow malware analysis biasanya terdiri dari beberapa lapisan.

Memahami PE File pada Windows

Jika kamu ingin menjadi SOC Analyst yang lebih kuat dalam melakukan investigasi file Windows, kamu perlu mengenal format Portable Executable (PE).

PE merupakan format yang digunakan oleh berbagai executable dan library Windows, termasuk file seperti:

.exe
.dll
.sys

Memahami struktur PE membantu analyst melihat lebih jauh daripada sekadar nama file.

Bagian Penting dalam PE Analysis

Dalam analisis PE, beberapa komponen yang sering diperhatikan antara lain:

PE header.
Sections.
Imports.
Exports.
Resources.
Entry point.
Timestamp.
Digital signature.

Jangan merasa harus memahami semuanya sekaligus.

Untuk pemula, cukup mulai dengan memahami fungsi masing-masing komponen.

Imports: Apa yang Ingin Dilakukan Program?

Executable Windows sering menggunakan fungsi dari library sistem.

Daftar fungsi yang diimpor dapat memberikan gambaran awal tentang kemampuan sebuah program.

Misalnya sebuah program menggunakan API yang berkaitan dengan:

Network communication.
Process creation.
File manipulation.
Registry access.
Memory allocation.
Service management.

Keberadaan API tersebut tidak otomatis berarti malicious.

Aplikasi legitimate juga membutuhkan kemampuan tersebut.

Namun kombinasi beberapa indikator dapat memberikan konteks yang jauh lebih kuat.

Digital Signature

Digital signature merupakan salah satu informasi yang dapat membantu memverifikasi identitas penerbit software dan integritas file tertentu.

Jika sebuah installer mengklaim berasal dari perusahaan terkenal tetapi tidak memiliki signature yang diharapkan, analyst dapat melakukan pemeriksaan tambahan.

Namun perlu diingat:

Tidak adanya digital signature bukan otomatis berarti malware.

Banyak software legitimate yang memang tidak ditandatangani secara digital.

Sebaliknya, signature yang valid juga bukan jaminan mutlak bahwa file tersebut aman dalam semua konteks.

Signature harus dipandang sebagai satu bagian dari keseluruhan bukti.

Analisis Berdasarkan Jenis File

Tidak semua file dianalisis dengan metode yang sama.

SOC Analyst perlu menyesuaikan teknik investigasi dengan format file yang diterima.

1. File PDF

PDF sering dianggap aman karena tidak terlihat seperti executable.

Padahal PDF dapat memiliki fitur kompleks seperti:

JavaScript.
Embedded objects.
External references.
Forms.
Attachments.

Karena itu, PDF mencurigakan perlu dianalisis dengan hati-hati.

Beberapa hal yang dapat diperiksa:

Metadata.
Jumlah halaman.
Embedded files.
JavaScript.
URL eksternal.
Struktur objek PDF.
Indikator exploit.

2. File Microsoft Office

Dokumen Office juga merupakan salah satu format yang sering digunakan dalam serangan phishing.

Perhatian khusus perlu diberikan terhadap dokumen yang mengandung:

Macro.
Embedded object.
External template.
Link eksternal.
Script atau automation.

Untuk pemula, prinsip terpenting adalah jangan mengaktifkan konten aktif hanya untuk melihat apa yang terjadi.

Jika dokumen berasal dari sumber yang tidak dipercaya, lakukan investigasi dalam lingkungan yang sesuai.

3. File ZIP dan Arsip

Arsip seperti ZIP dapat menjadi wadah untuk menyembunyikan file berbahaya.

Karena itu, jangan berhenti pada analisis file ZIP-nya saja.

Analyst perlu mengetahui:

File apa saja yang terdapat di dalam arsip.
Ekstensi setiap file.
Ukuran masing-masing file.
Apakah terdapat executable.
Apakah terdapat script.
Apakah struktur arsip terlihat tidak biasa.

Jika arsip dilindungi password, konteks asal file menjadi semakin penting.

4. Script

Script seperti PowerShell, JavaScript, VBScript, Python, atau shell script juga dapat digunakan untuk aktivitas legitimate maupun malicious.

Dalam analisis script, analyst biasanya memperhatikan:

Command yang digunakan.
URL tujuan.
File yang dibuat.
Process yang dipanggil.
Teknik encoding.
Obfuscation.
Persistence mechanism.

Script yang sangat ter-obfuscate membutuhkan investigasi lebih lanjut karena kode asli sengaja dibuat sulit dibaca.

Threat Intelligence: Mengubah Temuan Menjadi Konteks

Static analysis menghasilkan banyak informasi. Tetapi informasi tersebut menjadi jauh lebih berguna ketika dikombinasikan dengan threat intelligence.

Threat intelligence membantu menjawab pertanyaan seperti:

Apakah hash ini pernah dikaitkan dengan malware?
Apakah domain tersebut dikenal berbahaya?
Apakah IP address pernah digunakan dalam kampanye tertentu?
Apakah file tersebut memiliki hubungan dengan keluarga malware tertentu?
Apakah indikator tersebut muncul pada laporan keamanan sebelumnya?

Konsep pentingnya adalah correlation.

Jangan melihat satu indikator secara terisolasi.

Misalnya:

File memiliki hash yang belum dikenal.

Secara individual, informasi tersebut belum cukup.

Namun kemudian ditemukan bahwa file:

Datang dari email phishing.
Memiliki executable yang menyamar sebagai dokumen.
Mengandung domain mencurigakan.
Mencoba membuat proses baru.
Menghubungi endpoint eksternal ketika dianalisis di sandbox.

Gabungan indikator tersebut memiliki nilai investigasi yang jauh lebih tinggi.

False Positive: Jangan Langsung Menuduh File sebagai Malware

Salah satu skill terpenting SOC Analyst adalah kemampuan membedakan true positive dan false positive.

False positive terjadi ketika sebuah aktivitas atau file dianggap berbahaya padahal sebenarnya legitimate.

Contohnya, sebuah tool administrasi internal mungkin memiliki perilaku yang terlihat mencurigakan karena:

Mengakses registry.
Membuat process.
Membuka koneksi jaringan.
Mengubah konfigurasi sistem.

Jika analyst hanya melihat satu indikator, tool tersebut bisa salah dikategorikan sebagai malware.

Karena itu, konteks sangat penting.

Beberapa pertanyaan yang dapat membantu:

Siapa yang mengirim file?
Apakah file memang dibutuhkan untuk pekerjaan?
Apakah software tersebut resmi digunakan organisasi?
Apakah hash cocok dengan versi resmi?
Apakah digital signature valid?
Apakah perilakunya sesuai dengan fungsi software?
Apakah terdapat indikator kompromi lain?

Tujuan SOC Analyst bukan memblokir sebanyak mungkin file.

Tujuannya adalah membuat keputusan keamanan yang akurat, terukur, dan dapat dipertanggungjawabkan.

Contoh Studi Kasus: Email dengan File Invoice Mencurigakan

Sekarang kita gabungkan semua konsep di atas dalam sebuah skenario sederhana.

Seorang karyawan menerima email yang mengaku berasal dari vendor.

Email tersebut memiliki lampiran:

Invoice_August_2026.pdf

Karyawan merasa ragu dan melaporkannya kepada SOC.

Tahap 1: Triage Awal

SOC Analyst mencatat:

Pengirim.
Subjek email.
Waktu penerimaan.
Nama file.
Ukuran file.
Hash.
Siapa saja penerima email.

Informasi ini penting untuk menentukan cakupan investigasi.

Tahap 2: Static Analysis

File tidak dijalankan.

Analyst memeriksa format sebenarnya dan menemukan bahwa file memiliki karakteristik yang tidak sesuai dengan PDF normal.

Selanjutnya analyst menghitung SHA-256 dan melakukan pencarian threat intelligence.

Tahap 3: Pemeriksaan Konten

Analyst menemukan beberapa objek dan referensi eksternal yang perlu diperiksa lebih lanjut.

Temuan tersebut belum cukup untuk memberikan verdict final, tetapi meningkatkan tingkat kecurigaan.

Tahap 4: Dynamic Analysis

Karena organisasi memiliki lingkungan sandbox yang aman, file dianalisis dalam lingkungan terisolasi.

Analyst mengamati:

Process yang dibuat.
File yang dibuat atau dimodifikasi.
Koneksi jaringan.
Domain tujuan.
Perubahan konfigurasi.

Tahap 5: Correlation

Hasil sandbox kemudian dibandingkan dengan data email gateway, endpoint telemetry, DNS, proxy, dan sumber threat intelligence lainnya.

Ternyata beberapa endpoint lain menerima email yang sama.

Di sinilah investigasi berkembang dari sekadar file analysis menjadi incident investigation.

Tahap 6: Response

Jika file telah dinyatakan malicious, SOC dapat melakukan tindakan sesuai prosedur organisasi, misalnya:

Menghapus email berbahaya dari mailbox yang terdampak.
Memblokir indikator yang relevan.
Mengisolasi endpoint jika terdapat indikasi eksekusi.
Mencari endpoint lain yang menerima atau membuka file.
Melakukan eskalasi kepada Incident Response jika diperlukan.
Mendokumentasikan seluruh temuan.

Perhatikan bahwa file analysis hanyalah satu bagian dari keseluruhan incident response.

Checklist Analisis File Mencurigakan untuk Pemula

Jika kamu baru mulai belajar menjadi SOC Analyst, gunakan checklist berikut sebagai kerangka berpikir:

Jangan menjalankan file di komputer utama.
Catat nama file dan sumbernya.
Catat ukuran file.
Identifikasi format file sebenarnya.
Hitung SHA-256.
Periksa hash melalui sumber threat intelligence yang sesuai.
Periksa metadata.
Periksa strings jika relevan.
Periksa struktur file.
Identifikasi indikasi obfuscation atau packing.
Lakukan dynamic analysis hanya pada lingkungan yang terisolasi dan sesuai prosedur.
Catat network behavior.
Catat process behavior.
Catat perubahan file dan konfigurasi.
Korelasikan IOC dengan telemetry organisasi.
Tentukan verdict berdasarkan keseluruhan bukti.
Dokumentasikan alasan di balik verdict.
Lakukan response sesuai SOP organisasi.

Kesalahan Pemula yang Sering Terjadi Saat Analisis Malware

1. Menganggap File Tidak Terdeteksi Berarti Aman

Ini merupakan salah satu kesalahan paling berbahaya.

Malware baru dapat memiliki tingkat deteksi rendah karena belum dikenal oleh banyak engine.

Karena itu, hasil scanner hanyalah salah satu sumber informasi.

2. Menjalankan File di Laptop Pribadi

Jangan melakukan eksperimen malware pada sistem pribadi yang berisi dokumen, akun, password, atau data penting.

Jika kamu ingin belajar dynamic analysis, gunakan lab yang memang dirancang untuk analisis keamanan dan ikuti praktik isolasi yang benar.

3. Terlalu Fokus pada Satu Indikator

Satu IP address bukan bukti malware.

Satu string mencurigakan bukan bukti malware.

Satu antivirus detection juga bukan keseluruhan cerita.

Skill seorang analyst justru terletak pada kemampuan menghubungkan berbagai indikator menjadi sebuah kesimpulan yang masuk akal.

4. Tidak Mencatat Hasil Investigasi

Investigasi keamanan harus dapat ditelusuri kembali.

Catat:

Apa yang ditemukan.
Kapan ditemukan.
Tool apa yang digunakan.
Evidence apa yang mendukung temuan.
Kenapa sebuah verdict diberikan.

Dokumentasi yang baik akan sangat membantu ketika kasus harus dieskalasikan kepada senior analyst atau tim incident response.

5. Mengabaikan Konteks Bisnis

File yang terlihat mencurigakan belum tentu berbahaya jika memang merupakan software resmi yang digunakan organisasi.

Sebaliknya, file yang terlihat normal dapat menjadi ancaman jika konteks pengirimannya mencurigakan.

Karena itu, SOC Analyst harus mampu menggabungkan kemampuan teknis dengan pemahaman konteks.

Skill yang Perlu Dipelajari untuk Menjadi SOC Analyst

Analisis file mencurigakan hanyalah salah satu kemampuan dalam pekerjaan SOC.

Jika kamu ingin berkembang menjadi SOC Analyst, ada beberapa bidang yang sebaiknya dipelajari secara bertahap.

Networking dasar.
TCP/IP.
DNS.
HTTP dan HTTPS.
Windows fundamentals.
Linux fundamentals.
Log analysis.
SIEM.
EDR.
Threat intelligence.
Incident response.
Malware analysis dasar.
Digital forensics dasar.
MITRE ATT&CK.
Security monitoring.

Jangan mencoba menguasai semuanya dalam satu minggu.

Mulailah dari fondasi.

Jika kamu memahami bagaimana komputer, jaringan, proses, file, dan sistem operasi bekerja, kamu akan jauh lebih mudah memahami mengapa suatu aktivitas dianggap mencurigakan.

Roadmap Belajar Analisis File untuk Pemula

Berikut roadmap sederhana yang dapat digunakan sebagai panduan belajar.

Level 1: Computer Fundamentals

Pelajari bagaimana file, process, memory, filesystem, user account, dan permission bekerja.

Level 2: Networking

Pelajari IP address, port, DNS, HTTP, HTTPS, TCP, UDP, proxy, dan konsep network traffic.

Level 3: Windows Security

Pelajari process, service, registry, event log, PowerShell, authentication, dan permission.

Level 4: Static Analysis

Mulai mempelajari hash, metadata, strings, file signature, PE structure, imports, dan indikator malware.

Level 5: Dynamic Analysis

Pelajari cara membaca process behavior, filesystem changes, registry changes, network communication, dan aktivitas lainnya melalui lingkungan lab yang aman.

Level 6: Threat Intelligence

Belajar memahami IOC, TTP, malware family, reputation data, dan correlation.

Level 7: Incident Response

Belajar bagaimana sebuah alert berubah menjadi investigasi dan kemudian menjadi tindakan response.

Dengan roadmap tersebut, kamu tidak hanya belajar "cara melihat malware", tetapi mulai memahami bagaimana sebuah SOC bekerja secara keseluruhan.

Penutup: Menjadi SOC Analyst Bukan Sekadar Bisa Menjalankan Tools

Analisis file mencurigakan mungkin terlihat sederhana dari luar.

File masuk, analyst melakukan scanning, kemudian file diberi label malicious atau benign.

Namun kenyataannya jauh lebih kompleks.

SOC Analyst harus mampu menggabungkan berbagai sumber informasi, memahami konteks, mempertanyakan hasil otomatis, mencari evidence tambahan, dan mengambil keputusan berdasarkan risiko.

Tool hanyalah alat.

Skill sebenarnya berada pada kemampuan analyst dalam berpikir kritis terhadap evidence.

Ketika sebuah scanner mengatakan file berbahaya, tanyakan:

Mengapa?

Ketika scanner mengatakan file aman, tanyakan:

Apa evidence yang mendukung kesimpulan tersebut?

Ketika menemukan domain mencurigakan, jangan berhenti pada domain tersebut. Cari hubungannya dengan file, process, user, endpoint, waktu kejadian, dan aktivitas jaringan lainnya.

Itulah perbedaan antara sekadar menjalankan security tools dan melakukan security analysis.

Untuk pemula, jangan merasa harus langsung menjadi malware researcher.

Mulailah dari hal yang sederhana:

Pahami hash.
Pahami file signature.
Belajar membaca metadata.
Belajar menggunakan strings analysis.
Belajar membaca hasil threat intelligence.
Belajar memahami process dan network behavior.
Latih kemampuan membuat kesimpulan berdasarkan evidence.

Jika dilakukan secara konsisten, kemampuan tersebut akan menjadi fondasi yang sangat kuat untuk berkembang ke bidang malware analysis, threat hunting, digital forensics, dan incident response.

Ingat prinsip paling penting: jangan mengejar label "malware" secepat mungkin. Kejar evidence sebanyak mungkin, pahami konteksnya, lalu buat keputusan yang dapat dipertanggungjawabkan.

Itulah cara berpikir seorang SOC Analyst.

Dynamic Analysis: Melihat Apa yang Dilakukan File Saat Berjalan

Setelah memahami static analysis, tahap berikutnya adalah dynamic analysis. Jika static analysis berfokus pada apa yang terdapat di dalam file tanpa menjalankannya, dynamic analysis berfokus pada perilaku file ketika dieksekusi di lingkungan yang terkontrol.

Pada tahap ini, seorang SOC Analyst ingin menjawab pertanyaan yang tidak selalu bisa dijawab melalui static analysis:

Process apa yang dibuat oleh file?
Apakah file membuat process turunan?
Apakah file mengubah atau membuat file lain?
Apakah file mengubah registry?
Apakah file membuat persistence?
Apakah file melakukan koneksi jaringan?
Domain atau IP apa yang dihubungi?
Apakah file mencoba mengambil payload tambahan?
Apakah terdapat indikasi credential access?
Apakah perilakunya sesuai dengan fungsi aplikasi yang seharusnya?

Dynamic analysis sangat berguna karena beberapa malware sengaja menyembunyikan informasi penting di dalam file. Informasi tersebut baru muncul ketika program berjalan.

Namun ada satu aturan yang harus selalu diingat:

Jangan menjalankan sampel malware di komputer utama, perangkat pribadi, atau jaringan produksi.

Dynamic analysis harus dilakukan menggunakan lingkungan yang memang disiapkan untuk analisis keamanan dan memiliki isolasi yang memadai.

Apa Itu Malware Sandbox?

Sandbox adalah lingkungan terisolasi yang digunakan untuk menjalankan dan mengamati sebuah file tanpa memberikan akses bebas kepada file tersebut terhadap sistem produksi.

Bayangkan sandbox seperti sebuah ruang laboratorium.

File mencurigakan ditempatkan di dalam ruangan tersebut. Analyst kemudian mengamati apa yang dilakukan file tanpa membiarkannya berinteraksi secara bebas dengan komputer perusahaan.

Sandbox modern dapat mengumpulkan berbagai jenis informasi seperti:

Process creation.
Command execution.
File creation.
File modification.
Registry modification.
Network connection.
DNS request.
HTTP request.
Loaded modules.
Persistence attempt.

Hasil tersebut kemudian dapat digunakan oleh SOC Analyst untuk memahami perilaku file.

Kenapa Sandbox Tidak Selalu Bisa Menemukan Malware?

Sandbox bukan alat ajaib.

Malware modern dapat menggunakan berbagai teknik untuk mendeteksi apakah dirinya sedang dijalankan dalam lingkungan virtual atau automated analysis environment.

Beberapa malware juga memiliki mekanisme sandbox evasion.

Contohnya, malware dapat menunda aktivitas berbahaya selama beberapa menit atau hanya menjalankan payload jika kondisi tertentu terpenuhi.

Karena itu, jika sandbox tidak menunjukkan perilaku berbahaya, jangan langsung menyimpulkan bahwa file tersebut aman.

Hasil sandbox harus dikombinasikan dengan static analysis, threat intelligence, email context, endpoint telemetry, dan evidence lainnya.

Memahami Process Tree dalam Investigasi Malware

Salah satu data paling berguna dalam dynamic analysis adalah process tree.

Process tree menunjukkan hubungan antara process induk dan process yang dibuat setelahnya.

Sebagai contoh sederhana:

WINWORD.EXE
    └── powershell.exe
          └── rundll32.exe

Struktur tersebut belum otomatis membuktikan malware.

Namun hubungan process seperti ini dapat menjadi sangat menarik untuk diselidiki, terutama jika konteks awalnya adalah dokumen Office yang diterima melalui email phishing.

Analyst kemudian dapat bertanya:

Mengapa dokumen membuat PowerShell?
Command apa yang dijalankan?
Apakah PowerShell membuat process lain?
Apakah terdapat koneksi jaringan?
Apakah ada file baru yang dibuat?

Inilah contoh bagaimana SOC Analyst bergerak dari sebuah alert sederhana menuju investigasi yang lebih dalam.

Parent-Child Relationship Sangat Penting

Dalam threat hunting, hubungan parent-child process sering memberikan konteks yang sangat berharga.

Misalnya:

explorer.exe
    └── notepad.exe

Secara umum, hubungan tersebut tidak terlalu mengejutkan.

Sementara:

outlook.exe
    └── powershell.exe
          └── cmd.exe
                └── unknown.exe

Struktur tersebut layak diperiksa lebih lanjut.

Sekali lagi, mencurigakan tidak sama dengan malicious.

Analyst harus melihat command line, file path, user context, signature, network activity, dan informasi lainnya sebelum memberikan verdict.

Command Line Analysis: Sumber Informasi yang Sangat Berharga

Ketika sebuah process dibuat, SOC Analyst sebaiknya tidak hanya melihat nama process.

Perhatikan juga command line yang digunakan.

Nama executable bisa terlihat normal, tetapi parameter yang digunakan dapat memberikan informasi jauh lebih banyak.

Misalnya:

example.exe --config settings.json

mungkin merupakan perilaku normal.

Sementara command line yang sangat panjang, menggunakan encoding, membuat koneksi eksternal, atau menjalankan script dari lokasi sementara perlu diperiksa lebih lanjut.

Dalam investigasi Windows, command line dapat membantu analyst memahami:

File apa yang dijalankan.
Parameter yang diberikan.
Path yang digunakan.
Script yang dipanggil.
Tool lain yang dijalankan.

Command line juga berguna ketika melakukan pencarian threat hunting di SIEM atau EDR.

File System Behavior: Apa yang Dibuat dan Diubah?

Malware sering melakukan perubahan pada filesystem.

Karena itu, analyst perlu memperhatikan file yang dibuat atau dimodifikasi setelah eksekusi.

Contohnya:

Executable baru.
DLL baru.
Script sementara.
File konfigurasi.
File terenkripsi.
File dengan nama acak.
File yang ditempatkan di direktori tidak biasa.

Salah satu indikator yang menarik adalah ketika sebuah dokumen tiba-tiba menyebabkan munculnya executable baru di lokasi yang tidak biasa.

Namun analyst tetap harus mempertimbangkan fungsi software.

Installer legitimate memang secara normal akan membuat banyak file.

Jadi konteks tetap menjadi kunci.

Registry Activity pada Windows

Windows Registry menyimpan berbagai konfigurasi sistem dan aplikasi.

Dalam investigasi keamanan, perubahan registry dapat memberikan petunjuk mengenai aktivitas sebuah program.

Beberapa perubahan mungkin legitimate, misalnya ketika software baru diinstal.

Namun perubahan tertentu dapat menjadi relevan dalam investigasi persistence atau konfigurasi sistem.

Karena itu, analyst perlu melihat:

Key apa yang diubah.
Value apa yang dibuat.
Process mana yang melakukan perubahan.
Kapan perubahan terjadi.
Apakah perubahan tersebut sesuai dengan fungsi software.

Jangan menganggap setiap perubahan registry sebagai indikasi malware.

Windows dan aplikasi legitimate memang sangat sering menggunakan registry.

Yang penting adalah konteks dan korelasi.

Network Behavior: Salah Satu Petunjuk Terpenting

File malicious sering berkomunikasi dengan sistem lain.

Karena itu, network behavior merupakan bagian penting dari dynamic analysis.

Analyst dapat mengamati:

DNS request.
IP address tujuan.
Domain tujuan.
Port.
Protocol.
HTTP request.
HTTPS connection.
Jumlah koneksi.
Waktu koneksi.

Contohnya, sebuah executable sederhana yang seharusnya bekerja secara offline tetapi langsung membuat koneksi ke beberapa domain eksternal tentu layak diperiksa.

Namun sekali lagi, koneksi internet tidak otomatis berarti malicious.

Aplikasi legitimate juga melakukan update checking, telemetry, licensing, cloud synchronization, dan berbagai aktivitas jaringan lainnya.

DNS sebagai Sumber Evidence

DNS sering menjadi sumber data yang sangat berguna dalam investigasi.

Jika sebuah endpoint menjalankan file mencurigakan dan beberapa detik kemudian melakukan query DNS terhadap domain yang tidak dikenal, analyst dapat menghubungkan kedua kejadian tersebut.

Hal yang dapat diperiksa antara lain:

Domain age.
Reputasi domain.
Riwayat resolusi.
Hubungan domain dengan IOC lain.
Apakah domain digunakan oleh software legitimate.

Domain baru bukan otomatis malicious.

Namun kombinasi domain baru, file mencurigakan, process aneh, dan koneksi yang tidak sesuai konteks dapat meningkatkan tingkat risiko.

IOC: Mengubah Hasil Analisis Menjadi Indicator of Compromise

Setelah melakukan investigasi, analyst mungkin menemukan sejumlah Indicator of Compromise atau IOC.

IOC adalah informasi yang dapat digunakan untuk membantu mengidentifikasi aktivitas atau artefak yang berkaitan dengan kompromi.

Contoh IOC dapat berupa:

SHA-256 file.
MD5 file.
Domain mencurigakan.
IP address.
URL.
Nama file.
Path file.
Registry artifact.
Email address tertentu.

IOC kemudian dapat digunakan untuk melakukan pencarian terhadap sistem lain.

Misalnya SOC menemukan sebuah hash malicious pada satu endpoint.

Pertanyaan berikutnya adalah:

Apakah hash yang sama pernah muncul di endpoint lain?

Inilah awal dari proses scoping.

IOC Bukan Hanya untuk Detection

IOC juga dapat membantu proses retrospective investigation.

Misalnya sebuah domain baru diketahui berbahaya hari ini.

SOC dapat mencari apakah domain tersebut pernah muncul dalam log organisasi beberapa hari atau minggu sebelumnya.

Jika ditemukan, analyst dapat menentukan:

Endpoint yang berkomunikasi.
User yang terkait.
Waktu komunikasi.
Process yang membuat koneksi.
Apakah aktivitas tersebut menghasilkan alert lain.

Dengan demikian, IOC menjadi jembatan antara malware analysis dan threat hunting.

Menghubungkan File Analysis dengan EDR

Dalam lingkungan perusahaan modern, SOC Analyst sering memiliki akses ke Endpoint Detection and Response atau EDR.

EDR memberikan telemetry dari endpoint seperti:

Process creation.
Command line.
Network connection.
File activity.
Registry activity.
User activity.

Misalnya SOC menerima file mencurigakan dengan SHA-256 tertentu.

Analyst dapat mencari hash tersebut di EDR.

Jika ternyata file pernah muncul di lima endpoint lain, kasus tersebut menjadi jauh lebih serius dibandingkan jika hanya muncul pada satu mesin.

Contoh Korelasi EDR

10:02 - Email diterima
10:04 - Attachment disimpan
10:05 - File dieksekusi
10:05 - Process baru dibuat
10:05 - Outbound network connection
10:06 - File tambahan dibuat
10:07 - Alert EDR muncul

Timeline seperti ini membantu analyst memahami urutan kejadian.

Timeline juga sangat berguna ketika investigasi harus diteruskan ke tim Incident Response.

Menghubungkan File Analysis dengan SIEM

SIEM memungkinkan organisasi mengumpulkan dan melakukan korelasi terhadap berbagai log dari banyak sumber.

Dalam kasus file mencurigakan, SOC Analyst dapat menghubungkan:

Email security logs.
EDR telemetry.
DNS logs.
Firewall logs.
Proxy logs.
Authentication logs.
Cloud logs.

Misalnya sebuah email mencurigakan masuk pada pukul 09:15.

Pada pukul 09:20 terdapat endpoint yang melakukan koneksi ke domain tertentu.

Pada pukul 09:21 terjadi proses mencurigakan.

Jika semua data tersebut dapat dikorelasikan, SOC memiliki gambaran kejadian yang jauh lebih lengkap.

Inilah alasan mengapa pekerjaan SOC tidak hanya berkaitan dengan antivirus.

SOC merupakan aktivitas monitoring dan investigation yang melibatkan banyak sumber data.

Contoh Workflow SOC Analyst dari Alert Sampai Verdict

Sekarang kita buat workflow sederhana yang bisa digunakan pemula.

Step 1 — Terima Alert

Misalnya email security gateway memberikan alert:

Suspicious Attachment Detected

Jangan langsung menutup alert.

Baca konteksnya.

Step 2 — Identifikasi User dan Endpoint

Catat siapa penerima email dan endpoint yang digunakan.

Informasi ini akan membantu ketika melakukan korelasi.

Step 3 — Ambil Metadata

Catat:

Filename.
File size.
Hash.
File type.
Sender.
Subject.
Timestamp.

Step 4 — Static Analysis

Periksa struktur file tanpa menjalankannya.

Step 5 — Threat Intelligence

Cari hash, domain, IP, dan IOC lain yang ditemukan.

Step 6 — Dynamic Analysis

Jika diperlukan dan sesuai prosedur, analisis perilaku file menggunakan lingkungan sandbox yang aman.

Step 7 — Endpoint Correlation

Cari apakah file atau IOC terkait pernah muncul pada endpoint lain.

Step 8 — Tentukan Verdict

Contoh kategori:

Benign.
Suspicious.
Malicious.
Undetermined.

Step 9 — Response

Jika malicious, ikuti prosedur incident response organisasi.

Step 10 — Dokumentasi

Catat evidence, timeline, verdict, dan tindakan yang dilakukan.

Bagaimana Menentukan Severity?

Menentukan apakah file malicious saja belum cukup.

SOC Analyst juga perlu memahami seberapa besar dampaknya.

Contohnya, dua file sama-sama terdeteksi malicious.

File A ditemukan di sebuah komputer lab yang tidak memiliki data penting.

File B ditemukan pada workstation administrator yang memiliki akses tinggi.

Keduanya mungkin memiliki label malicious yang sama, tetapi risiko organisasinya berbeda.

Beberapa faktor yang dapat dipertimbangkan:

Jenis malware.
Endpoint yang terkena.
User yang terdampak.
Hak akses user.
Apakah file sudah dieksekusi.
Apakah terdapat network communication.
Apakah ada persistence.
Apakah data sensitif berpotensi terakses.
Apakah endpoint lain terdampak.

Jadi severity bukan hanya masalah teknologi.

Severity merupakan kombinasi antara technical evidence dan business impact.

Contoh Laporan Analisis File Mencurigakan

Berikut contoh struktur laporan sederhana yang dapat digunakan oleh pemula.

1. Executive Summary

Sebuah file mencurigakan diterima melalui email dan dilaporkan oleh pengguna. Analisis menunjukkan bahwa file memiliki beberapa indikator yang membutuhkan investigasi lebih lanjut.

2. File Information

Filename: Invoice_Example.pdf
File type: Unknown / perlu validasi
File size: [ukuran]
SHA-256: [hash]
Source: Email attachment

3. Static Analysis Result

Analisis awal menemukan karakteristik file yang tidak sepenuhnya sesuai dengan nama dan konteks file.

4. Dynamic Analysis Result

Analisis pada lingkungan terisolasi menunjukkan aktivitas process dan network tertentu yang memerlukan investigasi lanjutan.

5. IOC

SHA-256: [hash]
Domain: [domain jika ada]
IP: [IP jika ada]
Filename: [nama file]

6. Scope

Investigasi dilakukan untuk mengetahui apakah indikator terkait ditemukan pada endpoint lain.

7. Verdict

Verdict: [Benign / Suspicious / Malicious / Undetermined]

8. Recommended Action

Blokir IOC yang telah tervalidasi.
Hapus file dari endpoint yang terdampak sesuai prosedur.
Periksa endpoint lain yang memiliki IOC sama.
Reset credential jika terdapat evidence kompromi akun.
Eskalasi ke Incident Response apabila diperlukan.

Laporan seperti ini jauh lebih berguna dibandingkan sekadar menulis:

"File terdeteksi malware."

Seorang analyst harus mampu menjelaskan mengapa kesimpulan tersebut dibuat.

Latihan Aman untuk Pemula: Bangun Mini SOC Lab

Jika kamu ingin benar-benar belajar, teori saja tidak cukup.

Kamu perlu membangun lingkungan latihan yang terisolasi dan menggunakan sample yang memang disediakan untuk tujuan edukasi.

Jangan mengambil malware secara sembarangan dari internet hanya karena ingin mencoba.

Untuk latihan pemula, fokuskan lab pada:

File benign yang memiliki karakteristik menarik.
Sample malware edukasi dari sumber yang terpercaya dan sesuai prosedur keamanan.
Dataset log.
PCAP untuk latihan network analysis.
Event log yang sudah disiapkan untuk training.

Latihan 1: Identifikasi File

Ambil sebuah file benign dari lingkungan lab.

Lakukan:

Catat nama.
Catat ukuran.
Identifikasi tipe.
Hitung SHA-256.
Periksa metadata.
Periksa strings.

Tulis hasilnya dalam sebuah laporan sederhana.

Latihan 2: Analisis Hash

Ambil beberapa file benign yang berbeda.

Hitung hash masing-masing.

Perhatikan bahwa perubahan kecil pada isi file dapat menghasilkan hash yang berbeda.

Latihan sederhana ini membantu kamu memahami konsep fingerprint digital.

Latihan 3: Membaca Process Tree

Gunakan dataset atau lingkungan latihan untuk mengamati hubungan process.

Coba jawab:

Process mana yang menjadi parent?
Process apa yang dibuat?
Apakah hubungan tersebut normal?
Command line apa yang digunakan?

Latihan 4: Analisis Network Log

Gunakan dataset jaringan yang aman.

Cari:

DNS request.
IP tujuan.
Port.
Protocol.
Timestamp.

Kemudian buat timeline sederhana.

Kenapa Timeline Sangat Penting dalam Incident Response?

Dalam investigasi keamanan, waktu adalah konteks.

Bayangkan SOC menemukan sebuah file berbahaya pada pukul 14:30.

Pertanyaan berikutnya adalah:

Kapan file pertama kali masuk?
Kapan file disimpan?
Kapan file dibuka?
Kapan process dibuat?
Kapan koneksi jaringan terjadi?
Kapan file tambahan dibuat?

Jika semua informasi tersebut disusun berdasarkan waktu, analyst dapat membangun incident timeline.

Contohnya:

14:02  Email diterima
14:04  Attachment disimpan
14:05  User membuka attachment
14:05  Process baru dibuat
14:06  DNS request terjadi
14:06  Outbound connection dibuat
14:07  File tambahan dibuat
14:08  EDR alert muncul
14:10  SOC melakukan containment

Timeline seperti ini sangat membantu ketika menentukan dampak dan scope insiden.

File Analysis dan MITRE ATT&CK

Ketika analyst semakin berkembang, mereka akan sering menemukan framework seperti MITRE ATT&CK.

Framework tersebut membantu security professional memahami perilaku dan teknik yang digunakan adversary.

Contohnya, analyst dapat menghubungkan aktivitas tertentu dengan kategori seperti:

Execution.
Persistence.
Defense Evasion.
Credential Access.
Discovery.
Command and Control.

Untuk pemula, tidak perlu menghafalkan seluruh framework.

Yang lebih penting adalah memahami konsep bahwa sebuah file malicious biasanya tidak berdiri sendiri.

File dapat menjadi bagian dari rangkaian aktivitas yang lebih besar.

Misalnya:

Phishing
   ↓
Malicious Attachment
   ↓
Execution
   ↓
Process Creation
   ↓
Network Communication
   ↓
Payload Retrieval
   ↓
Persistence
   ↓
Further Activity

Dengan pola pikir seperti ini, analyst mulai melihat serangan sebagai attack chain, bukan sekadar satu file.

Bagaimana AI Membantu Analisis File?

AI juga mulai digunakan dalam workflow SOC modern.

AI dapat membantu analyst dalam beberapa aktivitas seperti:

Merangkum alert.
Mengelompokkan indikator.
Membantu membaca log dalam jumlah besar.
Menyarankan hubungan antara beberapa event.
Membantu membuat ringkasan incident.
Membantu menerjemahkan informasi teknis menjadi bahasa laporan.

Namun AI tidak boleh dianggap sebagai pengganti analyst.

AI dapat salah memahami konteks, menghasilkan false positive, atau memberikan kesimpulan yang terlihat meyakinkan tetapi tidak didukung evidence.

Karena itu, prinsipnya tetap sama:

AI membantu analisis, tetapi evidence menentukan verdict.

Contoh Penggunaan AI yang Tepat

Misalnya SOC memiliki ribuan baris log.

AI dapat membantu merangkum pola umum dan menunjukkan event yang menarik untuk ditinjau.

Namun analyst tetap harus membuka evidence asli dan memvalidasi temuan tersebut.

AI sebaiknya digunakan sebagai copilot, bukan sebagai hakim terakhir.

Checklist Final: Investigasi File Mencurigakan

Simpan checklist berikut sebagai referensi belajar.

Phase 1 — Triage

Identifikasi sumber file.
Identifikasi user.
Identifikasi endpoint.
Catat waktu kejadian.
Catat nama file.

Phase 2 — Static Analysis

Identifikasi file type.
Periksa magic bytes.
Hitung SHA-256.
Periksa metadata.
Periksa strings.
Periksa signature.
Periksa struktur file.

Phase 3 — Threat Intelligence

Cari hash.
Cari domain.
Cari IP.
Cari URL.
Bandingkan dengan intelligence organisasi.

Phase 4 — Dynamic Analysis

Process tree.
Command line.
File activity.
Registry activity.
Network activity.
Persistence indicator.

Phase 5 — Correlation

Cari IOC di EDR.
Cari IOC di SIEM.
Cari domain di DNS logs.
Cari IP di firewall logs.
Cari file hash pada endpoint lain.

Phase 6 — Verdict

Benign.
Suspicious.
Malicious.
Undetermined.

Phase 7 — Response

Containment.
Blocking IOC.
Scope investigation.
Eradication sesuai prosedur.
Recovery.
Monitoring lanjutan.

Phase 8 — Documentation

Evidence.
Timeline.
IOC.
Verdict.
Impact.
Recommended action.

FAQ Seputar Analisis File Mencurigakan untuk SOC Analyst

Apakah pemula bisa belajar malware analysis?

Bisa. Kamu tidak harus langsung mempelajari reverse engineering tingkat lanjut.

Mulailah dari dasar seperti file system, networking, Windows fundamentals, hashing, metadata, process, dan log analysis.

Apakah SOC Analyst harus bisa coding?

Kemampuan coding bukan selalu syarat untuk memulai karier sebagai SOC Analyst. Namun kemampuan scripting dapat sangat membantu ketika melakukan automation, parsing log, enrichment IOC, dan pekerjaan repetitif.

Bahasa seperti Python, PowerShell, atau Bash dapat dipelajari secara bertahap setelah memahami fundamental cybersecurity.

Apakah VirusTotal cukup untuk menganalisis malware?

Tidak.

Platform threat intelligence dapat membantu memberikan konteks, tetapi hasilnya harus dikombinasikan dengan static analysis, dynamic analysis, endpoint telemetry, network evidence, dan konteks insiden.

Apakah file yang memiliki satu deteksi antivirus pasti malware?

Belum tentu.

Deteksi tunggal dapat menjadi sinyal untuk investigasi lebih lanjut, tetapi analyst perlu melakukan validasi untuk menentukan apakah deteksi tersebut benar.

Apakah file tanpa deteksi antivirus aman?

Tidak juga.

Malware baru atau malware yang telah dimodifikasi dapat belum dikenali oleh engine keamanan tertentu.

Mana yang lebih penting, static atau dynamic analysis?

Keduanya saling melengkapi.

Static analysis membantu memahami karakteristik file tanpa eksekusi, sedangkan dynamic analysis membantu melihat perilaku ketika file berjalan.

Apakah SOC Analyst harus menjadi malware researcher?

Tidak.

SOC Analyst membutuhkan kemampuan malware analysis pada tingkat yang sesuai dengan tanggung jawab pekerjaannya. Untuk kasus yang sangat kompleks, investigasi dapat dieskalasikan kepada malware researcher atau tim reverse engineering.

Apa skill paling penting untuk SOC Analyst?

Selain kemampuan teknis, salah satu skill terpenting adalah analytical thinking.

Seorang analyst harus mampu bertanya, mencari evidence, menghubungkan event, menguji hipotesis, dan tidak terburu-buru mengambil kesimpulan.

Kesimpulan: Dari Membuka File Menjadi Membaca Cerita di Baliknya

Analisis file mencurigakan bukan sekadar kegiatan meng-upload file ke antivirus lalu melihat warna merah atau hijau.

Di balik sebuah file terdapat banyak informasi yang dapat membantu seorang SOC Analyst memahami sebuah insiden.

Mulai dari hash, metadata, file structure, strings, process tree, command line, registry, network connection, hingga hubungan dengan endpoint lain.

Semua evidence tersebut membentuk sebuah cerita.

Seorang analyst yang baik tidak hanya bertanya:

"Apakah file ini malware?"

Tetapi juga bertanya:

Bagaimana file ini masuk?
Siapa yang menerimanya?
Apakah file dijalankan?
Apa yang dilakukan setelah dijalankan?
Endpoint mana saja yang terdampak?
Apakah terdapat komunikasi eksternal?
Apakah ada indikasi persistence?
Apakah data organisasi berpotensi terdampak?
Bagaimana organisasi harus merespons?

Pertanyaan-pertanyaan tersebut mengubah proses sederhana menjadi investigasi keamanan yang sesungguhnya.

Jika kamu masih pemula, jangan takut melihat banyaknya istilah seperti static analysis, dynamic analysis, IOC, EDR, SIEM, threat intelligence, atau incident response.

Pelajari satu per satu.

Mulailah dari memahami bagaimana komputer bekerja. Kemudian pelajari networking. Setelah itu masuk ke Windows, Linux, log analysis, file analysis, dan threat intelligence.

Setelah fondasi tersebut kuat, kamu akan lebih mudah memahami malware dan aktivitas adversary.

Dan yang paling penting, selalu berlatih dalam lingkungan yang aman, terisolasi, legal, dan memang diperuntukkan untuk pembelajaran.

SOC Analyst bukan orang yang selalu memiliki jawaban tercepat.

SOC Analyst adalah orang yang mampu menemukan evidence yang tepat, memahami konteksnya, dan membuat keputusan berdasarkan bukti.

Itulah inti dari analisis file mencurigakan dalam cybersecurity.

Checklist Singkat untuk Disimpan

Jika kamu ingin mengingat seluruh artikel ini dalam satu workflow sederhana, gunakan urutan berikut:

ALERT
  ↓
TRIAGE
  ↓
IDENTIFY FILE
  ↓
HASH
  ↓
STATIC ANALYSIS
  ↓
THREAT INTELLIGENCE
  ↓
SANDBOX / DYNAMIC ANALYSIS
  ↓
PROCESS + FILE + REGISTRY + NETWORK
  ↓
IOC EXTRACTION
  ↓
EDR / SIEM CORRELATION
  ↓
SCOPE
  ↓
VERDICT
  ↓
RESPONSE
  ↓
DOCUMENTATION

Jadikan alur tersebut sebagai kerangka berpikir ketika menghadapi file mencurigakan.

Semakin sering kamu berlatih membaca evidence, semakin mudah kamu mengenali pola.

Pada akhirnya, tools hanyalah sarana. Kemampuan terbesar seorang SOC Analyst adalah mengetahui apa yang harus dicari, mengapa harus dicari, dan bagaimana membuktikan kesimpulannya.

4. Memahami Hasil Analisis File Mencurigakan

Setelah melakukan pemeriksaan awal, langkah berikutnya adalah memahami hasil yang muncul. Bagi pemula, bagian ini sering terasa membingungkan karena satu file bisa menghasilkan puluhan hingga ratusan indikator.

Jangan langsung menganggap setiap indikator sebagai bukti bahwa file tersebut adalah malware.

Seorang SOC Analyst harus melihat indikator secara keseluruhan dan menghubungkan satu temuan dengan temuan lainnya.

Misalnya, sebuah file memiliki:

Hash yang belum dikenal.
Beberapa string berupa domain.
Import API tertentu.
Indikasi koneksi jaringan.

Temuan tersebut memang menarik, tetapi belum otomatis berarti file tersebut malicious.

Bisa saja file tersebut merupakan aplikasi legitimate yang memang membutuhkan koneksi internet.

Karena itu, proses analisis sebaiknya dilakukan secara bertahap.

4.1 Mulai dari File Hash

Hash adalah salah satu informasi paling dasar dalam proses malware triage.

Hash dapat dianggap sebagai semacam sidik jari digital sebuah file. Perubahan sekecil apa pun pada isi file biasanya akan menghasilkan nilai hash yang berbeda.

Beberapa algoritma hash yang umum ditemukan dalam proses analisis antara lain:

MD5
SHA-1
SHA-256

Untuk kebutuhan identifikasi modern, SHA-256 biasanya lebih berguna dibandingkan hanya mengandalkan MD5.

Contohnya, ketika sebuah endpoint mendeteksi file mencurigakan, SOC Analyst dapat mencatat SHA-256 file tersebut kemudian melakukan pencarian terhadap database threat intelligence.

Jika hash yang sama sudah pernah dikategorikan sebagai malware oleh berbagai sumber terpercaya, tingkat keyakinan terhadap verdict malicious menjadi lebih tinggi.

Namun ada satu hal penting:

Hash yang tidak ditemukan bukan berarti file aman.

Malware baru, file yang dimodifikasi, atau varian yang belum masuk database dapat memiliki hash yang belum pernah diketahui sebelumnya.

4.2 Mengapa Hash Tidak Boleh Menjadi Satu-Satunya Dasar Keputusan?

Bayangkan kamu menerima sebuah file executable dari pengguna.

Ketika hash-nya dicari, hasilnya menunjukkan:

“No matches found.”

Pemula mungkin langsung menyimpulkan:

“Berarti file ini aman.”

Kesimpulan tersebut salah.

Yang sebenarnya dapat disimpulkan hanyalah:

“Belum ditemukan informasi reputasi untuk hash tersebut.”

Perbedaannya sangat penting.

Dalam SOC, sebuah file yang belum dikenal justru perlu dianalisis lebih lanjut menggunakan metadata, static analysis, threat intelligence, sandbox, dan konteks endpoint.

5. Mengenali Metadata File

Setelah hash diperiksa, tahap berikutnya adalah melihat metadata.

Metadata dapat memberikan informasi mengenai identitas dan karakteristik file tanpa perlu menjalankan file tersebut.

Informasi yang mungkin ditemukan antara lain:

Nama file.
Ukuran file.
Tipe file sebenarnya.
Waktu pembuatan atau modifikasi.
Informasi publisher.
Digital signature.
Versi aplikasi.
Informasi compiler.

Metadata tidak selalu menunjukkan bahwa sebuah file berbahaya. Akan tetapi, metadata dapat membantu SOC Analyst menemukan kejanggalan.

Contoh Anomali Metadata

Misalnya sebuah file bernama:

Invoice_2026.pdf.exe

File tersebut mungkin terlihat seperti dokumen PDF pada pandangan pertama.

Namun ekstensi sebenarnya adalah .exe.

Situasi seperti ini merupakan red flag karena teknik ekstensi ganda sering digunakan untuk menyamarkan executable sebagai dokumen.

Contoh lain:

Sebuah aplikasi mengklaim berasal dari vendor terkenal, tetapi tidak mempunyai digital signature yang valid.

Hal tersebut tidak otomatis membuktikan malware, tetapi merupakan alasan untuk melakukan pemeriksaan tambahan.

Jangan Hanya Melihat Nama File

Salah satu kesalahan umum pemula adalah terlalu percaya terhadap nama file.

Nama file dapat diubah dengan sangat mudah.

File bernama:

Foto_Keluarga.jpg

belum tentu benar-benar merupakan file gambar.

Dalam analisis keamanan, SOC Analyst perlu memeriksa file type sebenarnya, bukan hanya nama yang ditampilkan oleh sistem operasi.

6. Memahami File Signature dan Magic Bytes

Selain ekstensi, file juga mempunyai struktur internal tertentu.

Bagian awal file sering mengandung signature atau magic bytes yang membantu mengidentifikasi tipe sebenarnya.

Konsep ini sangat penting karena ekstensi dapat dimanipulasi.

Misalnya sebuah file diberi nama:

report.pdf

Tetapi struktur internalnya ternyata menunjukkan bahwa file tersebut merupakan executable.

Situasi tersebut perlu diperiksa lebih lanjut.

Tools seperti file, hex viewer, dan utilitas analisis format dapat digunakan untuk membantu mengidentifikasi tipe sebenarnya.

Untuk pemula, prinsip yang perlu diingat sederhana:

Nama file adalah label. Struktur file adalah bukti teknis.

7. Static Analysis: Menganalisis Tanpa Menjalankan File

Static analysis adalah salah satu teknik fundamental dalam analisis malware.

Konsepnya sederhana: kita memeriksa file tanpa mengeksekusinya.

Tujuannya adalah mencari indikator yang dapat membantu menentukan apakah file tersebut legitimate, suspicious, atau malicious.

Beberapa hal yang dapat diperiksa:

Hash.
Metadata.
Strings.
File structure.
Imports dan exports.
Digital signature.
Embedded objects.
Indicators of compromise.

7.1 Analisis Strings

Strings analysis merupakan salah satu teknik paling mudah dipelajari oleh pemula.

Beberapa executable menyimpan teks yang dapat memberikan petunjuk mengenai fungsi program.

Contohnya dapat berupa:

Domain.
URL.
IP address.
Nama file.
Path direktori.
Nama registry key.
Pesan error.
Nama library.

Jika sebuah file executable mengandung domain yang mencurigakan, informasi tersebut dapat menjadi IOC untuk investigasi lebih lanjut.

Namun sekali lagi, sebuah domain dalam strings tidak otomatis berarti malicious.

Software legitimate juga membutuhkan koneksi ke server.

7.2 Apa yang Dicari dari Strings?

SOC Analyst biasanya mencari pola yang tidak sesuai dengan fungsi aplikasi.

Misalnya sebuah aplikasi kalkulator sederhana tiba-tiba memiliki referensi terhadap beberapa domain eksternal yang tidak berhubungan dengan fungsi kalkulator.

Hal tersebut layak diperiksa.

Contoh lainnya adalah ditemukannya string yang mengindikasikan:

Persistence.
Command execution.
Network communication.
Credential access.
File manipulation.

Strings sebaiknya dipandang sebagai petunjuk investigasi, bukan sebagai vonis akhir.

8. Memahami PE File pada Windows

Jika kamu ingin bekerja sebagai SOC Analyst, memahami struktur file Windows merupakan investasi pengetahuan yang sangat berguna.

Salah satu format executable Windows yang paling umum adalah Portable Executable (PE).

Format ini digunakan oleh berbagai jenis file seperti:

.exe
.dll
dan beberapa format executable Windows lainnya.

Dalam analisis PE, beberapa informasi penting yang dapat diperiksa antara lain:

PE header.
Sections.
Imports.
Exports.
Entry point.
Timestamp.
Resources.

Tools seperti PEStudio, Detect It Easy, dan PE-bear dapat membantu pemula memahami struktur tersebut.

8.1 Mengapa Import Function Menarik?

Executable biasanya menggunakan fungsi dari berbagai library sistem.

Daftar import dapat memberikan gambaran mengenai kemampuan program.

Misalnya sebuah aplikasi menggunakan fungsi yang berhubungan dengan:

Network communication.
Process creation.
File operations.
Registry operations.
Memory management.

Satu fungsi saja tidak cukup untuk menyimpulkan sebuah file berbahaya.

Namun kombinasi berbagai indikator dapat memberikan gambaran yang jauh lebih kuat.

9. Dynamic Analysis: Melihat Perilaku File

Static analysis memberikan informasi mengenai apa yang terdapat di dalam file.

Dynamic analysis berfokus pada pertanyaan berbeda:

“Apa yang dilakukan file ketika dijalankan?”

Ini merupakan salah satu tahap penting dalam malware analysis.

Namun dynamic analysis harus dilakukan di lingkungan yang benar-benar terisolasi.

Jangan pernah menjalankan file mencurigakan secara langsung di komputer pribadi atau perangkat produksi.

Gunakan sandbox atau lab khusus yang memang dirancang untuk analisis.

9.1 Apa yang Diamati?

Ketika sebuah sample dianalisis dalam sandbox, SOC Analyst dapat memperhatikan berbagai aktivitas seperti:

Process creation.
File creation.
File modification.
Registry changes.
Network connection.
DNS request.
Child process.
Persistence mechanism.

Tujuannya bukan sekadar mencari satu indikator.

Tujuannya adalah membangun behavioral picture.

9.2 Contoh Behavioral Analysis

Bayangkan sebuah file bernama invoice.exe dijalankan di sandbox.

Beberapa detik kemudian ditemukan perilaku:

File membuat process baru.
Process tersebut mencoba melakukan koneksi jaringan.
Sebuah domain eksternal diakses.
File lain dibuat pada direktori pengguna.
Terjadi perubahan konfigurasi sistem.

Satu per satu aktivitas tersebut belum tentu malicious.

Tetapi jika seluruh aktivitas tersebut terjadi dalam konteks sebuah dokumen yang seharusnya hanya berisi informasi invoice, tingkat kecurigaannya meningkat secara signifikan.

10. Mengenal Sandbox untuk Analisis Malware

Sandbox adalah lingkungan terisolasi yang memungkinkan file dijalankan dan diamati tanpa memberikan akses langsung ke sistem produksi.

Dalam praktik keamanan, sandbox sangat berguna untuk memahami perilaku sample yang belum diketahui.

Salah satu layanan yang sering digunakan dalam proses threat intelligence adalah VirusTotal, yang menyediakan berbagai informasi reputasi dan hasil analisis dari banyak sumber.

Namun SOC Analyst profesional tidak seharusnya hanya bergantung pada satu sumber.

Hasil sandbox perlu dikombinasikan dengan:

Endpoint telemetry.
DNS logs.
Proxy logs.
EDR alerts.
Threat intelligence.
User context.
Timeline kejadian.

10.1 Mengapa Konteks Sangat Penting?

Sebuah file yang sama dapat memiliki tingkat risiko berbeda tergantung konteks.

Contohnya, sebuah installer software yang berasal dari website resmi vendor dan memiliki signature valid mungkin normal.

File dengan nama yang sama yang tiba-tiba muncul dari email eksternal, tidak memiliki signature, dan membuat koneksi ke domain yang tidak dikenal tentu memiliki konteks yang berbeda.

Karena itu:

File analysis tidak boleh dipisahkan dari incident context.

11. Threat Intelligence: Menghubungkan Temuan dengan Dunia Nyata

Threat intelligence membantu SOC Analyst mengetahui apakah indikator yang ditemukan sudah pernah dikaitkan dengan aktivitas berbahaya.

Indikator tersebut dapat berupa:

File hash.
IP address.
Domain.
URL.
Certificate.
Filename.
Registry artifact.

Indikator tersebut biasa disebut sebagai Indicator of Compromise (IOC).

11.1 Apa Itu IOC?

IOC adalah artefak yang dapat memberikan indikasi bahwa sebuah sistem mungkin telah terpapar atau berinteraksi dengan aktivitas berbahaya.

Contohnya:

Hash file malware yang diketahui.
Domain yang digunakan sebagai infrastructure penyerang.
IP address yang dikaitkan dengan malicious activity.
File path tertentu yang muncul dalam sebuah malware family.

IOC sangat berguna untuk proses pencarian di lingkungan organisasi.

Jika sebuah domain diketahui berbahaya, SOC Analyst dapat mencari apakah endpoint lain juga pernah melakukan koneksi terhadap domain tersebut.

12. Dari File Analysis ke IOC Hunting

Inilah titik ketika pekerjaan SOC Analyst mulai menjadi lebih luas.

Misalnya sebuah file ditemukan pada satu endpoint dan setelah dianalisis diketahui terdapat domain mencurigakan.

Jangan berhenti pada satu komputer.

Pertanyaan berikutnya adalah:

Apakah endpoint lain mengakses domain tersebut?
Apakah hash file yang sama muncul di perangkat lain?
Kapan aktivitas tersebut pertama kali terjadi?
User siapa yang terlibat?
Apakah ada process yang sama?
Apakah terdapat indikasi persistence?

Proses tersebut dikenal sebagai threat hunting.

Dengan demikian, satu file mencurigakan dapat menjadi titik awal untuk menemukan insiden yang lebih besar.

13. Membuat Verdict: Benign, Suspicious, atau Malicious?

Setelah seluruh informasi dikumpulkan, SOC Analyst perlu memberikan verdict.

Secara sederhana, verdict dapat dibagi menjadi tiga kategori:

13.1 Benign

File memiliki karakteristik legitimate dan tidak ditemukan indikator kuat yang menunjukkan aktivitas berbahaya.

Contohnya adalah installer resmi dengan digital signature valid, reputasi baik, sumber yang terpercaya, dan behavior yang sesuai dengan fungsi aplikasi.

13.2 Suspicious

File memiliki beberapa indikator anomali tetapi bukti belum cukup untuk menyatakan bahwa file tersebut malicious.

Kategori ini penting karena tidak semua kasus dapat langsung diputuskan.

Suspicious berarti investigasi perlu dilanjutkan atau file perlu dipantau.

13.3 Malicious

File memiliki kombinasi indikator kuat yang menunjukkan aktivitas berbahaya.

Jika verdict malicious sudah memiliki tingkat keyakinan tinggi, SOC Analyst dapat melanjutkan ke proses containment dan response sesuai prosedur organisasi.

14. Jangan Terjebak False Positive

Salah satu tantangan terbesar SOC Analyst adalah false positive.

False positive terjadi ketika aktivitas legitimate dianggap sebagai ancaman.

Contohnya:

Sebuah aplikasi internal perusahaan melakukan koneksi ke server tertentu secara otomatis.

Jika hanya melihat koneksi jaringan tanpa memahami konteks aplikasinya, aktivitas tersebut mungkin terlihat mencurigakan.

Namun setelah diperiksa, ternyata koneksi tersebut memang merupakan bagian normal dari aplikasi.

Jika setiap alert langsung dianggap sebagai serangan, SOC akan mengalami alert fatigue.

Karena itu, SOC Analyst harus mampu membedakan:

Alert.
Indicator.
Evidence.
Incident.

Keempatnya bukan hal yang sama.

15. Alert Bukan Berarti Incident

Ini adalah konsep penting yang harus dipahami oleh pemula.

Ketika SIEM atau EDR menghasilkan alert, itu berarti sistem mendeteksi sesuatu yang memenuhi aturan tertentu.

Alert tersebut kemudian harus dianalisis.

Prosesnya kira-kira:

Alert → Triage → Investigation → Validation → Verdict → Response

Tidak semua alert berakhir menjadi incident.

Begitu pula sebaliknya, tidak semua aktivitas malicious akan selalu menghasilkan alert.

Inilah alasan manusia masih memiliki peran sangat penting dalam SOC.

16. Membuat Timeline Investigasi

Jika sebuah file dicurigai sebagai bagian dari serangan, buat timeline kejadian.

Timeline membantu menjawab pertanyaan:

Kapan file pertama kali diterima?
Kapan file pertama kali dibuat?
Kapan file dijalankan?
Process apa yang muncul setelahnya?
Kapan koneksi jaringan terjadi?
Apakah ada file lain yang dibuat?
Apakah aktivitas berlanjut setelah file ditutup?

Timeline sangat membantu ketika SOC Analyst harus menentukan apakah sebuah file hanya pernah diunduh atau benar-benar dieksekusi.

Perbedaan tersebut sangat signifikan dalam menentukan tingkat risiko insiden.

17. Contoh Alur Investigasi File Mencurigakan

Sekarang mari kita gunakan skenario sederhana.

Seorang karyawan menerima email dengan attachment bernama:

Dokumen_Pajak_2026.zip

Endpoint security kemudian menghasilkan alert.

Langkah 1: Jangan Langsung Membuka File

File dikarantina terlebih dahulu sesuai prosedur organisasi.

Langkah 2: Identifikasi File

SOC Analyst mencatat:

Filename.
File size.
Hash.
File type.
Source.
Waktu diterima.

Langkah 3: Periksa Reputasi

Hash diperiksa menggunakan sumber threat intelligence yang tersedia.

Langkah 4: Static Analysis

File diperiksa tanpa dijalankan untuk mengetahui struktur dan indikator yang terdapat di dalamnya.

Langkah 5: Sandbox

Jika diperlukan dan sesuai kebijakan organisasi, sample dianalisis dalam lingkungan terisolasi.

Langkah 6: Korelasi

SOC Analyst mencari apakah IOC yang ditemukan juga muncul pada endpoint lain.

Langkah 7: Verdict

Semua bukti digabungkan untuk menentukan apakah file benign, suspicious, atau malicious.

Langkah 8: Response

Jika malicious, organisasi menjalankan prosedur containment dan incident response yang berlaku.

Langkah 9: Dokumentasi

Seluruh temuan dicatat agar dapat digunakan untuk investigasi dan pembelajaran berikutnya.

18. Tools yang Perlu Dipelajari SOC Analyst Pemula

Kamu tidak perlu menguasai puluhan tools sekaligus.

Mulailah dari kategori dasar.

18.1 Hash Analysis

Pelajari cara menghitung dan membandingkan hash file.

18.2 File Identification

Gunakan utilitas yang dapat mengidentifikasi tipe file sebenarnya dan metadata dasarnya.

18.3 Strings Analysis

Pelajari cara mengekstrak strings dan mengenali informasi yang relevan.

18.4 PE Analysis

Untuk Windows malware, pelajari tools seperti:

PEStudio.
Detect It Easy.
PE-bear.

18.5 Sandbox

Gunakan sandbox yang memang ditujukan untuk analisis keamanan dan pahami batasan privasi sebelum mengunggah sample.

18.6 Threat Intelligence

Pelajari cara melakukan enrichment terhadap hash, domain, IP, dan IOC lainnya.

18.7 SIEM dan EDR

Setelah memahami file analysis, mulai belajar bagaimana temuan tersebut dikorelasikan dengan telemetry endpoint dan log organisasi.

19. Cara Belajar Analisis Malware Tanpa Membahayakan Komputer

Pemula sering membuat kesalahan dengan mengambil sample malware secara sembarangan lalu menjalankannya di laptop pribadi.

Jangan lakukan ini.

Tujuan belajar cybersecurity bukan membuat komputer sendiri menjadi korban.

Gunakan pendekatan lab yang aman.

Prinsip Lab Malware Analysis

Gunakan perangkat atau environment yang memang disiapkan untuk eksperimen.
Jangan menggunakan data pribadi.
Jangan menggunakan akun utama.
Gunakan isolasi jaringan yang sesuai.
Gunakan snapshot jika platform virtualisasi mendukungnya.
Jangan menghubungkan lab ke jaringan produksi.
Gunakan sample dari sumber edukasi atau repository yang memang diperuntukkan bagi penelitian keamanan.

Untuk pemula, mempelajari analisis dari sample benign dan latihan CTF terlebih dahulu merupakan pilihan yang jauh lebih aman dibandingkan langsung menangani malware aktif.

20. Kesalahan Pemula Saat Menganalisis File

Kesalahan #1: Langsung Menjalankan File

Ini adalah kesalahan paling berbahaya.

File mencurigakan tidak boleh dijalankan di komputer produksi.

Kesalahan #2: Menganggap VirusTotal sebagai Hakim Terakhir

Threat intelligence sangat membantu, tetapi hasil deteksi tetap harus dipahami dalam konteks.

Kesalahan #3: Terlalu Fokus pada Satu Indikator

Satu string, satu koneksi, atau satu import function tidak otomatis membuktikan malware.

Kesalahan #4: Tidak Mencatat Timeline

Tanpa timeline, investigasi dapat kehilangan konteks penting.

Kesalahan #5: Tidak Memahami User Context

File yang muncul pada workstation developer mungkin memiliki konteks berbeda dengan file yang muncul pada komputer kasir atau server produksi.

Kesalahan #6: Mengabaikan False Positive

SOC Analyst harus mampu mengatakan:

“Ini bukan ancaman.”

jika bukti memang menunjukkan demikian.

Menandai semua hal sebagai malware bukanlah tanda bahwa seorang analyst bekerja dengan baik.

21. Checklist Analisis File Mencurigakan untuk Pemula

Simpan checklist berikut karena dapat digunakan sebagai kerangka dasar ketika melakukan latihan.

Apakah file berasal dari sumber yang dikenal?
Apa nama file sebenarnya?
Apa tipe file sebenarnya?
Berapa ukuran file?
Apa nilai SHA-256?
Apakah hash sudah dikenal?
Apakah file memiliki digital signature?
Apakah metadata terlihat normal?
Apakah terdapat strings yang mencurigakan?
Apakah terdapat domain atau IP yang relevan?
Apakah struktur file menunjukkan anomali?
Apakah hasil sandbox menunjukkan behavior mencurigakan?
Apakah ada koneksi jaringan?
Apakah ada process yang tidak wajar?
Apakah ada persistence?
Apakah IOC ditemukan pada endpoint lain?
Siapa user yang menerima atau menjalankan file?
Kapan aktivitas dimulai?
Apa dampak potensialnya?
Apa verdict akhirnya?

22. Bagaimana SOC Analyst Menentukan Prioritas?

Tidak semua file mencurigakan mempunyai tingkat urgensi yang sama.

Bayangkan SOC menerima tiga alert sekaligus:

File installer legitimate tetapi belum memiliki reputasi.
Dokumen mencurigakan yang baru saja diterima satu user.
Executable yang terdeteksi melakukan aktivitas berbahaya pada beberapa endpoint.

Ketiganya membutuhkan investigasi, tetapi prioritasnya berbeda.

Faktor yang dapat dipertimbangkan antara lain:

Jumlah endpoint terdampak.
Kritisnya aset.
Jenis aktivitas.
Indikasi persistence.
Indikasi credential access.
Aktivitas jaringan.
Kemungkinan penyebaran.
Dampak terhadap bisnis.

Inilah alasan pekerjaan SOC bukan sekadar membaca alert.

SOC Analyst juga harus mampu melakukan risk prioritization.

23. Dari Junior Analyst Menjadi SOC Analyst yang Lebih Baik

Jika kamu baru memulai karier cybersecurity, jangan merasa harus langsung menguasai reverse engineering tingkat lanjut.

Bangun kemampuan secara bertahap.

Level 1: Fundamental

Networking dasar.
Windows fundamentals.
Linux fundamentals.
File system.
Process.
DNS dan HTTP.

Level 2: SOC Fundamentals

SIEM.
EDR.
Log analysis.
Alert triage.
IOC.
Incident response.

Level 3: Malware Analysis

Static analysis.
Dynamic analysis.
PE structure.
Behavior analysis.
Threat intelligence.

Level 4: Advanced Analysis

Reverse engineering.
Assembly fundamentals.
Debugger.
Memory analysis.
Advanced malware behavior.

Kamu tidak harus langsung berada di level keempat.

Yang lebih penting adalah membangun fondasi yang kuat.

24. Kesimpulan: Cara Berpikir SOC Analyst Saat Menemukan File Mencurigakan

Menganalisis file mencurigakan bukan sekadar mencari apakah antivirus mengatakan malware atau tidak.

Seorang SOC Analyst harus mampu menggabungkan berbagai potongan informasi menjadi satu gambaran yang masuk akal.

Mulai dari:

Identitas file.
Hash.
Metadata.
Struktur file.
Strings.
Behavior.
Network activity.
Threat intelligence.
User context.
Timeline.

Kemudian seluruh informasi tersebut digunakan untuk menentukan verdict dan tindakan yang tepat.

Ingat prinsip sederhana berikut:

Jangan langsung percaya. Jangan langsung panik. Jangan langsung menjalankan.

Identifikasi terlebih dahulu, kumpulkan bukti, lakukan analisis secara aman, korelasikan dengan konteks, kemudian ambil keputusan berdasarkan evidence.

Itulah pola pikir yang perlu dibangun oleh seorang SOC Analyst.

25. Roadmap Belajar File Analysis untuk Pemula Cybersecurity

Jika kamu benar-benar baru masuk ke dunia cybersecurity, kamu dapat menggunakan roadmap berikut sebagai panduan belajar.

Minggu 1: Kenali Sistem Operasi

Pelajari bagaimana Windows dan Linux bekerja.

Pahami:

Process.
Service.
File system.
User account.
Permission.
Registry dasar.

Minggu 2: Belajar Networking

Fokus pada:

IP address.
DNS.
HTTP.
HTTPS.
TCP.
UDP.
Port.

Tujuannya agar kamu memahami apa yang terjadi ketika sebuah malware melakukan komunikasi dengan server eksternal.

Minggu 3: Static Analysis

Mulai dari:

Hash.
Metadata.
File signature.
Strings.
PE structure.

Minggu 4: Dynamic Analysis

Pelajari konsep sandbox dan behavioral analysis.

Fokus pada kemampuan membaca:

Process tree.
File activity.
Registry activity.
DNS request.
Network connection.

Minggu 5: Threat Intelligence

Pelajari bagaimana melakukan enrichment terhadap IOC.

Jangan hanya melihat apakah sebuah hash memiliki label malicious.

Belajar memahami alasan di balik sebuah verdict.

Minggu 6: SOC Investigation

Gabungkan semuanya.

Ambil sebuah skenario latihan, kemudian lakukan:

Alert triage.
File identification.
Static analysis.
Behavior analysis.
IOC extraction.
Threat intelligence enrichment.
Timeline creation.
Verdict.
Incident documentation.

Dengan latihan seperti ini, kamu mulai berpikir seperti SOC Analyst, bukan hanya seperti seseorang yang sedang menjalankan tools.

26. Penutup: Tools Membantu, Tetapi Analyst yang Mengambil Keputusan

Dunia cybersecurity memiliki banyak tools canggih.

Antivirus semakin pintar. EDR semakin detail. SIEM mampu mengumpulkan jutaan event. Sandbox dapat menjalankan analisis otomatis. Artificial intelligence bahkan mulai membantu proses triage dan threat detection.

Tetapi semua teknologi tersebut tetap membutuhkan manusia yang mampu memahami konteks.

Seorang SOC Analyst yang baik bukan orang yang paling banyak menggunakan tools.

Seorang SOC Analyst yang baik adalah orang yang mampu menjawab:

“Apa yang terjadi?”

“Mengapa hal tersebut terjadi?”

“Seberapa berbahaya?”

“Apa bukti yang mendukung kesimpulan tersebut?”

“Apa yang harus dilakukan selanjutnya?”

Jika kamu bisa menjawab lima pertanyaan tersebut berdasarkan evidence, kamu sudah mulai membangun cara berpikir seorang security analyst.

Dan itulah kemampuan yang jauh lebih berharga daripada sekadar mengetahui nama-nama tools.

Mulailah dari dasar, latihan secara aman, dokumentasikan setiap temuan, dan jangan takut melakukan analisis secara perlahan.

Dalam cybersecurity, ketelitian sering kali lebih berharga daripada kecepatan.

3 Step Pertama Belajar Analisis Malware dari Nol

Kalau kamu masih pemula, jangan langsung berpikir bahwa malware analysis berarti harus menjadi reverse engineer atau mampu membaca assembly. Dalam pekerjaan SOC, kemampuan paling penting di tahap awal justru adalah mengetahui apa yang harus diperiksa, bagaimana mengumpulkan bukti, dan kapan sebuah file harus dieskalasikan.

Berikut workflow sederhana yang bisa kamu gunakan untuk mulai belajar.

Mulai dari identifikasi file

Jangan langsung membuka atau menjalankan file mencurigakan. Catat nama file, ekstensi, ukuran, waktu diterima, sumber file, dan konteks mengapa file tersebut dianggap mencurigakan.
Hitung hash file

Hash seperti SHA-256 dapat digunakan sebagai identitas digital sebuah file. Dengan hash tersebut, kamu dapat melakukan pencarian terhadap threat intelligence database tanpa harus terus-menerus mengunggah file.
Gunakan lingkungan analisis terisolasi

Jika analisis membutuhkan eksekusi file, lakukan hanya di sandbox atau lab yang memang dirancang untuk malware analysis. Jangan pernah menjalankan sample mencurigakan secara langsung di laptop pribadi atau komputer produksi.

Tujuan tahap awal bukan langsung menjawab "bagaimana malware ini dibuat", tetapi menjawab pertanyaan yang jauh lebih penting bagi SOC Analyst:

Apakah file ini berbahaya?
Seberapa besar tingkat risikonya?
Apakah file tersebut pernah dikenal sebagai malware?
Apakah endpoint lain kemungkinan sudah terkena?
Apa indikator kompromi yang harus dicari?
Tindakan apa yang perlu dilakukan selanjutnya?

Workflow SOC Analyst Saat Menerima File Mencurigakan

Salah satu kesalahan umum pemula adalah melakukan analisis secara acak. Mereka membuka satu tool, kemudian berpindah ke tool lain tanpa memiliki tujuan yang jelas.

Dalam lingkungan SOC, pendekatan yang lebih baik adalah menggunakan workflow yang konsisten.

Secara sederhana, workflow dapat digambarkan seperti berikut:

Alert → Triage → Preservation → Identification → Static Analysis → Threat Intelligence → Dynamic Analysis → IOC Extraction → Verdict → Response → Documentation

Workflow tersebut membantu analyst memastikan tidak ada informasi penting yang terlewat.

1. Triage

Tanyakan terlebih dahulu mengapa file tersebut dilaporkan.

Apakah pengguna menerima email dari pengirim yang tidak dikenal? Apakah antivirus memberikan alert? Apakah file berasal dari website yang mencurigakan? Atau apakah endpoint menunjukkan aktivitas tidak normal setelah file dibuka?

Konteks ini sangat penting karena file yang sama dapat memiliki tingkat risiko berbeda tergantung bagaimana dan di mana file tersebut ditemukan.

2. Preservation

Jika file merupakan bagian dari investigasi insiden, jangan mengubah sample asli secara sembarangan. Simpan salinan untuk analisis dan pertahankan bukti asli sesuai prosedur organisasi.

3. Identification

Identifikasi tipe file sebenarnya. Jangan hanya mempercayai ekstensi.

Sebuah file bernama invoice.pdf belum tentu benar-benar merupakan PDF. Nama file dapat dimanipulasi dengan mudah.

4. Static Analysis

Periksa file tanpa mengeksekusinya. Cari informasi seperti metadata, hash, struktur file, string, dan indikator mencurigakan lainnya.

5. Threat Intelligence

Bandingkan indikator yang ditemukan dengan sumber threat intelligence yang tersedia bagi organisasi.

6. Dynamic Analysis

Jika diperlukan dan diizinkan oleh prosedur organisasi, amati perilaku sample di lingkungan yang terisolasi.

7. Verdict

Tentukan apakah bukti yang tersedia lebih mendukung klasifikasi benign, suspicious, atau malicious.

8. Response

Jika file terbukti berbahaya, SOC Analyst dapat melakukan tindakan seperti mengisolasi endpoint, memblokir indikator, mencari keberadaan sample pada sistem lain, dan melakukan eskalasi kepada Incident Response Team sesuai prosedur.

Memahami Hash: Identitas Digital Sebuah File

Salah satu konsep pertama yang wajib dipahami pemula dalam malware analysis adalah file hash.

Hash adalah nilai yang dihasilkan dari proses kriptografi terhadap data tertentu. Dalam konteks investigasi malware, hash dapat digunakan sebagai semacam fingerprint atau identitas digital sebuah file.

Algoritma yang sering dijumpai antara lain:

MD5
SHA-1
SHA-256

Untuk kebutuhan identifikasi modern, SHA-256 umumnya lebih disukai dibandingkan MD5 atau SHA-1.

Misalnya, seorang analyst menerima sebuah file bernama:

invoice.exe

Daripada hanya mencatat nama tersebut, analyst dapat menghitung SHA-256 dan memperoleh fingerprint seperti:

SHA-256:
a1b2c3d4e5f6...

Nilai tersebut kemudian dapat digunakan untuk pencarian threat intelligence.

Hal yang sangat penting untuk dipahami:

Hash bukan bukti absolut bahwa sebuah file aman atau berbahaya.

File yang belum pernah terlihat sebelumnya dapat memiliki hash yang belum terdapat dalam database threat intelligence. Karena itu, hasil "tidak ditemukan" tidak otomatis berarti file tersebut aman.

Cara Melakukan Hash File di Windows

Windows menyediakan utilitas bawaan yang dapat digunakan untuk menghitung hash file tanpa harus memasang software tambahan.

Contohnya menggunakan PowerShell:

Get-FileHash .\sample.exe -Algorithm SHA256

Output akan menampilkan nilai hash file.

Untuk pembelajaran, kamu dapat membuat sebuah file sample yang memang aman kemudian membandingkan hasil hash-nya setelah file tersebut disalin.

Jika isi file berubah walaupun hanya satu karakter, nilai hash yang dihasilkan akan berubah secara signifikan.

Konsep inilah yang membuat hash sangat berguna dalam proses investigasi.

Jangan Percaya Ekstensi File

Salah satu kesalahan paling umum pengguna komputer adalah menganggap ekstensi sebagai bukti jenis file.

Padahal ekstensi hanyalah nama yang diberikan pada file.

Misalnya:

laporan.pdf.exe

Secara teknis file tersebut merupakan executable Windows, bukan dokumen PDF.

Penyerang dapat menggunakan teknik penamaan seperti ini untuk membuat pengguna mengira bahwa file tersebut merupakan dokumen biasa.

Karena itu, SOC Analyst perlu melihat file type dan struktur sebenarnya, bukan hanya nama file.

Beberapa pertanyaan yang dapat digunakan:

Apakah magic bytes sesuai dengan ekstensi?
Apakah struktur file valid?
Apakah file benar-benar PDF, Office document, archive, atau executable?
Apakah terdapat data tambahan yang tidak lazim?

Pada Windows executable, misalnya, format PE (Portable Executable) memiliki struktur tertentu. Memahami dasar struktur PE akan sangat membantu ketika kamu mulai mempelajari malware analysis lebih dalam.

Static Analysis: Menganalisis Tanpa Menjalankan File

Static analysis adalah tahap ketika analyst memeriksa karakteristik file tanpa mengeksekusinya.

Metode ini sangat penting karena memungkinkan analyst mendapatkan banyak informasi dengan risiko yang relatif lebih rendah.

Beberapa hal yang dapat diperiksa antara lain:

Hash
File type
Ukuran file
Metadata
String
Import dan library
Struktur executable
Signature
Entropy
Indikator konfigurasi malware

Static analysis bukan berarti file pasti aman untuk dibuka. "Tidak menjalankan file" tetap harus menjadi prinsip utama ketika berhadapan dengan sample yang belum dipercaya.

Mencari String Mencurigakan

String analysis adalah salah satu teknik sederhana yang sangat berguna bagi pemula.

Beberapa malware menyimpan informasi tertentu di dalam binary, seperti:

Domain
IP address
URL
Nama file
Path
Pesan error
Nama registry key
Nama fungsi
Konfigurasi tertentu

Jika sebuah executable mengandung string seperti URL atau domain yang tidak berhubungan dengan aplikasi yang seharusnya, hal tersebut dapat menjadi indikator yang perlu diteliti lebih lanjut.

Namun, sekali lagi, string mencurigakan bukan otomatis berarti malware.

Sebuah aplikasi legitimate juga dapat memiliki banyak URL, alamat IP, nama registry, dan library. Analyst harus menggabungkan indikator tersebut dengan konteks lain.

Apa Itu Entropy dan Mengapa SOC Analyst Perlu Memahaminya?

Entropy dapat membantu analyst memahami karakteristik distribusi data dalam sebuah file.

Dalam malware analysis, entropy yang tinggi sering ditemukan pada file atau bagian file yang dikompresi atau dienkripsi. Hal ini dapat terjadi pada software legitimate maupun malware.

Karena itu, jangan menggunakan aturan sederhana seperti:

"Entropy tinggi = malware."

Kesimpulan tersebut terlalu sederhana.

Entropy sebaiknya digunakan sebagai salah satu indikator tambahan bersama:

struktur file,
ukuran section,
signature,
metadata,
import,
string,
hasil threat intelligence,
dan behavioral analysis.

Pemikiran seperti ini merupakan salah satu perbedaan antara sekadar menggunakan tool dengan benar dan benar-benar memahami proses malware analysis.

Menggunakan Threat Intelligence untuk Memperkaya Investigasi

Setelah memperoleh hash dan indikator lainnya, langkah berikutnya adalah melakukan enrichment.

Threat intelligence membantu menjawab pertanyaan seperti:

Apakah hash ini pernah dilaporkan sebelumnya?
Apakah domain terkait pernah digunakan dalam aktivitas berbahaya?
Apakah IP address tersebut memiliki reputasi buruk?
Apakah sample memiliki hubungan dengan malware family tertentu?
Apakah terdapat laporan dari security researcher lain?

Salah satu layanan yang sangat dikenal dalam ekosistem malware analysis adalah VirusTotal.

VirusTotal dapat membantu analyst melihat berbagai hasil deteksi dan informasi tambahan yang tersedia untuk sebuah file atau indikator.

Namun ada satu hal yang sangat penting:

Jangan sembarangan mengunggah file perusahaan, dokumen pelanggan, source code, atau data sensitif ke layanan publik.

File yang diunggah ke layanan threat intelligence publik dapat memiliki konsekuensi terhadap kerahasiaan data. Selalu pahami kebijakan organisasi dan layanan yang digunakan sebelum melakukan upload.

Mengapa VirusTotal Tidak Boleh Dijadikan "Hakim Terakhir"?

Pemula sering melakukan kesalahan seperti ini:

"VirusTotal mendeteksi 0/70, berarti file aman."

Kesimpulan tersebut tidak tepat.

Engine antivirus menggunakan metode deteksi yang berbeda-beda. Sample baru dapat belum dikenali oleh sebagian atau seluruh engine.

Sebaliknya, sebuah file legitimate juga dapat menghasilkan false positive.

Karena itu, hasil threat intelligence harus diperlakukan sebagai salah satu bukti, bukan satu-satunya bukti.

Analyst harus menggabungkan:

Reputasi hash
Metadata
Struktur file
Static analysis
Behavioral analysis
Konteks endpoint
Konteks user
Konteks network

Semakin banyak bukti yang konsisten, semakin kuat confidence terhadap verdict.

Dynamic Analysis: Melihat Apa yang Dilakukan File

Static analysis menjawab pertanyaan tentang apa yang ada di dalam file.

Dynamic analysis berusaha menjawab pertanyaan yang berbeda:

"Apa yang dilakukan file ketika dijalankan?"

Dalam lingkungan sandbox yang terisolasi, analyst dapat mengamati berbagai aktivitas seperti:

Proses baru yang dibuat
Child process
Perubahan file
Perubahan registry
Koneksi jaringan
DNS request
HTTP atau HTTPS connection
Persistence behavior
Perubahan konfigurasi sistem

Informasi tersebut dapat memberikan gambaran jauh lebih jelas mengenai perilaku sebuah sample.

Contohnya, sebuah file executable mungkin terlihat biasa ketika dianalisis secara statis. Namun ketika dieksekusi di sandbox, ternyata ia membuat proses yang tidak biasa dan mencoba berkomunikasi dengan domain tertentu.

Temuan tersebut kemudian dapat menjadi dasar investigasi lanjutan.

Kenapa Sandbox Sangat Penting?

Menjalankan malware di komputer utama merupakan kesalahan fatal.

Sandbox dirancang untuk menyediakan lingkungan terisolasi sehingga perilaku sample dapat diamati tanpa langsung mempertaruhkan sistem produksi.

Namun perlu dipahami bahwa sandbox bukan jaminan keamanan absolut.

Beberapa malware modern dapat mendeteksi lingkungan virtualisasi atau sandbox dan mengubah perilakunya.

Karena itu, organisasi profesional biasanya menggunakan kombinasi beberapa lapisan kontrol keamanan.

Untuk belajar, pemula sebaiknya menggunakan malware training lab, sample yang memang disediakan untuk pembelajaran, dan lingkungan virtual yang benar-benar terpisah dari sistem pribadi.

Memahami Process Tree

Salah satu informasi paling berharga dalam dynamic analysis adalah process tree.

Process tree menunjukkan hubungan antara proses parent dan child.

Misalnya secara konseptual:

user_application.exe
    └── suspicious_process.exe
        └── network_process.exe

Hubungan seperti ini dapat memberikan petunjuk mengenai apa yang terjadi setelah sebuah file dieksekusi.

SOC Analyst biasanya tidak hanya bertanya:

"Apakah proses ini berjalan?"

Tetapi juga:

Siapa parent process-nya?
Apakah child process tersebut normal?
Apakah command line masuk akal?
Apakah proses tersebut membuat koneksi jaringan?
Apakah proses tersebut mencoba persistence?

Konteks process tree sering jauh lebih informatif dibandingkan hanya melihat nama executable.

Network Behavior: Apakah File Berkomunikasi ke Internet?

Salah satu red flag yang penting adalah aktivitas network setelah file dijalankan.

Dalam sandbox, analyst dapat mengamati apakah sample melakukan:

DNS lookup
HTTP request
HTTPS connection
Connection ke IP tertentu
Connection berulang dengan interval tertentu

Jika sebuah aplikasi sederhana tiba-tiba melakukan koneksi ke domain yang tidak berhubungan dengan fungsi aplikasinya, temuan tersebut perlu diperiksa lebih lanjut.

SOC Analyst kemudian dapat mengubah informasi tersebut menjadi IOC (Indicator of Compromise).

Apa Itu IOC?

IOC adalah indikator yang dapat digunakan untuk membantu mengidentifikasi aktivitas atau kompromi yang berhubungan dengan sebuah ancaman.

Contoh IOC antara lain:

SHA-256 hash file
Domain berbahaya
IP address tertentu
URL mencurigakan
Nama file tertentu
Path file
Registry key tertentu
File artifact tertentu

IOC sangat penting karena hasil analisis satu file dapat digunakan untuk mencari apakah ancaman yang sama muncul di endpoint lain.

Misalnya, analyst menemukan sebuah hash malicious.

Langkah berikutnya bukan hanya menghapus satu file tersebut.

Analyst dapat melakukan pencarian di lingkungan organisasi:

"Apakah hash yang sama pernah muncul di endpoint lain?"

Jika jawabannya iya, scope incident mungkin jauh lebih besar daripada dugaan awal.

Dari Satu File Menjadi Investigasi Insiden

Inilah salah satu mindset terpenting yang harus dimiliki SOC Analyst.

Jangan melihat file sebagai objek yang berdiri sendiri.

File adalah bagian dari sebuah event.

Misalnya sebuah user menerima email berisi attachment.

Attachment tersebut kemudian dibuka.

Setelah itu:

muncul proses baru,
terjadi koneksi jaringan,
muncul file baru,
terjadi perubahan konfigurasi,
dan endpoint mulai menunjukkan aktivitas tidak normal.

Dalam kondisi seperti ini, investigasi sudah berkembang dari file analysis menjadi incident investigation.

Analyst harus mulai membuat timeline.

Membuat Timeline Investigasi

Timeline membantu analyst memahami urutan kejadian.

Contoh sederhana:

08:14 — User menerima email
08:16 — Attachment disimpan ke endpoint
08:17 — File dibuka
08:17 — Process baru dibuat
08:18 — DNS request muncul
08:18 — Endpoint melakukan koneksi outbound
08:20 — Antivirus memberikan alert
08:22 — SOC melakukan triage
08:25 — Endpoint diisolasi

Timeline seperti ini sangat membantu ketika analyst harus menjawab pertanyaan dari Incident Response Team atau manajemen.

Daripada hanya mengatakan:

"Ada malware."

Analyst dapat menjelaskan:

"Sample ditemukan pada endpoint tertentu, dieksekusi pada waktu tertentu, kemudian menghasilkan aktivitas proses dan network yang sesuai dengan indikator ancaman. Endpoint kemudian diisolasi untuk mencegah penyebaran lebih lanjut."

Itulah perbedaan antara sekadar menemukan file dengan melakukan investigasi keamanan.

Severity: Apakah Semua Malware Sama Berbahayanya?

Tidak.

SOC Analyst perlu memahami bahwa severity tidak hanya ditentukan oleh label malware.

Beberapa faktor yang perlu dipertimbangkan antara lain:

Apakah file benar-benar malicious?
Apakah file berhasil dieksekusi?
Apakah endpoint memiliki akses penting?
Apakah user memiliki privilege tinggi?
Apakah terdapat komunikasi ke infrastructure berbahaya?
Apakah terdapat indikasi persistence?
Apakah ada data yang kemungkinan telah diakses?
Apakah endpoint lain menunjukkan IOC yang sama?

Misalnya malware ditemukan tetapi langsung diblokir sebelum eksekusi. Kondisinya tentu berbeda dengan malware yang sudah berjalan selama beberapa jam pada endpoint administrator.

Karena itu, SOC Analyst harus melihat impact dan context, bukan hanya nama malware.

Contoh Triage File Mencurigakan

Bayangkan sebuah user melaporkan file:

Invoice_2026.exe

File tersebut diterima melalui email dan user merasa pengirimnya mencurigakan.

Workflow analyst dapat dimulai seperti berikut.

Tahap 1 — Jangan Eksekusi

File dikarantina dan tidak dibuka pada workstation produksi.

Tahap 2 — Identifikasi

Analyst memeriksa ukuran, tipe file, hash, metadata, dan karakteristik dasar lainnya.

Tahap 3 — Threat Intelligence

Hash diperiksa terhadap sumber threat intelligence yang tersedia.

Tahap 4 — Static Analysis

Analyst memeriksa string, struktur file, signature, dan indikator lain.

Tahap 5 — Dynamic Analysis

Jika diperlukan, sample dianalisis di sandbox terisolasi.

Tahap 6 — IOC Extraction

Analyst mengumpulkan hash, domain, IP, file artifact, dan indikator relevan lainnya.

Tahap 7 — Environment Search

IOC dicari pada endpoint dan log keamanan organisasi.

Tahap 8 — Verdict

Berdasarkan seluruh bukti, analyst menentukan apakah file benign, suspicious, atau malicious.

Tahap 9 — Response

Jika malicious, lakukan containment dan remediation sesuai prosedur incident response organisasi.

Kesalahan Pemula Saat Menganalisis Malware

Berikut beberapa kesalahan yang sangat sering terjadi.

1. Menjalankan malware di komputer pribadi

Ini adalah kesalahan paling berbahaya.

Jangan pernah menggunakan laptop utama sebagai laboratorium malware.

2. Menganggap satu antivirus sebagai kebenaran mutlak

Deteksi antivirus dapat menghasilkan false positive maupun false negative.

3. Menganggap "tidak terdeteksi" berarti aman

Sample baru mungkin belum dikenali oleh threat intelligence database.

4. Hanya melihat nama file

Nama file sangat mudah dimanipulasi.

5. Tidak mencatat bukti

Investigasi tanpa dokumentasi membuat analyst kesulitan menjelaskan apa yang terjadi.

6. Tidak mencari IOC di lingkungan organisasi

Menemukan satu sample hanyalah awal. Pertanyaan berikutnya adalah apakah sample atau indikator yang sama muncul di tempat lain.

7. Terlalu cepat memberikan verdict

Jangan menyimpulkan malicious hanya karena sebuah file terlihat aneh. Gunakan evidence-based analysis.

Tools yang Perlu Dipelajari SOC Analyst Pemula

Kamu tidak perlu menguasai puluhan tool sekaligus. Lebih baik memahami fungsi beberapa kategori tool terlebih dahulu.

Kategori	Tujuan
Hashing tools	Menghasilkan fingerprint file
File identification	Memastikan tipe file sebenarnya
String analysis	Mencari informasi tekstual di dalam file
PE analysis	Menganalisis struktur executable Windows
Threat intelligence	Mencari reputasi dan konteks IOC
Sandbox	Mengamati perilaku file secara terisolasi
Process monitoring	Menganalisis aktivitas proses
Network analysis	Mengamati komunikasi jaringan
SIEM	Menghubungkan event dari berbagai sumber
EDR	Monitoring dan response pada endpoint

Fokus utama bukan menghafal nama tools.

Fokus utama adalah memahami pertanyaan investigasi apa yang ingin dijawab oleh setiap tool.

Bagaimana SOC Analyst Menggunakan SIEM Setelah Analisis File?

Setelah mendapatkan IOC, analyst dapat menggunakan SIEM untuk melakukan pencarian terhadap log organisasi.

Misalnya analyst memperoleh:

SHA-256 tertentu,
domain tertentu,
IP address tertentu,
nama file tertentu.

Indikator tersebut dapat digunakan sebagai titik awal hunting.

Pertanyaan yang ingin dijawab:

Apakah IOC pernah muncul sebelumnya?
Endpoint mana yang berkomunikasi dengan domain tersebut?
User mana yang menjalankan file tersebut?
Kapan aktivitas pertama kali terjadi?
Apakah terdapat aktivitas serupa setelahnya?

Dengan demikian, file analysis dapat menjadi pintu masuk menuju threat hunting.

Hubungan File Analysis dengan EDR

EDR atau Endpoint Detection and Response memberikan visibility yang jauh lebih dalam terhadap endpoint.

Ketika file mencurigakan ditemukan, EDR dapat membantu analyst melihat:

proses yang menjalankan file,
parent-child relationship,
command line,
network connection,
file creation,
registry modification,
dan aktivitas endpoint lainnya.

Informasi tersebut sangat berguna untuk menentukan apakah sebuah alert merupakan kejadian sederhana atau bagian dari serangan yang lebih besar.

Dari Malware Analysis Menuju Threat Hunting

Ketika kamu sudah mampu menganalisis sample dan menghasilkan IOC, tahap pembelajaran berikutnya adalah threat hunting.

Threat hunting berarti secara proaktif mencari tanda-tanda aktivitas berbahaya di lingkungan organisasi.

Misalnya kamu menemukan domain mencurigakan dari sebuah sample.

Jangan berhenti di:

"Domain ini malicious."

Pertanyaan berikutnya adalah:

"Apakah ada endpoint internal yang pernah mengakses domain ini?"

Jika ada, investigasi dapat diperluas.

Inilah alasan mengapa SOC Analyst perlu memahami hubungan antara:

Malware Analysis → IOC → SIEM → EDR → Threat Hunting → Incident Response

Bagaimana Menulis Laporan Analisis File?

Skill teknis saja belum cukup. SOC Analyst juga harus mampu menyampaikan hasil investigasi dengan jelas.

Laporan sederhana dapat memiliki struktur:

Executive Summary
Incident Context
File Information
Hash
Static Analysis
Dynamic Analysis
Threat Intelligence
IOC
Impact Assessment
Verdict
Recommended Action

Contoh informasi file:

File Name: suspicious_sample.exe
File Type: Windows PE executable
SHA-256: [hash]
File Size: [size]
Source: Email attachment
Detection: [hasil analisis]
Verdict: Suspicious / Malicious

Jangan memasukkan data sensitif ke dalam laporan pembelajaran yang dipublikasikan.

Contoh Verdict yang Profesional

Hindari menulis laporan seperti:

"File ini kayaknya virus."

Gunakan bahasa berbasis bukti.

Contohnya:

"Sample diklasifikasikan sebagai suspicious berdasarkan kombinasi karakteristik executable, indikator network, dan hasil enrichment threat intelligence. Dynamic analysis menunjukkan aktivitas yang tidak sesuai dengan fungsi aplikasi yang diklaim. Sample direkomendasikan untuk dikarantina dan dilakukan investigasi lebih lanjut terhadap endpoint terkait."

Bahasa seperti ini lebih profesional karena menjelaskan evidence dan recommendation, bukan sekadar memberikan opini.

Checklist Analisis File Mencurigakan untuk Pemula

Simpan checklist berikut karena bisa menjadi panduan ketika kamu melakukan latihan di lab.

☐ Jangan menjalankan file di komputer produksi
☐ Catat nama dan sumber file
☐ Catat ukuran file
☐ Identifikasi tipe file sebenarnya
☐ Hitung SHA-256
☐ Periksa metadata
☐ Lakukan static analysis
☐ Periksa string yang relevan
☐ Lakukan threat intelligence enrichment
☐ Gunakan sandbox jika diperlukan
☐ Amati process tree
☐ Amati network behavior
☐ Ekstrak IOC
☐ Cari IOC di lingkungan organisasi
☐ Tentukan severity
☐ Tentukan verdict
☐ Dokumentasikan seluruh temuan
☐ Eskalasi sesuai prosedur jika diperlukan

Lab Aman untuk Belajar Malware Analysis

Kalau tujuanmu adalah belajar, jangan menggunakan malware yang kamu temukan secara acak dari internet pada komputer pribadi.

Gunakan environment yang memang dibuat untuk training.

Lab ideal memiliki:

Virtual machine khusus
Snapshot sebelum eksperimen
Network isolation
Sample yang disediakan untuk pembelajaran
Tools monitoring
Logging
Dokumentasi eksperimen

Untuk pemula, latihan sebaiknya dimulai dari sample yang aman dan terkontrol. Fokus pertama bukan "membuat malware berjalan", tetapi belajar mengamati dan memahami indikator perilaku.

Roadmap Belajar Malware Analysis untuk SOC Analyst Pemula

Kalau kamu benar-benar ingin berkarier sebagai SOC Analyst, jangan mencoba mempelajari semuanya sekaligus.

Gunakan roadmap bertahap.

Level 1 — Fundamental

Dasar jaringan
TCP/IP
DNS
HTTP/HTTPS
Windows fundamentals
Linux fundamentals
File system
Process

Level 2 — SOC Fundamentals

Log analysis
SIEM
Alert triage
IOC
Incident response
Threat intelligence

Level 3 — Malware Analysis Dasar

Hash analysis
File identification
Static analysis
String analysis
PE fundamentals
Sandbox analysis

Level 4 — Endpoint Investigation

Process tree
Windows Event Logs
PowerShell logs
EDR telemetry
Persistence concepts
Network telemetry

Level 5 — Threat Hunting

IOC hunting
Behavior-based hunting
Hypothesis-driven hunting
Correlation
Detection engineering

Level 6 — Advanced Malware Analysis

Reverse engineering
Assembly fundamentals
Debugger
Disassembler
Unpacking concepts
Advanced behavioral analysis

Tidak semua SOC Analyst harus menjadi reverse engineer tingkat lanjut.

Namun memahami dasar reverse engineering akan sangat membantu ketika kamu menghadapi sample yang tidak dapat dijelaskan hanya melalui static dan dynamic analysis sederhana.

Skill yang Sebenarnya Dicari dari SOC Analyst

Banyak pemula berpikir bahwa menjadi SOC Analyst berarti harus menghafal ratusan malware family.

Sebenarnya yang jauh lebih penting adalah kemampuan berpikir investigatif.

Seorang analyst yang baik mampu bertanya:

Apa yang terjadi?
Kapan terjadi?
Di mana terjadi?
Siapa yang terlibat?
Bagaimana aktivitas tersebut dimulai?
Apa yang dilakukan setelahnya?
Apakah aktivitas ini terjadi di endpoint lain?
Apa bukti yang mendukung kesimpulan?
Apa tindakan yang harus dilakukan?

Tool dapat berubah.

Malware family dapat berubah.

Dashboard SIEM dapat berubah.

Tetapi pola pikir investigatif akan tetap relevan.

Kesimpulan: Jangan Hanya Belajar Mendeteksi, Belajar Memahami

Analisis file mencurigakan merupakan salah satu skill penting yang dapat menjadi fondasi perjalanan seorang SOC Analyst.

Kamu tidak harus langsung menjadi malware researcher profesional untuk mulai belajar.

Mulailah dari hal yang sederhana:

Kenali file.
Hitung hash.
Periksa struktur.
Lakukan static analysis.
Gunakan threat intelligence.
Amati behavior di lingkungan terisolasi.
Identifikasi IOC.
Cari IOC di lingkungan organisasi.
Dokumentasikan temuan.

Dari workflow sederhana tersebut, kamu secara bertahap akan memahami bagaimana sebuah SOC mengubah satu file mencurigakan menjadi sebuah investigasi keamanan yang terstruktur.

Hal terpenting yang perlu kamu ingat adalah bahwa malware analysis bukan sekadar mencari tahu apakah sebuah file merupakan virus atau bukan.

Tujuan akhirnya adalah memahami risk, behavior, impact, scope, dan response.

Ketika sebuah file mencurigakan muncul, SOC Analyst tidak berhenti pada pertanyaan:

"Apakah file ini berbahaya?"

Pertanyaan yang jauh lebih penting adalah:

"Apa yang sudah terjadi, apa yang mungkin terjadi berikutnya, dan apa yang harus kita lakukan untuk menghentikannya?"

Itulah mindset yang membedakan seorang pengguna security tools dengan seorang SOC Analyst.

Catatan Keamanan untuk Pembaca

Seluruh proses malware analysis sebaiknya dilakukan hanya pada sample, sistem, dan lingkungan yang memang kamu miliki atau memiliki izin untuk dianalisis. Jangan menjalankan sample mencurigakan pada komputer utama, perangkat kantor, atau jaringan produksi.

Untuk latihan, gunakan lab terisolasi dan materi training yang memang disediakan untuk tujuan edukasi. Jangan mengunggah dokumen rahasia, data pelanggan, source code, credential, atau informasi internal organisasi ke layanan analisis publik.

Belajar cybersecurity berarti belajar menyerang dan bertahan secara bertanggung jawab. Gunakan kemampuan ini untuk mendeteksi, memahami, dan mencegah ancaman.

Workflow Lengkap SOC Analyst Saat Menganalisis File Mencurigakan

Setelah memahami dasar-dasar analisis file, sekarang kita masuk ke bagian yang lebih praktis. Seorang SOC Analyst tidak bekerja secara acak ketika menerima file mencurigakan. Ada alur kerja yang sistematis agar investigasi berjalan cepat, aman, dan menghasilkan keputusan yang dapat dipertanggungjawabkan.

Secara sederhana, alurnya dapat digambarkan seperti berikut:

Terima dan amankan sampel
Lakukan initial triage
Identifikasi tipe file sebenarnya
Hitung dan periksa hash
Analisis metadata dan struktur file
Lakukan static analysis
Lakukan dynamic analysis menggunakan sandbox
Korelasi dengan threat intelligence
Analisis IOC dan indikasi kompromi
Tentukan verdict
Lakukan containment dan response
Dokumentasikan seluruh temuan

Workflow ini penting karena setiap tahap memberikan konteks tambahan. Jangan langsung menjalankan file hanya karena ingin mengetahui perilakunya. Prinsip utama dalam malware analysis adalah jangan mengorbankan keamanan lingkungan analisis hanya demi mendapatkan jawaban lebih cepat.

Langkah 1: Amankan File Sebelum Melakukan Investigasi

Kesalahan yang cukup umum dilakukan pemula adalah menerima file mencurigakan kemudian langsung membukanya untuk melihat isinya. Untuk file yang belum dipercaya, kebiasaan tersebut harus dihindari.

Jika sebuah file dikirim melalui email, chat, tiket helpdesk, atau platform berbagi file, perlakukan file tersebut sebagai untrusted input sampai terbukti sebaliknya.

Jangan Membuka File di Komputer Utama

Jika file berpotensi berbahaya, jangan melakukan double-click pada workstation pribadi atau komputer produksi. Dokumen Office, PDF, archive, installer, script, dan executable tertentu dapat memicu aktivitas berbahaya ketika dibuka.

Dalam lingkungan SOC profesional, sampel biasanya dipindahkan ke lingkungan analisis yang telah disiapkan secara khusus. Lingkungan tersebut dapat berupa:

Malware analysis sandbox
Virtual machine yang terisolasi
Dedicated analysis workstation
Detonation environment
Platform sandbox berbasis cloud

Tujuannya bukan sekadar membuat analisis lebih mudah, tetapi mencegah kemungkinan file berbahaya memengaruhi endpoint, jaringan internal, credential, atau data organisasi.

Prinsip Dasar Isolasi

Lingkungan analisis sebaiknya dipisahkan dari sistem produksi. Jangan menggunakan akun administrator organisasi, credential pribadi, token API penting, SSH key, browser session, atau file sensitif di lingkungan yang digunakan untuk menganalisis malware.

Semakin berisiko sebuah sampel, semakin ketat pula isolasi yang diperlukan.

Langkah 2: Initial Triage

Initial triage adalah pemeriksaan awal untuk menentukan apakah sebuah file layak mendapatkan investigasi lebih lanjut.

Pada tahap ini, SOC Analyst belum perlu langsung melakukan analisis mendalam. Fokusnya adalah mendapatkan gambaran cepat mengenai file tersebut.

Pertanyaan yang Harus Dijawab

Dari mana file berasal?
Siapa yang mengirimkannya?
Kapan file diterima?
Siapa yang menjadi target penerima?
Apakah file berhubungan dengan aktivitas bisnis?
Apakah nama file sesuai dengan konteks?
Apakah ekstensi file terlihat normal?
Apakah file memiliki ukuran yang tidak wajar?
Apakah endpoint lain menerima file yang sama?
Apakah ada alert EDR atau antivirus yang berkaitan?

Konteks sering kali sama pentingnya dengan karakteristik teknis file.

Contohnya, sebuah file bernama invoice.pdf mungkin terlihat biasa. Namun jika file tersebut tiba-tiba diterima oleh karyawan yang tidak memiliki hubungan dengan vendor tersebut, dikirim dari domain yang baru dibuat, dan memiliki karakteristik file executable, tingkat kecurigaannya meningkat secara signifikan.

Jangan Hanya Melihat Nama File

Nama file dapat dimanipulasi dengan sangat mudah. Karena itu, SOC Analyst tidak boleh mengambil keputusan hanya berdasarkan nama atau ikon file.

File yang terlihat seperti dokumen belum tentu benar-benar merupakan dokumen.

Inilah alasan mengapa pemeriksaan file type dan magic bytes menjadi bagian penting dari proses analisis.

Langkah 3: Identifikasi Tipe File Sebenarnya

Salah satu teknik dasar dalam file analysis adalah membandingkan ekstensi dengan format file sebenarnya.

Misalnya sebuah file bernama:

laporan.pdf

Nama tersebut belum membuktikan bahwa file tersebut benar-benar PDF.

File memiliki struktur internal tertentu. Banyak format menggunakan signature atau magic bytes pada bagian awal file yang dapat membantu tools mengidentifikasi jenis sebenarnya.

Mengapa File Type Sangat Penting?

Bayangkan sebuah file memiliki ekstensi .jpg, tetapi struktur internalnya ternyata merupakan executable. Jika analyst hanya melihat nama file, investigasi dapat dimulai dengan asumsi yang salah.

Karena itu, proses analisis sebaiknya mengikuti prinsip:

Trust the file structure, not merely the filename.

Beberapa kategori file yang perlu mendapat perhatian antara lain:

Executable Windows
Dynamic-link library
PowerShell atau script
Office document
PDF
Archive
Disk image
Shortcut file
JavaScript atau web-related file
Installer package

Setiap kategori mempunyai karakteristik dan teknik analisis yang berbeda.

Langkah 4: Hash File — Fingerprint Digital Sampel

Setelah file diamankan, salah satu informasi pertama yang sebaiknya diperoleh adalah hash.

Hash dapat dipahami sebagai semacam fingerprint digital yang merepresentasikan isi file. Perubahan kecil pada file biasanya akan menghasilkan nilai hash yang berbeda.

Jenis Hash yang Umum Ditemui

MD5
SHA-1
SHA-256

Dalam workflow modern, SHA-256 sering menjadi pilihan yang lebih relevan untuk identifikasi sampel.

Contoh konsepnya:

File A
↓
Hash Function
↓
SHA-256
↓
Fingerprint unik

Hash kemudian dapat digunakan untuk mencari apakah file yang sama pernah diketahui oleh sistem threat intelligence atau sandbox tertentu.

Mengapa Hash Penting Bagi SOC Analyst?

Bayangkan sebuah organisasi menerima file mencurigakan dari salah satu endpoint. Analyst memperoleh hash file tersebut dan melakukan pencarian di platform threat intelligence.

Jika hash tersebut sudah dikenal sebagai malware, analyst mendapatkan konteks tambahan tanpa harus langsung menjalankan file.

Hash juga berguna untuk:

Mencari kemunculan sampel yang sama
Membandingkan file antar-endpoint
Membuat indikator untuk detection
Mendukung investigasi historis
Menghubungkan beberapa alert yang tampaknya berbeda
Mendokumentasikan sampel dalam laporan insiden

Namun ada satu hal penting: hash bukan bukti mutlak bahwa sebuah file aman.

File baru atau varian malware yang belum pernah terlihat sebelumnya dapat memiliki hash yang belum tercatat dalam database.

Langkah 5: Memahami Metadata File

Setelah hash diperoleh, analyst dapat melanjutkan ke pemeriksaan metadata.

Metadata adalah informasi yang menjelaskan karakteristik file. Bergantung pada jenis file, metadata dapat memberikan petunjuk mengenai software pembuat, waktu tertentu, struktur, author, versi, dan informasi lain yang relevan.

Contoh Informasi yang Dicari

File creation information
Modification information
Software atau compiler information
Version information
Author atau document properties
Embedded object
Digital signature
File structure

Metadata tidak selalu berisi informasi berbahaya. Justru nilai utamanya adalah memberikan konteks tambahan.

Contoh Analisis Kontekstual

Misalnya sebuah file mengaku sebagai installer aplikasi perusahaan. Setelah diperiksa, metadata menunjukkan bahwa file dibuat menggunakan tool yang tidak berhubungan dengan software vendor tersebut.

Temuan tersebut belum otomatis membuktikan bahwa file berbahaya.

Namun, temuan tersebut menjadi signal yang layak dikorelasikan dengan indikator lainnya.

Inilah pola berpikir penting bagi SOC Analyst:

Satu indikator = petunjuk. Banyak indikator yang saling berkaitan = evidence yang semakin kuat.

Langkah 6: Static Analysis Tanpa Menjalankan File

Static analysis adalah pemeriksaan file tanpa menjalankan program tersebut.

Metode ini sangat berguna karena analyst dapat memperoleh banyak informasi tanpa memberikan kesempatan kepada file untuk melakukan aktivitas runtime.

Apa Saja yang Dicari?

Beberapa informasi yang dapat diperiksa antara lain:

File structure
Embedded strings
Imported functions
Embedded resources
Suspicious domains
IP address
URL
Script content
Macro atau embedded object
Digital signature
Obfuscation indicators

Strings Analysis

Strings adalah salah satu teknik paling sederhana namun berguna dalam static analysis.

Analyst dapat mencari teks yang dapat dibaca manusia di dalam file. Terkadang terdapat informasi seperti domain, URL, path, nama command, registry key, error message, atau identifier tertentu.

Namun jangan menganggap semua string mencurigakan sebagai bukti malware.

Program legitimate juga dapat memiliki URL, registry path, IP address, dan command tertentu.

Yang penting adalah konteks dan korelasi.

Langkah 7: Mengenali Obfuscation

Pelaku malware sering berusaha membuat analisis menjadi lebih sulit dengan menggunakan obfuscation.

Obfuscation adalah teknik mengubah representasi kode atau data sehingga sulit dibaca atau dipahami manusia, sementara program masih dapat menjalankan fungsi yang dimaksud.

Contohnya dapat berupa:

String encoding
String fragmentation
Compression
Unusual character sequences
Encrypted configuration
Layered scripts

Obfuscation sendiri bukan berarti malware. Software legitimate juga dapat menggunakan teknik tersebut untuk berbagai alasan.

Namun jika obfuscation ditemukan bersamaan dengan indikator lain seperti koneksi mencurigakan, persistence behavior, atau credential access behavior, tingkat kecurigaannya dapat meningkat.

Langkah 8: Threat Intelligence

Setelah informasi teknis diperoleh, SOC Analyst dapat membandingkan temuan tersebut dengan sumber threat intelligence.

Tujuan utamanya adalah menjawab pertanyaan:

Apakah indikator yang kita lihat pernah dikaitkan dengan ancaman sebelumnya?

Jenis IOC yang Dapat Dicari

File hash
Domain
IP address
URL
Certificate fingerprint
Filename
Registry artifact
Process name
Malware family indicator

Salah satu platform yang umum digunakan dalam threat intelligence adalah VirusTotal. Platform seperti ini dapat membantu analyst melihat apakah sebuah hash atau indikator telah dilaporkan oleh berbagai engine keamanan.

Namun hasil dari satu platform tidak boleh dianggap sebagai satu-satunya sumber kebenaran.

Kenapa Verdict Scanner Tidak Selalu Absolut?

Bayangkan sebuah file mendapatkan hasil:

5 / 70 detections

Apakah otomatis malware?

Belum tentu.

Begitu juga sebaliknya. Hasil:

0 / 70 detections

tidak berarti file tersebut dijamin aman.

Detection engine memiliki keterbatasan. Malware baru, packed sample, custom payload, atau file yang belum dikenal dapat lolos dari deteksi signature-based.

Karena itu, SOC Analyst harus membaca hasil scanner sebagai salah satu evidence, bukan sebagai keputusan final.

Langkah 9: Dynamic Analysis dan Sandbox

Jika static analysis belum memberikan jawaban yang cukup, tahap berikutnya adalah dynamic analysis.

Dynamic analysis mengamati apa yang dilakukan file ketika dijalankan dalam lingkungan yang dikontrol dan diisolasi.

Di dunia SOC, proses ini sering dilakukan melalui malware sandbox.

Apa yang Diamati?

Sandbox dapat membantu mengamati beberapa kategori aktivitas seperti:

Process creation
Child process
File creation
File modification
Registry activity
Network connection
DNS request
HTTP atau HTTPS communication
Persistence-related activity
Security control interaction

Analyst kemudian membandingkan aktivitas tersebut dengan behavior yang diharapkan dari software legitimate.

Contoh Sederhana

Misalnya file mengaku sebagai aplikasi kalkulator sederhana.

Namun ketika dijalankan di sandbox, terlihat bahwa proses tersebut:

Membuat proses tambahan yang tidak relevan
Mencoba berkomunikasi dengan domain eksternal
Membuat file pada lokasi yang tidak biasa
Mencoba mempertahankan eksekusi setelah restart

Kombinasi behavior tersebut tentu layak mendapatkan investigasi lebih lanjut.

Yang perlu diperhatikan adalah bahwa sandbox juga memiliki keterbatasan. Beberapa malware dapat mengubah perilakunya ketika mendeteksi bahwa ia berjalan dalam lingkungan virtual atau analisis.

Langkah 10: Analisis Network Behavior

Salah satu bagian penting dalam dynamic analysis adalah melihat aktivitas jaringan.

Ketika sebuah file berjalan, analyst dapat memperhatikan apakah proses tersebut melakukan:

DNS lookup
Outbound connection
Connection ke domain baru
Connection ke IP yang memiliki reputasi buruk
HTTP request
HTTPS connection
Repeated beacon-like communication

Namun sekali lagi, koneksi internet bukan berarti malware.

Aplikasi legitimate hampir selalu membutuhkan komunikasi jaringan. Yang menjadi perhatian adalah tujuan, frekuensi, konteks, dan pola komunikasi.

Memahami Konsep C2

Dalam malware analysis, kamu mungkin akan sering menemukan istilah Command and Control atau C2.

C2 merupakan infrastruktur yang digunakan malware atau sistem yang telah terkompromi untuk berkomunikasi dengan pihak pengendali.

Indikator C2 dapat menjadi temuan serius karena menunjukkan kemungkinan adanya komunikasi antara endpoint dan infrastruktur eksternal yang tidak seharusnya.

Namun analyst tetap harus melakukan validasi. Domain yang terlihat asing belum tentu C2.

Langkah 11: Perhatikan Process Tree

Process tree menunjukkan hubungan antara proses utama dan proses turunannya.

Ini merupakan sumber informasi yang sangat berguna bagi SOC Analyst.

Misalnya sebuah aplikasi desktop legitimate biasanya menghasilkan process tree yang relatif masuk akal.

Jika sebuah dokumen membuka aplikasi kemudian menghasilkan rangkaian proses yang tidak sesuai dengan fungsi dokumen tersebut, analyst perlu melakukan investigasi.

Kenapa Process Tree Penting?

Karena nama file saja tidak selalu cukup.

Malware dapat menggunakan nama proses yang menyerupai software legitimate. Dengan melihat hubungan parent-child process, analyst dapat memahami bagaimana sebuah aktivitas dimulai dan proses apa saja yang kemudian muncul.

Konsep ini juga sangat penting ketika membaca telemetry dari EDR.

Langkah 12: Membaca Registry Activity

Pada Windows, registry menyimpan berbagai konfigurasi penting sistem dan aplikasi.

Karena itu, aktivitas registry dapat memberikan konteks tambahan dalam investigasi.

SOC Analyst dapat memperhatikan:

Perubahan konfigurasi yang tidak biasa
Persistence-related activity
Perubahan security setting
Konfigurasi aplikasi
Modifikasi yang terjadi tepat setelah file dijalankan

Namun tidak semua registry modification merupakan malicious activity. Banyak aplikasi legitimate memang perlu membuat atau mengubah registry key.

Again, konteks adalah kunci.

Langkah 13: Bedakan Indikator, Evidence, dan Verdict

Ini merupakan salah satu konsep terpenting bagi pemula SOC Analyst.

Jangan mencampurkan indikator dengan kesimpulan.

Indikator

Indikator adalah sesuatu yang menarik perhatian analyst.

Contohnya:

Domain baru
File unsigned
Unusual process
Suspicious string
Unusual network connection

Evidence

Evidence merupakan kumpulan data yang mendukung sebuah hipotesis.

Misalnya sebuah file:

Memiliki reputasi buruk
Membuat proses mencurigakan
Berkomunikasi dengan infrastructure berisiko
Membuat persistence
Memiliki karakteristik yang konsisten dengan malware

Semakin banyak evidence yang independen namun saling mendukung, semakin kuat analisisnya.

Verdict

Verdict adalah keputusan akhir berdasarkan evidence yang tersedia.

Contoh kategori yang umum digunakan:

Benign — tidak ditemukan indikasi malicious activity
Suspicious — terdapat indikator yang membutuhkan investigasi tambahan
Malicious — evidence cukup kuat menunjukkan aktivitas berbahaya
Unknown — data belum cukup untuk menentukan verdict

Memiliki kategori unknown bukan berarti analyst gagal.

Justru mengakui ketidakpastian merupakan bagian dari investigasi keamanan yang profesional.

Langkah 14: Korelasikan dengan Data Endpoint

File mencurigakan sebaiknya tidak dianalisis secara terisolasi dari konteks endpoint.

Jika sebuah file ditemukan pada komputer user, analyst perlu mengetahui apa yang terjadi sebelum dan sesudah file tersebut muncul.

Pertanyaan yang dapat diajukan:

Kapan file masuk ke endpoint?
Apakah file pernah dijalankan?
User mana yang menjalankannya?
Proses apa yang muncul setelahnya?
Apakah ada koneksi jaringan?
Apakah endpoint lain menerima file yang sama?
Apakah antivirus atau EDR menghasilkan alert?
Apakah ada aktivitas mencurigakan lain pada waktu yang sama?

Di sinilah kemampuan membaca telemetry menjadi sangat penting.

File yang terlihat suspicious tetapi tidak pernah dijalankan mempunyai konteks risiko berbeda dibanding file yang telah dieksekusi dan kemudian diikuti aktivitas mencurigakan pada endpoint.

Langkah 15: Korelasi dengan SIEM

Dalam organisasi yang memiliki Security Information and Event Management atau SIEM, data dari berbagai sumber dapat dikorelasikan untuk mendapatkan gambaran yang lebih lengkap.

Contoh sumber data antara lain:

Endpoint telemetry
EDR
Firewall
DNS logs
Proxy logs
Email security
Authentication logs
Cloud logs
Identity provider

Misalnya sebuah file mencurigakan ditemukan pada endpoint A.

Analyst kemudian menemukan bahwa pada waktu yang hampir sama endpoint tersebut melakukan koneksi ke domain tertentu. Setelah dilakukan pencarian SIEM, ternyata endpoint B dan C juga melakukan koneksi ke domain yang sama.

Satu file kini berubah menjadi investigasi yang lebih luas.

Inilah kekuatan korelasi data dalam SOC.

Langkah 16: Tentukan Scope Insiden

Jika file terbukti berbahaya, pertanyaan berikutnya bukan lagi hanya:

"Apakah file ini malware?"

Melainkan:

"Seberapa jauh dampaknya?"

Analyst perlu membantu menentukan apakah insiden hanya terjadi pada satu endpoint atau telah menyebar ke sistem lain.

Pertanyaan Scope

Berapa endpoint yang menerima file?
Berapa endpoint yang mengeksekusinya?
Apakah terdapat user account yang terdampak?
Apakah ada koneksi ke infrastructure yang sama?
Apakah terdapat file atau process yang sama?
Apakah ada indikasi persistence?
Apakah terdapat aktivitas lanjutan setelah eksekusi?

Jawaban dari pertanyaan tersebut membantu menentukan prioritas response.

Langkah 17: Containment dan Response

Setelah verdict ditentukan dan risiko dipahami, SOC Analyst dapat bekerja bersama tim incident response untuk melakukan containment sesuai prosedur organisasi.

Contoh tindakan defensif dapat mencakup:

Mengisolasi endpoint yang terdampak
Menghentikan distribusi file
Memblokir indikator yang telah tervalidasi
Mencabut atau merotasi credential yang berpotensi terdampak
Menghapus artefak berbahaya sesuai prosedur
Melakukan pemeriksaan endpoint lain
Meningkatkan monitoring terhadap indikator terkait
Mengeskalasi insiden kepada Incident Response Team

Tindakan sebenarnya harus mengikuti incident response playbook dan kewenangan yang berlaku di organisasi.

SOC Analyst tidak seharusnya mengambil tindakan destruktif secara sembarangan hanya karena sebuah file terlihat mencurigakan.

Langkah 18: Dokumentasikan Semua Temuan

Analisis yang bagus tetapi tidak terdokumentasi akan sulit digunakan kembali.

Karena itu, dokumentasi merupakan bagian penting dari pekerjaan SOC.

Informasi yang Sebaiknya Dicatat

Nama file
Ukuran file
Hash
Waktu ditemukan
Sumber file
User atau endpoint terkait
Hasil static analysis
Hasil dynamic analysis
Network indicators
Process behavior
Threat intelligence result
Verdict
Tindakan yang dilakukan
Rekomendasi follow-up

Contoh Format Catatan Investigasi

Sample:
Nama file: suspicious_document.exe

Initial Assessment:
File diterima melalui email dan tidak sesuai konteks komunikasi user.

Hash:
SHA-256: [catat hash sampel]

Static Analysis:
- File type tidak sesuai dengan nama
- Terdapat string mencurigakan
- Digital signature tidak tervalidasi

Dynamic Analysis:
- Membuat child process tidak biasa
- Melakukan koneksi outbound
- Membuat file tambahan

Threat Intelligence:
- Hash memiliki reputasi malicious

Verdict:
MALICIOUS

Response:
- Endpoint diisolasi
- IOC dikorelasikan dengan endpoint lain
- Insiden dieskalasikan untuk investigasi lanjutan

Format tersebut dapat disesuaikan dengan sistem tiket, SIEM, SOAR, atau platform case management yang digunakan organisasi.

Kesalahan Pemula Saat Menganalisis File Mencurigakan

Belajar malware analysis tidak hanya tentang mengetahui tools. Kamu juga harus mengetahui kesalahan yang harus dihindari.

1. Langsung Membuka File

Ini adalah kesalahan paling berbahaya.

File mencurigakan tidak seharusnya dibuka pada komputer pribadi atau endpoint produksi hanya untuk melihat isinya.

2. Menganggap Antivirus Selalu Benar

Antivirus dan scanner adalah sumber informasi yang sangat berguna, tetapi tidak sempurna.

Detection bisa menghasilkan false positive maupun false negative.

3. Menganggap 0 Detection Berarti Aman

File baru dapat belum memiliki reputasi. Malware custom juga mungkin belum terdeteksi oleh signature-based engine.

4. Mengabaikan Konteks User

File yang sama dapat memiliki konteks berbeda tergantung siapa yang menerima dan bagaimana file tersebut diperoleh.

5. Tidak Melihat Aktivitas Sebelum dan Sesudah File

File hanyalah satu bagian dari cerita. Timeline endpoint dapat memberikan informasi yang jauh lebih penting.

6. Mengambil Kesimpulan dari Satu Indikator

Jangan menyimpulkan malware hanya karena sebuah file memiliki satu string mencurigakan.

Gunakan pendekatan berbasis evidence dan korelasi.

7. Tidak Mencatat Proses Investigasi

Jika kamu tidak mencatat apa yang sudah diperiksa, analyst lain akan kesulitan melanjutkan investigasi.

Checklist SOC Analyst: File Mencurigakan

Berikut checklist sederhana yang dapat digunakan pemula ketika melakukan latihan analisis:

☐ File sudah diamankan
☐ File tidak dibuka pada endpoint produksi
☐ Sumber file sudah diketahui
☐ Hash sudah dihitung
☐ File type sudah diverifikasi
☐ Metadata sudah diperiksa
☐ Static analysis sudah dilakukan
☐ Reputation sudah diperiksa
☐ Threat intelligence sudah dikorelasikan
☐ Dynamic analysis dilakukan pada lingkungan terisolasi jika diperlukan
☐ Network behavior diperiksa
☐ Process behavior diperiksa
☐ Endpoint telemetry diperiksa
☐ Scope insiden ditentukan
☐ Verdict diberikan berdasarkan evidence
☐ Response dilakukan sesuai prosedur
☐ Seluruh temuan didokumentasikan

Tools yang Perlu Dipelajari Pemula SOC Analyst

Kamu tidak perlu menguasai puluhan tools sekaligus. Lebih baik memahami fungsi setiap kategori terlebih dahulu.

1. File Analysis Tools

Tools pada kategori ini digunakan untuk memahami struktur dan karakteristik file.

Pelajari konsep seperti:

File identification
Hashing
Metadata extraction
String extraction
Archive inspection
Executable structure

2. Malware Sandbox

Sandbox membantu analyst melihat behavior file dalam lingkungan yang dikontrol.

Fokus pembelajaran bukan hanya bagaimana mengunggah file, tetapi bagaimana membaca hasil analisis:

Process tree
Network activity
DNS request
File activity
Registry activity
Behavioral indicators

3. Threat Intelligence Platform

Platform threat intelligence membantu analyst mencari reputasi dan hubungan antara indikator.

Pelajari cara mencari:

Hash
Domain
IP
URL
Certificate

4. EDR

EDR sangat penting karena memberikan visibility terhadap aktivitas endpoint.

Mulailah dengan memahami:

Process tree
Command line telemetry
Network connection
File events
Detection alerts
Endpoint isolation concept

5. SIEM

SIEM digunakan untuk mengumpulkan dan mengorelasikan log dari berbagai sumber.

Pemula sebaiknya memahami konsep:

Log ingestion
Event correlation
Search
Alert
Timeline
IOC hunting

Cara Belajar Analisis Malware Tanpa Membahayakan Komputer Pribadi

Jika kamu masih pemula, jangan langsung menggunakan malware aktif dari internet pada komputer utama.

Gunakan lingkungan belajar yang memang dirancang untuk keamanan.

Gunakan Sample Edukasi

Mulailah dari file benign atau sample yang memang disediakan untuk tujuan pembelajaran.

Kamu dapat belajar memahami struktur file, hash, metadata, strings, dan proses analisis tanpa harus berhadapan dengan ancaman nyata.

Gunakan Lab Terisolasi

Jika materi pembelajaran membutuhkan dynamic analysis, gunakan virtual machine atau sandbox khusus yang tidak terhubung dengan data penting.

Jangan memasukkan:

Password pribadi
Cookie browser
SSH key
API credential
Dokumen perusahaan
Data pribadi
File penting

ke dalam environment analisis malware.

Pelajari Detection Sebelum Exploitation

Untuk pemula SOC Analyst, fokus utama sebaiknya bukan bagaimana membuat malware, melainkan bagaimana mengenali indikasi malware.

Pahami hubungan antara:

File
↓
Process
↓
Network
↓
Persistence
↓
IOC
↓
Detection
↓
Response

Jika kamu memahami rantai tersebut, kemampuan analisis akan berkembang jauh lebih cepat.

Studi Kasus Sederhana: File Invoice Mencurigakan

Sekarang mari kita gunakan contoh sederhana agar seluruh konsep sebelumnya lebih mudah dipahami.

Seorang karyawan menerima email yang mengaku berasal dari vendor. Email tersebut memiliki attachment bernama:

Invoice_August.pdf

User melaporkan email tersebut kepada SOC karena merasa tidak pernah melakukan transaksi dengan vendor tersebut.

Tahap 1 — Initial Triage

Analyst memeriksa sumber email, alamat pengirim, waktu pengiriman, dan konteks bisnis.

Ditemukan bahwa alamat pengirim memiliki kemiripan dengan vendor resmi, tetapi domain yang digunakan berbeda.

Tahap 2 — File Identification

Nama file menunjukkan PDF, tetapi pemeriksaan struktur file menunjukkan karakteristik yang tidak sesuai dengan PDF normal.

Tahap 3 — Hash

Analyst membuat SHA-256 hash dari file dan melakukan pencarian threat intelligence.

Hasil menunjukkan bahwa sampel memiliki reputasi buruk.

Tahap 4 — Static Analysis

Analyst menemukan beberapa indikator yang tidak sesuai dengan fungsi dokumen invoice biasa.

Tahap 5 — Sandbox

Dalam sandbox, file menunjukkan aktivitas proses dan network behavior yang mencurigakan.

Tahap 6 — Korelasi Endpoint

SOC mencari hash dan indikator terkait pada endpoint lain.

Ditemukan dua komputer lain menerima attachment yang sama, tetapi belum ada bukti bahwa file tersebut dijalankan.

Tahap 7 — Verdict

Berdasarkan kombinasi email context, file structure, reputation, static analysis, dan behavioral evidence, file dikategorikan sebagai malicious.

Tahap 8 — Response

File dihentikan distribusinya, endpoint yang terdampak diperiksa, indikator dikorelasikan pada environment organisasi, dan kasus dieskalasikan sesuai prosedur incident response.

Perhatikan bahwa tidak ada satu langkah yang berdiri sendiri.

Keputusan dibuat dari kombinasi berbagai evidence.

Bagaimana SOC Analyst Berpikir Saat Melihat Alert?

Skill terpenting seorang SOC Analyst bukan menghafal nama malware sebanyak mungkin.

Yang lebih penting adalah kemampuan berpikir secara sistematis.

Ketika menerima alert, jangan langsung berpikir:

"Ini pasti malware."

Gunakan pendekatan:

Apa yang terjadi?
Kapan terjadi?
Di mana terjadi?
Siapa yang terlibat?
Proses apa yang berjalan?
Apakah ada komunikasi jaringan?
Apakah behavior tersebut normal?
Apa evidence yang mendukung?
Apa evidence yang membantah?
Apa dampak potensialnya?
Apakah terdapat endpoint lain yang terlibat?
Apa tindakan yang paling aman?

Pola berpikir seperti ini jauh lebih berharga daripada sekadar menghafal daftar IOC.

Skill yang Harus Dikuasai untuk Menjadi SOC Analyst

Analisis file hanyalah salah satu bagian dari pekerjaan SOC Analyst.

Jika kamu ingin berkembang menjadi analyst yang lebih lengkap, ada beberapa bidang yang sebaiknya dipelajari secara bertahap.

1. Networking

Pahami dasar:

TCP/IP
DNS
HTTP/HTTPS
Ports
Proxy
Firewall
VPN

2. Operating System

Pahami bagaimana Windows dan Linux bekerja.

Untuk Windows, fokus pada:

Processes
Services
Registry
Event logs
Users and privileges
File system

3. Scripting

Dasar scripting sangat membantu dalam mengotomasi tugas SOC.

Python dan PowerShell merupakan contoh teknologi yang berguna untuk dipelajari, terutama untuk parsing data, automasi sederhana, dan analisis log.

4. SIEM

Pahami bagaimana log dikumpulkan, dicari, dikorelasikan, dan diubah menjadi alert.

5. EDR

Belajar membaca process tree dan endpoint telemetry.

6. Threat Intelligence

Pahami konsep IOC, TTP, malware family, reputation, dan threat actor infrastructure.

7. Incident Response

Pelajari lifecycle incident response mulai dari detection, analysis, containment, eradication, recovery, hingga lessons learned.

Roadmap Belajar Analisis File untuk Pemula

Kalau kamu benar-benar baru memulai, jangan mencoba mempelajari semuanya dalam satu minggu.

Gunakan roadmap bertahap.

Tahap 1 — Fundamental

Pelajari networking dasar
Pelajari Windows fundamentals
Pelajari Linux fundamentals
Pahami file system
Pahami process dan service

Tahap 2 — File Analysis

Belajar hashing
Belajar file identification
Belajar metadata
Belajar strings
Belajar struktur executable

Tahap 3 — Threat Intelligence

Belajar IOC
Belajar reputation analysis
Belajar domain investigation
Belajar IP investigation
Belajar correlation

Tahap 4 — Dynamic Analysis

Pelajari sandbox
Pahami process behavior
Pahami network behavior
Pahami file activity
Pahami registry activity

Tahap 5 — SOC Workflow

Belajar membaca alert
Belajar triage
Belajar incident investigation
Belajar SIEM
Belajar EDR
Belajar membuat laporan

Tahap 6 — Advanced

Reverse engineering
Memory forensics
Advanced threat hunting
Malware family analysis
Detection engineering
Incident response

Kesimpulan: Analisis File Adalah Skill Fundamental SOC Analyst

Menganalisis file mencurigakan bukan sekadar mengunggah file ke antivirus kemudian melihat apakah hasilnya merah atau hijau.

Seorang SOC Analyst perlu melihat gambaran yang jauh lebih besar.

Mulai dari asal file, konteks email, struktur file, hash, metadata, static analysis, threat intelligence, sandbox behavior, process tree, network connection, endpoint telemetry, hingga korelasi dengan sistem lain.

Semua informasi tersebut kemudian digabungkan untuk menghasilkan keputusan yang dapat dipertanggungjawabkan.

Workflow sederhananya dapat kamu ingat seperti ini:

Receive
↓
Secure
↓
Triage
↓
Identify
↓
Hash
↓
Static Analysis
↓
Threat Intelligence
↓
Sandbox
↓
Behavior Analysis
↓
Correlation
↓
Verdict
↓
Response
↓
Documentation

Jika kamu masih pemula, jangan merasa harus langsung menguasai reverse engineering atau malware analysis tingkat lanjut.

Mulailah dari kemampuan membaca file, memahami hash, mengenali indikator mencurigakan, memahami process dan network behavior, kemudian belajar menghubungkan semua informasi tersebut.

Dengan fondasi tersebut, kamu akan lebih mudah berkembang menuju threat hunting, incident response, detection engineering, hingga malware analysis tingkat lanjut.

Ingat satu prinsip penting: SOC Analyst yang baik bukan orang yang selalu paling cepat mengatakan "malware", tetapi orang yang mampu menjelaskan mengapa sebuah aktivitas dianggap berbahaya, evidence apa yang mendukung keputusan tersebut, seberapa besar dampaknya, dan tindakan apa yang seharusnya dilakukan berikutnya.

Checklist Belajar: Apakah Kamu Sudah Siap Menjadi SOC Analyst?

Gunakan checklist berikut untuk mengukur perkembanganmu:

☐ Saya memahami perbedaan file name dan file type
☐ Saya memahami konsep hash
☐ Saya dapat menjelaskan fungsi SHA-256
☐ Saya memahami static analysis
☐ Saya memahami dynamic analysis
☐ Saya memahami fungsi sandbox
☐ Saya memahami IOC
☐ Saya memahami threat intelligence
☐ Saya dapat membaca process tree dasar
☐ Saya memahami network behavior dasar
☐ Saya memahami konsep C2
☐ Saya memahami fungsi SIEM
☐ Saya memahami fungsi EDR
☐ Saya dapat membedakan indicator dan evidence
☐ Saya memahami konsep verdict
☐ Saya dapat membuat timeline investigasi sederhana
☐ Saya memahami dasar incident response
☐ Saya dapat mendokumentasikan hasil investigasi

Jika sebagian besar checklist tersebut sudah kamu pahami, kamu telah memiliki fondasi yang cukup baik untuk mulai membangun lab SOC sendiri dan berlatih menggunakan sample yang aman serta lingkungan yang terisolasi.

Dan dari sinilah perjalanan menjadi SOC Analyst sebenarnya dimulai.

4. Memahami Hash File Sebelum Mengambil Keputusan

Salah satu langkah paling dasar tetapi sangat penting dalam analisis file mencurigakan adalah memeriksa hash. Bagi seorang SOC Analyst, hash dapat dianggap sebagai semacam "sidik jari digital" sebuah file.

Hash memungkinkan analyst membandingkan sebuah file dengan sampel yang pernah dianalisis sebelumnya. Jika hash tersebut sudah diketahui sebagai malicious, proses triage dapat dilakukan jauh lebih cepat.

Beberapa algoritma hash yang umum ditemukan dalam proses analisis file antara lain:

MD5 — masih sering digunakan untuk identifikasi file, tetapi tidak ideal untuk kebutuhan kriptografi.
SHA-1 — lebih kuat dibanding MD5, tetapi saat ini juga tidak direkomendasikan untuk keamanan kriptografis.
SHA-256 — salah satu pilihan yang paling umum digunakan untuk identifikasi dan pencocokan sampel malware.

Contohnya, sebuah file bernama invoice.pdf mungkin terlihat normal. Namun setelah dihitung hash-nya, analyst dapat mencari apakah nilai tersebut pernah muncul dalam database threat intelligence.

Yang perlu dipahami pemula adalah bahwa nama file bukan identitas yang dapat dipercaya. Dua file dapat memiliki nama yang sama tetapi isi yang sama sekali berbeda.

Sebaliknya, perubahan satu bagian kecil dari sebuah file biasanya akan menghasilkan hash yang berbeda.

Contoh proses pemeriksaan hash di Windows

Windows menyediakan perintah certutil yang dapat digunakan untuk menghitung SHA-256 sebuah file:

certutil -hashfile suspicious.exe SHA256

Output tersebut kemudian dapat dicatat sebagai bagian dari hasil investigasi.

Contoh format pencatatan:

File Name : suspicious.exe
SHA-256   : [nilai hash]
Size      : [ukuran file]
Source    : Email attachment
User      : [akun pengguna]
Time      : [timestamp]

Jangan langsung menyimpulkan bahwa file aman hanya karena hash-nya tidak ditemukan dalam database. Unknown hash bukan berarti clean. Bisa saja file tersebut merupakan malware baru, sampel yang belum pernah dikirimkan ke layanan threat intelligence, atau varian yang baru dibuat.

5. Jangan Jalankan File Mencurigakan di Komputer Utama

Ini adalah salah satu prinsip paling penting bagi siapa pun yang baru belajar malware analysis.

Jika kamu mendapatkan file yang dicurigai berbahaya, jangan langsung melakukan eksperimen pada laptop utama. Bahkan tindakan sederhana seperti membuka dokumen, menjalankan installer, atau mengekstrak arsip tertentu dapat memiliki risiko.

Untuk latihan, gunakan environment yang memang dirancang untuk analisis keamanan.

Beberapa pendekatan yang umum digunakan adalah:

Cloud sandbox untuk analisis behavior secara cepat.
Virtual machine yang terisolasi untuk pembelajaran lebih lanjut.
Dedicated malware analysis lab untuk kebutuhan profesional.
Endpoint terisolasi yang memang disediakan organisasi untuk investigasi.

Tujuannya bukan sekadar menjalankan malware, tetapi membuat lingkungan pengujian yang membatasi kemungkinan dampak terhadap sistem lain.

Dalam praktik SOC, analyst juga harus memperhatikan apakah sample berasal dari sistem produksi, email pengguna, endpoint tertentu, atau sumber eksternal. Konteks tersebut menentukan bagaimana file harus diperlakukan.

Prinsip sederhana untuk pemula

Jangan pernah menggunakan komputer pribadi sebagai laboratorium malware.

Pisahkan environment belajar dari environment sehari-hari. Dengan begitu, jika terjadi kesalahan konfigurasi, dampaknya dapat diminimalkan.

6. Static Analysis: Analisis File Tanpa Menjalankannya

Setelah mendapatkan sample, tahap berikutnya adalah static analysis.

Static analysis berarti memeriksa karakteristik sebuah file tanpa mengeksekusi program tersebut. Teknik ini sangat berguna karena analyst dapat memperoleh banyak informasi awal dengan risiko yang jauh lebih rendah dibanding langsung menjalankan file.

Hal-hal yang dapat diperiksa antara lain:

Nama dan ekstensi file.
Ukuran file.
Hash.
File header.
Metadata.
String yang terdapat di dalam file.
Informasi compiler atau packer.
Import dan dependency.
Signature digital.

Memeriksa ekstensi file

Jangan hanya melihat nama yang ditampilkan oleh file explorer.

Sebuah file yang terlihat seperti dokumen belum tentu benar-benar merupakan dokumen.

Misalnya:

invoice.pdf.exe

Jika konfigurasi sistem menyembunyikan ekstensi file yang dikenal, pengguna dapat dengan mudah mengira file tersebut adalah PDF.

Karena itu, analyst harus membiasakan diri memeriksa ekstensi sebenarnya, bukan hanya ikon atau nama yang terlihat.

Memeriksa file header

File memiliki struktur internal yang dapat memberikan petunjuk tentang tipe sebenarnya.

Contohnya, file executable Windows biasanya memiliki karakteristik tertentu pada bagian awal file. Jika nama file mengatakan "document" tetapi struktur internalnya menunjukkan executable, hal tersebut merupakan indikator yang layak diperiksa lebih lanjut.

Inilah alasan mengapa SOC Analyst tidak boleh mengambil keputusan hanya berdasarkan nama file.

7. Menggunakan Strings untuk Menemukan Petunjuk

Salah satu teknik static analysis yang mudah dipahami pemula adalah pemeriksaan strings.

Strings adalah potongan teks yang dapat ditemukan di dalam file. Tidak semua string berarti berbahaya, tetapi beberapa di antaranya dapat memberikan konteks tambahan.

Analyst dapat menemukan informasi seperti:

Nama domain.
Alamat IP.
URL.
Nama file.
Path sistem.
Nama registry key.
Pesan error.
Nama library.
Command tertentu.

Contoh sederhana menggunakan utilitas strings:

strings suspicious.bin

Jika hasilnya mengandung domain yang tidak dikenal, URL aneh, atau referensi terhadap lokasi sistem yang sensitif, informasi tersebut dapat dijadikan pivot untuk investigasi berikutnya.

Namun perlu diingat bahwa menemukan sebuah domain di dalam file tidak otomatis berarti file tersebut malware.

Domain tersebut bisa saja merupakan server update, layanan pihak ketiga, endpoint telemetry, atau komponen aplikasi yang sah.

Inilah perbedaan antara indikator dan kesimpulan.

SOC Analyst mengumpulkan indikator terlebih dahulu, kemudian menghubungkannya dengan bukti lain.

8. Memahami Metadata File

Metadata sering kali dianggap sepele, padahal dapat memberikan konteks penting.

Bergantung pada jenis file, metadata dapat berisi informasi seperti:

Waktu pembuatan.
Waktu modifikasi.
Informasi author.
Nama software yang digunakan untuk membuat file.
Versi aplikasi.
Informasi dokumen.
Informasi digital signature.

Misalnya, sebuah dokumen yang diklaim berasal dari sebuah perusahaan dapat memiliki metadata yang menunjukkan bahwa dokumen tersebut sebenarnya dibuat menggunakan software atau environment yang tidak berkaitan dengan organisasi tersebut.

Hal tersebut bukan bukti malware, tetapi dapat menjadi anomali yang perlu dikorelasikan dengan indikator lainnya.

Dalam investigasi, konteks sangat penting.

File yang sama dapat dianggap normal dalam satu situasi tetapi mencurigakan dalam situasi lain.

9. Memeriksa Digital Signature

Untuk file executable tertentu, digital signature dapat memberikan informasi tambahan mengenai penerbit dan integritas file.

Jika sebuah software diklaim berasal dari vendor tertentu, analyst dapat memeriksa apakah file tersebut memiliki signature yang valid dan apakah penerbitnya sesuai dengan klaim.

Namun, digital signature juga tidak boleh dianggap sebagai jaminan mutlak bahwa sebuah file aman.

Signature yang valid terutama membantu menjawab pertanyaan:

"Siapa yang menandatangani file ini dan apakah signature-nya masih valid?"

Bukan:

"Apakah file ini pasti aman?"

Pemahaman seperti ini sangat penting agar analyst tidak terjebak dalam keputusan biner yang terlalu sederhana.

10. Dynamic Analysis: Mengamati Apa yang Dilakukan File

Static analysis memberi tahu kita tentang apa yang mungkin dilakukan sebuah file. Dynamic analysis membantu melihat apa yang benar-benar terjadi ketika file dijalankan dalam environment yang aman dan terkontrol.

Dalam proses dynamic analysis, analyst dapat mengamati:

Process yang dibuat.
Child process.
File yang dibuat atau dimodifikasi.
Registry activity.
Koneksi jaringan.
DNS request.
Perubahan konfigurasi sistem.
Persistence mechanism.
Perilaku aplikasi setelah dijalankan.

Contohnya, sebuah file bernama invoice.exe dijalankan dalam sandbox.

Jika setelah eksekusi file tersebut:

membuat proses baru yang tidak wajar,
melakukan koneksi ke domain asing,
membuat file baru di lokasi sistem,
mengubah konfigurasi tertentu,
atau mencoba mempertahankan eksekusi setelah restart,

maka analyst memiliki lebih banyak bukti untuk menentukan tingkat risikonya.

11. Apa yang Harus Diamati di Sandbox?

Ketika file dijalankan di sandbox, jangan hanya melihat apakah antivirus mendeteksi malware.

Perhatikan behavior secara keseluruhan.

A. Process Tree

Process tree memperlihatkan hubungan antara proses utama dan proses turunannya.

Misalnya:

document.exe
 └── powershell.exe
      └── another-process.exe

Struktur seperti ini tidak otomatis membuktikan malicious activity. Namun jika konteks aplikasinya tidak membutuhkan proses tersebut, analyst memiliki alasan untuk melakukan investigasi lebih lanjut.

B. Network Activity

Perhatikan domain, DNS query, IP tujuan, port, dan pola koneksi.

Jika sebuah dokumen yang seharusnya hanya berisi informasi teks tiba-tiba menghasilkan koneksi jaringan yang tidak relevan, hal tersebut layak ditelusuri.

C. File Activity

Amati file apa saja yang dibuat, diubah, atau dihapus.

Perubahan terhadap lokasi sistem tertentu dapat menjadi indikator penting, terutama jika terjadi segera setelah sample dieksekusi.

D. Persistence

Analyst juga perlu memperhatikan apakah program mencoba mempertahankan keberadaannya setelah sistem melakukan restart atau user logout.

Persistence merupakan salah satu aspek penting dalam investigasi malware karena menunjukkan bahwa program mungkin berusaha tetap aktif dalam sistem.

12. Threat Intelligence: Menghubungkan Temuan dengan Dunia Nyata

Setelah mendapatkan hash, domain, IP, URL, atau indikator lainnya, SOC Analyst dapat melakukan enrichment menggunakan sumber threat intelligence.

Tujuannya adalah menjawab pertanyaan:

Apakah indikator ini pernah terlihat sebelumnya?
Apakah indikator tersebut terkait malware tertentu?
Apakah ada laporan dari organisasi lain?
Apakah domain tersebut memiliki reputasi buruk?
Apakah indikator tersebut berkaitan dengan campaign tertentu?

Salah satu layanan yang sering digunakan untuk enrichment adalah VirusTotal.

Namun, analyst profesional tidak seharusnya hanya mengandalkan satu sumber.

Hasil threat intelligence perlu diperlakukan sebagai evidence tambahan, bukan satu-satunya dasar keputusan.

13. Memahami IOC dan Kenapa Ini Penting bagi SOC

IOC atau Indicator of Compromise adalah artefak yang dapat membantu menunjukkan kemungkinan terjadinya aktivitas berbahaya.

Contoh IOC antara lain:

SHA-256 file.
Alamat IP mencurigakan.
Domain berbahaya.
URL tertentu.
Nama file.
Path file.
Registry artifact.
Hash tertentu.

Misalnya, SOC menemukan file mencurigakan dengan hash tertentu.

Setelah threat intelligence enrichment, analyst menemukan bahwa hash tersebut berkaitan dengan malware yang pernah dilaporkan sebelumnya.

Langkah berikutnya bukan hanya menghapus file tersebut.

Analyst harus bertanya:

"Apakah file yang sama pernah muncul di endpoint lain?"

Inilah konsep IOC hunting.

14. Dari Satu File Menjadi Investigasi Seluruh Organisasi

Bayangkan sebuah perusahaan memiliki 5.000 endpoint.

Satu user melaporkan sebuah file mencurigakan.

Jika SOC hanya menghapus file tersebut dari satu komputer, kemungkinan besar investigasi belum selesai.

Analyst harus mencari apakah indikator yang sama muncul di endpoint lain.

Misalnya ditemukan:

File hash yang sama pada 12 endpoint.
Domain yang sama di DNS log.
IP tujuan yang sama di firewall log.
Nama proses yang sama pada beberapa komputer.

Temuan tersebut mengubah kasus dari "satu file mencurigakan" menjadi kemungkinan security incident yang lebih luas.

Di sinilah kemampuan korelasi data menjadi sangat penting.

15. Korelasi Data dengan SIEM

Dalam lingkungan enterprise, SOC Analyst biasanya tidak bekerja dengan satu sumber data saja.

Mereka dapat menggunakan SIEM atau Security Information and Event Management untuk mengumpulkan dan menghubungkan berbagai log.

Sumber data tersebut dapat mencakup:

Endpoint security.
Firewall.
DNS.
Proxy.
Identity provider.
Cloud platform.
Email security.
Server.
Application logs.

Contoh sederhana alur korelasi:

Email Attachment
       ↓
User Download
       ↓
Endpoint Alert
       ↓
Suspicious Process
       ↓
DNS Request
       ↓
External IP
       ↓
Threat Intelligence
       ↓
Incident Investigation

Semakin banyak bukti yang saling mendukung, semakin kuat confidence analyst terhadap verdict yang diberikan.

16. Mengenal Konsep Triage dalam SOC

SOC menerima banyak alert setiap hari. Tidak semua alert memiliki tingkat risiko yang sama.

Karena itu, analyst harus melakukan alert triage.

Triage berarti menentukan alert mana yang membutuhkan perhatian lebih cepat berdasarkan tingkat risiko dan konteksnya.

Secara sederhana, sebuah alert dapat dikelompokkan menjadi:

Informational — aktivitas normal atau hanya membutuhkan pencatatan.
Low — aktivitas mencurigakan tetapi dampaknya rendah.
Medium — membutuhkan investigasi lebih lanjut.
High — memiliki indikasi kuat terhadap aktivitas berbahaya.
Critical — berpotensi menyebabkan dampak besar atau menunjukkan kompromi serius.

Jangan menjadikan label tersebut sebagai aturan mutlak. Organisasi dapat menggunakan skema severity yang berbeda.

Yang paling penting adalah kemampuan analyst menjelaskan mengapa sebuah alert memiliki prioritas tertentu.

17. False Positive dan False Negative

Dua istilah yang wajib dipahami oleh pemula SOC Analyst adalah false positive dan false negative.

False Positive

False positive terjadi ketika sistem mendeteksi sesuatu sebagai ancaman padahal sebenarnya aktivitas tersebut legitimate.

Contohnya, aplikasi internal perusahaan menjalankan script PowerShell untuk administrasi sistem. Security tool mungkin menganggap aktivitas tersebut mencurigakan.

Jika analyst langsung memblokir semua aktivitas tersebut tanpa memahami konteks, pekerjaan legitimate dapat terganggu.

False Negative

False negative terjadi ketika aktivitas berbahaya tidak terdeteksi oleh sistem.

Ini jauh lebih berbahaya karena organisasi dapat menganggap sistem aman padahal sebenarnya terdapat aktivitas malicious.

Karena itu, SOC Analyst tidak boleh hanya bertanya:

"Apakah security tool memberikan alert?"

Tetapi juga:

"Apakah terdapat bukti lain yang menunjukkan aktivitas mencurigakan?"

18. Menentukan Verdict: Benign, Suspicious, atau Malicious

Setelah melakukan analisis, analyst harus menentukan verdict.

Beberapa kategori yang umum digunakan adalah:

Benign

File dan aktivitasnya dapat dijelaskan sebagai aktivitas legitimate.

Suspicious

Terdapat indikator yang tidak biasa, tetapi bukti belum cukup untuk menyatakan bahwa file tersebut malicious.

Malicious

Terdapat bukti kuat bahwa file atau aktivitas tersebut berbahaya.

Yang penting adalah setiap verdict harus memiliki alasan.

Jangan menulis:

Verdict: Malicious

tanpa penjelasan.

Lebih baik tuliskan:

Verdict: Malicious

Evidence:
- Hash berkorelasi dengan threat intelligence malicious.
- Sample membuat proses yang tidak sesuai dengan fungsi file.
- Terdapat koneksi outbound ke indikator berisiko.
- Aktivitas serupa ditemukan pada endpoint lain.

Format seperti ini jauh lebih berguna bagi analyst berikutnya maupun incident response team.

19. Kapan File Harus Dikarena-kan sebagai Incident?

Tidak semua file mencurigakan otomatis berarti terjadi insiden besar.

Namun, terdapat beberapa situasi yang seharusnya meningkatkan perhatian:

File malicious berhasil dieksekusi.
Terdapat koneksi ke infrastruktur berbahaya.
Credential atau data sensitif berpotensi terpapar.
Malware ditemukan pada beberapa endpoint.
Terjadi persistence.
Terdapat indikasi lateral movement.
Aktivitas berkaitan dengan ransomware.
Endpoint menunjukkan tanda-tanda compromise.

Dalam situasi seperti ini, analyst dapat melakukan eskalasi sesuai prosedur incident response organisasi.

20. Containment: Apa yang Dilakukan Setelah Malware Ditemukan?

Jika investigasi menunjukkan bahwa endpoint benar-benar terkompromi, fokus SOC dapat bergeser dari sekadar analisis menjadi containment.

Containment bertujuan membatasi penyebaran dan mengurangi dampak insiden.

Tindakan yang mungkin dilakukan sesuai prosedur organisasi antara lain:

Mengisolasi endpoint dari jaringan.
Memblokir IOC pada security control yang relevan.
Menghentikan distribusi file berbahaya.
Menonaktifkan akun yang terindikasi disalahgunakan.
Meningkatkan monitoring terhadap endpoint terkait.
Melakukan eskalasi kepada incident response team.

Keputusan containment harus mempertimbangkan dampak bisnis.

Memutus koneksi sebuah server produksi secara sembarangan juga dapat menyebabkan gangguan layanan.

Karena itu, SOC Analyst harus mengikuti prosedur dan kewenangan yang berlaku di organisasi.

21. Jangan Langsung Menghapus Semua Bukti

Kesalahan yang sering dilakukan pemula adalah langsung menghapus file malware begitu ditemukan.

Dari sisi keamanan, menghapus ancaman memang terdengar benar.

Namun dari sisi investigasi, tindakan tersebut dapat menghilangkan evidence yang penting.

Dalam incident response, evidence dapat membantu menjawab:

Kapan aktivitas dimulai?
Dari mana file berasal?
User mana yang terkena?
Apakah file sempat dieksekusi?
Server mana yang dihubungi?
Apakah endpoint lain terpengaruh?
Bagaimana malware masuk ke lingkungan organisasi?

Karena itu, tindakan terhadap sample dan endpoint harus mengikuti prosedur forensik serta incident response yang berlaku.

22. Membuat Timeline Investigasi

Timeline merupakan salah satu output paling berguna dalam sebuah investigasi.

Contohnya:

09:14 - User menerima email
09:17 - Attachment di-download
09:18 - File dibuka
09:18 - Process mencurigakan dibuat
09:19 - DNS request terjadi
09:19 - Koneksi outbound terdeteksi
09:21 - Endpoint alert muncul
09:25 - SOC memulai triage
09:31 - Hash dikonfirmasi suspicious
09:38 - Endpoint diisolasi
09:45 - IOC hunting dimulai

Timeline membantu tim memahami hubungan sebab-akibat dan menentukan titik masuk serangan.

Bagi pemula, membiasakan diri membuat timeline sejak awal investigasi merupakan skill yang sangat berharga.

23. Contoh Studi Kasus: Email dengan Lampiran Mencurigakan

Sekarang kita gunakan sebuah skenario sederhana untuk memahami seluruh proses.

Seorang karyawan menerima email yang mengaku berasal dari vendor perusahaan.

Email tersebut memiliki attachment bernama:

Invoice_2026.pdf

User kemudian melaporkan email tersebut kepada SOC karena merasa pengirimnya tidak biasa.

Langkah 1 — Verifikasi konteks

Analyst memeriksa:

Alamat pengirim.
Domain pengirim.
Subject email.
Waktu pengiriman.
Apakah user memang sedang menunggu invoice.

Langkah 2 — Analisis attachment

File tidak langsung dibuka di workstation analyst.

Analyst melakukan pemeriksaan hash dan metadata terlebih dahulu.

Langkah 3 — Threat intelligence

Hash kemudian dicari pada sumber threat intelligence.

Hasil menunjukkan bahwa file belum dikenal.

Ini belum berarti file aman.

Langkah 4 — Sandbox

Sample kemudian dianalisis dalam environment terisolasi.

Sandbox menunjukkan adanya aktivitas jaringan yang tidak sesuai dengan fungsi dokumen.

Langkah 5 — Korelasi

SOC mencari domain dan indikator yang ditemukan pada log organisasi.

Ternyata indikator yang sama muncul pada endpoint lain.

Langkah 6 — Eskalasi

Karena terdapat indikasi bahwa lebih dari satu endpoint terpengaruh, kasus dieskalasikan sesuai prosedur incident response.

Perhatikan bahwa proses ini tidak berhenti pada pertanyaan:

"Apakah file ini malware?"

Pertanyaan yang lebih penting adalah:

"Apa yang terjadi, siapa yang terdampak, seberapa luas dampaknya, dan apa yang harus dilakukan selanjutnya?"

24. Workflow SOC Analyst untuk Analisis File Mencurigakan

Jika kamu masih pemula, gunakan workflow sederhana berikut sebagai kerangka berpikir:

1. Receive Alert
       ↓
2. Preserve Context
       ↓
3. Identify File
       ↓
4. Calculate Hash
       ↓
5. Static Analysis
       ↓
6. Threat Intelligence
       ↓
7. Sandbox / Dynamic Analysis
       ↓
8. Correlate IOC
       ↓
9. Determine Verdict
       ↓
10. Containment / Escalation
       ↓
11. Document Findings
       ↓
12. Lessons Learned

Workflow tersebut dapat berbeda antara satu organisasi dengan organisasi lainnya. Namun pola berpikirnya tetap sama: kumpulkan bukti → analisis → korelasikan → ambil keputusan → dokumentasikan.

25. Skill yang Harus Dipelajari Pemula SOC Analyst

Kalau kamu ingin serius menjadi SOC Analyst, jangan hanya belajar menggunakan satu tool.

Bangun fondasi secara bertahap.

Dasar Networking

Pahami konsep IP address, DNS, HTTP/HTTPS, TCP/UDP, port, proxy, firewall, dan konsep network flow.

Dasar Operating System

Pahami bagaimana Windows dan Linux menjalankan process, menyimpan file, mengelola user, permission, service, serta logging.

Log Analysis

Belajar membaca event log dan memahami perbedaan antara aktivitas normal dengan aktivitas mencurigakan.

Threat Intelligence

Pahami IOC, TTP, malware family, reputation, threat actor, dan cara melakukan enrichment.

Incident Response

Pelajari konsep preparation, detection, analysis, containment, eradication, recovery, dan lessons learned.

SIEM

Pelajari bagaimana berbagai sumber log dikumpulkan dan dikorelasikan untuk menghasilkan alert keamanan.

Endpoint Security

Pahami konsep EDR, process monitoring, endpoint telemetry, behavioral detection, dan endpoint isolation.

26. Kesalahan Pemula Saat Menganalisis File

Ada beberapa kesalahan yang sangat sering dilakukan ketika seseorang baru mulai belajar malware analysis.

Kesalahan 1 — Langsung menjalankan file

Ini adalah kesalahan paling berbahaya.

Selalu gunakan environment yang aman dan sesuai prosedur.

Kesalahan 2 — Menganggap antivirus sebagai hakim terakhir

Jika antivirus mengatakan "clean", bukan berarti file pasti aman.

Jika antivirus mengatakan "malicious", analyst tetap perlu memahami konteks dan evidence.

Kesalahan 3 — Hanya melihat satu indikator

Satu domain asing, satu string mencurigakan, atau satu alert tidak selalu cukup untuk menentukan verdict.

Kesalahan 4 — Tidak mencatat proses investigasi

Tanpa dokumentasi, analyst akan kesulitan menjelaskan bagaimana keputusan dibuat.

Kesalahan 5 — Mengabaikan konteks bisnis

Security tidak terjadi di ruang kosong.

File tertentu mungkin normal untuk tim developer tetapi mencurigakan jika muncul pada komputer finance.

Kesalahan 6 — Tidak melakukan IOC hunting

Menemukan malware di satu endpoint seharusnya memunculkan pertanyaan apakah indikator yang sama muncul di endpoint lainnya.

27. Checklist Analisis File untuk Pemula

Simpan checklist berikut sebagai referensi ketika melakukan latihan:

☐ Sudah mencatat nama file?
☐ Sudah mencatat ukuran file?
☐ Sudah menghitung SHA-256?
☐ Sudah memeriksa ekstensi sebenarnya?
☐ Sudah memeriksa metadata?
☐ Sudah melakukan static analysis?
☐ Sudah memeriksa strings?
☐ Sudah mengecek digital signature jika relevan?
☐ Sudah melakukan threat intelligence enrichment?
☐ Sudah melakukan dynamic analysis di environment aman jika diperlukan?
☐ Sudah mencatat domain/IP/URL yang muncul?
☐ Sudah melakukan IOC hunting?
☐ Sudah menentukan verdict?
☐ Sudah mendokumentasikan evidence?
☐ Sudah menentukan apakah perlu eskalasi?

28. Bagaimana Cara Berlatih Tanpa Menunggu Bekerja di SOC?

Kabar baiknya, kamu tidak harus menunggu diterima bekerja sebagai SOC Analyst untuk mulai belajar.

Kamu dapat membangun lab cybersecurity sendiri menggunakan environment yang aman dan sample yang memang disediakan untuk tujuan edukasi.

Mulailah dari latihan sederhana:

Pahami cara menghitung hash.
Pelajari perbedaan file extension dan file type.
Analisis sample benign terlebih dahulu.
Pelajari cara membaca strings.
Gunakan sandbox yang memang disediakan untuk analisis.
Pelajari cara membaca process tree.
Latih kemampuan membaca network behavior.
Buat timeline investigasi.
Tulis laporan berdasarkan evidence.

Jangan mengejar jumlah tools.

Lebih baik menguasai beberapa konsep dasar dengan benar daripada menginstal puluhan tools tetapi tidak memahami hasilnya.

29. Cara Membuat Laporan Investigasi yang Profesional

Analisis yang bagus akan kehilangan nilainya jika tidak dapat dikomunikasikan dengan baik.

Sebuah laporan SOC sebaiknya menjawab beberapa pertanyaan dasar.

What? Apa yang ditemukan?
When? Kapan aktivitas terjadi?
Where? Endpoint atau sistem mana yang terdampak?
Who? User atau akun mana yang terkait?
How? Bagaimana aktivitas terjadi?
Impact? Apa dampaknya?
Action? Apa tindakan yang telah dilakukan?
Next Step? Apa yang harus dilakukan berikutnya?

Contoh struktur laporan:

Incident Title:
Suspicious File Detected

Severity:
Medium

Affected Asset:
[hostname]

User:
[user]

Detection Time:
[timestamp]

File:
[filename]

SHA-256:
[hash]

Initial Finding:
File menunjukkan beberapa karakteristik mencurigakan.

Evidence:
- [evidence 1]
- [evidence 2]
- [evidence 3]

Threat Intelligence:
[indicator reputation]

Verdict:
[Benign / Suspicious / Malicious]

Action Taken:
[containment / monitoring / escalation]

Recommendation:
[next action]

Gunakan bahasa yang objektif dan berbasis bukti.

Hindari kalimat seperti:

"Saya merasa file ini berbahaya."

Lebih profesional jika ditulis:

"File dikategorikan suspicious berdasarkan kombinasi aktivitas proses, koneksi jaringan, dan threat intelligence enrichment."

30. Penutup: Dari Membuka File Menjadi Membaca Cerita di Baliknya

Analisis file mencurigakan bukan sekadar mencari tahu apakah sebuah file adalah malware.

Lebih dari itu, seorang SOC Analyst harus mampu membaca cerita di balik sebuah artefak digital.

Sebuah file dapat menjadi titik awal dari investigasi yang jauh lebih besar.

Mulai dari:

File
 ↓
Hash
 ↓
Behavior
 ↓
Network
 ↓
IOC
 ↓
Endpoint
 ↓
User
 ↓
Timeline
 ↓
Incident

Inilah pola pikir yang membedakan seseorang yang sekadar menjalankan security tool dengan seorang analyst.

Tool hanya memberikan data.

Analyst yang memberikan konteks.

AI, antivirus, sandbox, SIEM, EDR, dan threat intelligence semuanya dapat membantu mempercepat pekerjaan. Namun keputusan akhir tetap membutuhkan kemampuan manusia untuk memahami konteks, mengevaluasi evidence, dan menentukan tindakan yang paling tepat.

Jika kamu masih pemula, jangan merasa harus langsung menguasai reverse engineering tingkat lanjut.

Mulailah dari hal yang sederhana.

Pahami hash.

Pahami process.

Pahami network.

Pahami log.

Pahami IOC.

Pahami bagaimana sebuah alert berubah menjadi investigation.

Kemudian tingkatkan kemampuanmu sedikit demi sedikit.

Pada akhirnya, tujuan belajar SOC bukan sekadar bisa mengatakan "ini malware".

Tujuannya adalah mampu menjelaskan:

apa yang terjadi, mengapa itu mencurigakan, seberapa besar dampaknya, bukti apa yang mendukung kesimpulan tersebut, dan tindakan apa yang harus dilakukan berikutnya.

Itulah inti dari pekerjaan seorang SOC Analyst.

Bonus: Roadmap Belajar Analisis Malware untuk Pemula

Jika kamu benar-benar ingin mendalami topik ini, berikut roadmap sederhana yang dapat digunakan sebagai panduan belajar.

Level 1 — Fundamental

Networking dasar.
Windows fundamentals.
Linux fundamentals.
File system.
Process dan service.
Basic command line.

Level 2 — SOC Fundamental

Log analysis.
SIEM fundamentals.
Alert triage.
IOC.
Threat intelligence.
Incident response.

Level 3 — Malware Analysis

Static analysis.
Dynamic analysis.
PE file fundamentals.
Strings analysis.
Process behavior.
Network behavior.
Sandbox analysis.

Level 4 — Intermediate

Windows internals.
PowerShell logging.
EDR telemetry.
Advanced SIEM queries.
Threat hunting.
Malware family analysis.

Level 5 — Advanced

Reverse engineering.
Assembly fundamentals.
Debugger.
Advanced malware behavior.
Memory forensics.
Advanced threat hunting.
Detection engineering.

Jangan terburu-buru mencapai level terakhir.

Cybersecurity adalah bidang yang sangat luas. Fondasi yang kuat jauh lebih penting daripada sekadar mengumpulkan daftar tools.

Kesimpulan Akhir

File mencurigakan adalah salah satu sumber investigasi yang sangat penting bagi seorang SOC Analyst. Dengan workflow yang tepat, sebuah file dapat dianalisis secara sistematis mulai dari identifikasi, hashing, static analysis, dynamic analysis, threat intelligence, IOC correlation, hingga incident response.

Bagi pemula, konsep terpenting yang harus diingat adalah:

Jangan langsung menjalankan file mencurigakan.
Selalu kumpulkan konteks sebelum mengambil keputusan.
Gunakan hash sebagai identitas file, bukan sebagai satu-satunya bukti.
Bedakan static analysis dan dynamic analysis.
Jangan percaya satu sumber threat intelligence saja.
Korelasikan IOC dengan endpoint dan log lainnya.
Dokumentasikan setiap evidence.
Eskalasi ketika terdapat indikasi compromise yang lebih luas.

Dan yang paling penting, selalu lakukan latihan pada sample dan environment yang memang diperuntukkan untuk pembelajaran atau analisis keamanan yang sah.

Dengan latihan yang konsisten, kamu akan mulai melihat bahwa pekerjaan SOC Analyst bukan hanya tentang menerima alert.

Ini adalah pekerjaan investigasi.

Kamu mengumpulkan potongan informasi kecil, menghubungkannya, kemudian membangun gambaran besar tentang apa yang sebenarnya terjadi.

Semakin baik kemampuanmu membaca bukti, semakin cepat kamu dapat membedakan aktivitas normal, aktivitas mencurigakan, dan serangan yang benar-benar berbahaya.

Daftar Isi

1. Apa Itu SOC Analyst?

2. Mengapa File Biasa Bisa Menjadi Ancaman?

3. Apa Itu Malware?

Virus

Worm

Trojan

Ransomware

Spyware

Downloader atau Dropper

Infostealer

4. Jenis File yang Perlu Diperhatikan SOC Analyst

Executable

Office Documents

Archive

Shortcut dan Script

PDF

5. Apa Itu File Triage?

6. Workflow Analisis File Mencurigakan

7. Evidence Apa yang Harus Dikumpulkan?

Nama file

Lokasi file

Waktu

User context

Source

Hash

Endpoint context

8. Memahami File Hash

9. Mengapa SHA-256 Berguna dalam Investigasi?

10. Memeriksa Metadata File

11. Apa Itu Static Analysis?

12. File Extension Bukan File Type

13. Mengapa Header File Penting?

14. Strings Analysis

15. Jangan Terjebak dengan Satu Red Flag

16. Threat Intelligence: Menghubungkan File dengan Dunia Nyata

17. Cara Membaca Hasil Threat Intelligence

18. Apa Itu Dynamic Analysis?

19. Mengapa Jangan Menjalankan Sampel Malware di Laptop Pribadi?

20. Membangun Lab Analisis yang Aman untuk Pemula

Gunakan environment terisolasi

Jangan gunakan credential pribadi

Hindari data produksi

Gunakan snapshot

Kontrol konektivitas

Pisahkan lab dari workstation utama

21. Apakah Virtual Machine Sudah Pasti Aman?

22. Static Analysis vs Dynamic Analysis

23. Contoh Kasus Sederhana

Langkah 1 — Catat sumber

Langkah 2 — Periksa konteks

Langkah 3 — Preserve sample

Langkah 4 — Hitung hash

Langkah 5 — Periksa file type

Langkah 6 — Static inspection

Langkah 7 — Threat intelligence

Langkah 8 — Tentukan kebutuhan eskalasi

24. Konsep Verdict: Benign, Suspicious, atau Malicious

Benign

Suspicious

Malicious

25. Confidence Level Juga Penting

26. Prinsip Penting: Evidence Over Assumption

Jangan mengubah asumsi menjadi fakta.

27. Checklist Triage File Mencurigakan

28. Kesalahan Pemula Saat Menganalisis File

Kesalahan #1 — Langsung membuka file

Kesalahan #2 — Menganggap extension sebagai kebenaran

Kesalahan #3 — Menganggap unknown berarti safe

Kesalahan #4 — Mengandalkan satu antivirus

Kesalahan #5 — Upload dokumen sensitif ke layanan publik

Kesalahan #6 — Menjalankan malware di komputer utama

Kesalahan #7 — Tidak mencatat evidence

29. Dari File Analysis Menuju Incident Response

30. Kesimpulan Bagian Pertama

3 Step Pertama Belajar Analisis Malware dari Nol

Workflow SOC Analyst Saat Menerima File Mencurigakan

Langkah 1: Jangan Langsung Membuka File

Langkah 2: Kumpulkan Konteks Sebelum Menganalisis File