Kalau kamu baru mulai belajar cybersecurity, mungkin kamu pernah melihat istilah MITRE ATT&CK di artikel keamanan siber, laporan Threat Intelligence, dokumentasi SOC, atau bahkan lowongan pekerjaan.
Banyak pemula kemudian bertanya:
“MITRE ATT&CK itu sebenarnya apa?”
“Apakah MITRE ATT&CK adalah sebuah tools?”
“Apakah saya harus menghafal semua teknik di dalamnya?”
Jawabannya: tidak sesederhana itu.
MITRE ATT&CK bukan sekadar daftar teknik hacking dan bukan pula aplikasi yang harus kamu install. MITRE ATT&CK adalah sebuah knowledge base yang mendokumentasikan perilaku adversary berdasarkan observasi dunia nyata. Framework ini membantu profesional keamanan memahami apa yang dilakukan attacker, mengapa mereka melakukannya, dan bagaimana aktivitas tersebut dapat dideteksi atau dimitigasi.
Bagi pemula, memahami konsep MITRE ATT&CK akan sangat membantu karena kamu mulai melihat serangan siber bukan sebagai kumpulan tools yang berdiri sendiri, tetapi sebagai rangkaian aktivitas yang memiliki tujuan.
Artikel ini akan membahas MITRE ATT&CK dari nol: mulai dari pengertian, fungsi, istilah penting, tactics, techniques, sub-techniques, procedures, ATT&CK Matrix, hingga contoh bagaimana framework ini digunakan oleh SOC Analyst dan Threat Intelligence Analyst.
Apa Itu MITRE ATT&CK?
MITRE ATT&CK adalah knowledge base dan model yang mengkategorikan perilaku adversary dalam operasi siber. MITRE menjelaskan bahwa ATT&CK berfokus pada bagaimana adversary berinteraksi dengan sistem selama sebuah operasi dan menyusun perilaku tersebut berdasarkan taktik, teknik, sub-teknik, serta prosedur.
Nama ATT&CK berasal dari Adversarial Tactics, Techniques, and Common Knowledge.
Konsep paling sederhana untuk memahaminya adalah:
- Tactics = Why? Mengapa attacker melakukan suatu tindakan?
- Techniques = How? Bagaimana attacker mencapai tujuannya?
- Sub-techniques = detail yang lebih spesifik dari sebuah teknik.
- Procedures = bagaimana perilaku tersebut benar-benar diterapkan oleh adversary tertentu.
MITRE sendiri menjelaskan bahwa tactics menggambarkan tujuan adversary, sedangkan techniques menggambarkan cara yang digunakan untuk mencapai tujuan tersebut. Sub-techniques memberikan detail yang lebih spesifik, sementara procedures menggambarkan implementasi perilaku yang digunakan di dunia nyata.
Kenapa MITRE ATT&CK Penting untuk Cybersecurity?
Bayangkan sebuah perusahaan mengalami insiden keamanan.
SOC Analyst menemukan bahwa sebuah akun pengguna digunakan untuk masuk ke sistem dari lokasi yang tidak biasa. Setelah investigasi, ditemukan bahwa attacker kemudian melakukan discovery, mencoba mendapatkan informasi tentang sistem, dan bergerak ke sistem lain.
Tanpa framework standar, analyst mungkin hanya menulis:
“Attacker melakukan beberapa aktivitas mencurigakan setelah berhasil login.”
Masalahnya, kalimat tersebut masih terlalu umum.
Dengan MITRE ATT&CK, aktivitas tersebut dapat dipetakan ke perilaku tertentu. Hasil analisis menjadi lebih terstruktur sehingga tim keamanan dapat memahami teknik yang digunakan, mencari bukti tambahan, membandingkan pola dengan threat actor lain, dan menentukan kontrol keamanan yang relevan.
MITRE menyebut beberapa penggunaan utama ATT&CK antara lain untuk threat intelligence, detection and analytics, adversary emulation, serta red teaming.
MITRE ATT&CK sebagai Bahasa Bersama
Salah satu manfaat terbesar ATT&CK adalah memberikan bahasa yang lebih konsisten bagi tim keamanan.
Bayangkan terdapat tiga tim:
- SOC Team
- Threat Intelligence Team
- Red Team
Masing-masing tim mungkin menggunakan istilah berbeda untuk menjelaskan aktivitas attacker.
Dengan ATT&CK, mereka dapat menggunakan referensi yang sama untuk menjelaskan perilaku adversary.
Hasilnya, komunikasi menjadi lebih jelas.
MITRE ATT&CK Bukan Sekadar Daftar Teknik Hacking
Kesalahpahaman yang sering terjadi pada pemula adalah menganggap MITRE ATT&CK sebagai daftar teknik hacking.
Padahal cakupannya lebih luas.
ATT&CK mencoba menggambarkan perilaku adversary dalam konteks operasi yang lebih besar. Sebuah teknik tidak berdiri sendiri. Teknik biasanya digunakan untuk mencapai tujuan tertentu dan dapat menjadi bagian dari rangkaian aktivitas.
Misalnya:
Attacker mendapatkan akses awal.
↓
Menjalankan aktivitas pada sistem.
↓
Mencari informasi tentang lingkungan.
↓
Mencoba memperoleh kredensial.
↓
Bergerak ke sistem lain.
↓
Mengumpulkan data.
↓
Mengirim data keluar.
Rangkaian seperti inilah yang membuat ATT&CK sangat berguna untuk memahami attack lifecycle.
Memahami Tactics dalam MITRE ATT&CK
Kalau kamu baru belajar ATT&CK, istilah pertama yang wajib dipahami adalah tactic.
Tactic menjawab pertanyaan:
“Apa tujuan attacker melakukan tindakan ini?”
Dalam domain Enterprise ATT&CK saat ini terdapat 15 tactics, mulai dari Reconnaissance dan Resource Development hingga Impact.
1. Reconnaissance
Tujuannya adalah mengumpulkan informasi yang dapat digunakan untuk merencanakan operasi berikutnya.
Contohnya adalah mencari informasi mengenai organisasi, domain, jaringan, atau teknologi yang digunakan target.
2. Resource Development
Attacker berusaha menyiapkan sumber daya yang akan mendukung operasi mereka.
Sumber daya tersebut dapat berkaitan dengan infrastruktur, akun, atau komponen lain yang dibutuhkan untuk operasi.
3. Initial Access
Tujuannya adalah mendapatkan akses awal ke lingkungan target.
MITRE menjelaskan bahwa teknik dalam kategori ini mencakup berbagai jalur masuk seperti spearphishing atau eksploitasi kelemahan pada server yang menghadap internet.
4. Execution
Setelah memperoleh akses, attacker membutuhkan cara untuk menjalankan kode atau perintah.
Inilah yang direpresentasikan oleh tactic Execution.
5. Persistence
Persistence berkaitan dengan bagaimana attacker mempertahankan akses ke sistem meskipun terjadi restart, perubahan kredensial, atau gangguan lainnya.
6. Privilege Escalation
Tujuannya adalah mendapatkan hak akses yang lebih tinggi.
Misalnya, sebuah aktivitas dimulai dari akun dengan hak akses terbatas lalu attacker berusaha memperoleh privilege yang lebih tinggi.
7. Stealth
Attacker berusaha menyembunyikan aktivitasnya agar tidak mudah diketahui oleh defender.
8. Defense Impairment
Tujuannya adalah mengganggu mekanisme keamanan, pipeline, atau tooling sehingga defender kesulitan melihat atau mempercayai aktivitas yang terjadi.
9. Credential Access
Attacker berusaha mendapatkan informasi autentikasi seperti username, password, atau kredensial lain yang dapat digunakan untuk akses berikutnya.
10. Discovery
Setelah mendapatkan pijakan, attacker perlu memahami lingkungan.
Mereka dapat mencari informasi tentang sistem, akun, jaringan, atau resource lain. MITRE mendeskripsikan Discovery sebagai aktivitas untuk memahami lingkungan dan menentukan apa yang tersedia di sekitar titik kompromi.
11. Lateral Movement
Attacker berusaha berpindah dari satu sistem ke sistem lain dalam lingkungan target.
12. Collection
Tujuannya adalah mengumpulkan data yang relevan dengan tujuan operasi attacker.
13. Command and Control
Attacker berusaha berkomunikasi dengan sistem yang telah dikompromikan untuk mengendalikan atau mengelola aktivitasnya.
14. Exfiltration
Exfiltration berkaitan dengan upaya mengambil data dari lingkungan korban.
15. Impact
Impact menggambarkan aktivitas yang bertujuan memanipulasi, mengganggu, atau menghancurkan sistem maupun data.
Tactics vs Techniques: Jangan Sampai Tertukar
Ini salah satu bagian yang paling sering membingungkan pemula.
Gunakan analogi sederhana.
Bayangkan seseorang ingin masuk ke sebuah gedung.
Tactic: mendapatkan akses ke gedung.
Technique: menggunakan metode tertentu untuk memperoleh akses.
Sub-technique: variasi yang lebih spesifik dari metode tersebut.
Procedure: cara konkret yang digunakan oleh pelaku tertentu dalam situasi nyata.
Dengan analogi ini, kamu tidak perlu menghafalkan definisi secara kaku.
Cukup ingat:
Tactic = tujuan.
Technique = metode.
Sub-technique = metode yang lebih spesifik.
Procedure = implementasi nyata.
Apa Itu ATT&CK Matrix?
Ketika kamu mencari MITRE ATT&CK di internet, kemungkinan besar kamu akan menemukan sebuah tampilan berbentuk tabel besar.
Itulah yang dikenal sebagai ATT&CK Matrix.
Matrix membantu memvisualisasikan hubungan antara tactic dengan techniques dan sub-techniques.
Kolom-kolomnya mewakili tujuan atau tactic, sedangkan isi di bawahnya menunjukkan berbagai teknik yang dapat digunakan adversary untuk mencapai tujuan tersebut.
Bagi pemula, jangan langsung mencoba menghafal seluruh matrix.
Gunakan matrix sebagai peta belajar.
Misalnya, hari ini kamu ingin memahami Initial Access. Buka tactic tersebut dan pelajari teknik yang tersedia. Besok kamu bisa berpindah ke Execution, kemudian Persistence, dan seterusnya.
Apa Itu Technique dan Sub-Technique?
Technique adalah cara adversary melakukan suatu tindakan untuk mencapai tujuan tertentu.
Dalam Enterprise ATT&CK saat ini, halaman teknik Enterprise mencantumkan ratusan teknik dan sub-technique. Jumlah tersebut dapat berubah seiring pembaruan framework, sehingga angka pada dokumentasi sebaiknya diperlakukan sebagai informasi yang dinamis.
Sub-technique kemudian memberikan detail yang lebih spesifik.
Konsep ini penting karena satu teknik umum dapat memiliki beberapa cara penerapan yang berbeda.
Daripada hanya mengatakan:
“Attacker melakukan credential access.”
Analyst dapat mempersempit analisis ke teknik atau sub-technique tertentu berdasarkan bukti yang tersedia.
Apa Itu Procedure dalam MITRE ATT&CK?
Procedure adalah bagian yang membantu menghubungkan teknik dengan implementasi adversary di dunia nyata.
Ini penting untuk Threat Intelligence karena analyst tidak hanya ingin mengetahui bahwa sebuah teknik mungkin digunakan.
Mereka juga ingin mengetahui:
- Siapa yang pernah menggunakan teknik tersebut?
- Dalam konteks serangan seperti apa?
- Bagaimana teknik tersebut diterapkan?
- Apakah terdapat pola yang bisa membantu proses deteksi?
MITRE menjelaskan bahwa procedure merepresentasikan implementasi spesifik yang digunakan adversary terhadap suatu technique atau sub-technique.
Contoh Sederhana Analisis dengan MITRE ATT&CK
Sekarang kita buat contoh sederhana agar konsepnya lebih mudah dipahami.
Bayangkan SOC menemukan aktivitas mencurigakan pada sebuah endpoint.
Analyst menemukan beberapa indikasi:
- Akun tertentu digunakan untuk mengakses sistem.
- Setelah login, terjadi aktivitas discovery.
- Beberapa sistem internal kemudian diakses.
- Ada aktivitas komunikasi jaringan yang tidak biasa.
Daripada melihat setiap aktivitas sebagai kejadian terpisah, analyst dapat mulai membuat timeline.
Contohnya:
Initial Access → Execution → Discovery → Lateral Movement → Command and Control
Selanjutnya, setiap aktivitas dapat dibandingkan dengan teknik ATT&CK yang relevan berdasarkan bukti yang tersedia.
Hasilnya adalah gambaran serangan yang jauh lebih terstruktur.
Bagaimana SOC Analyst Menggunakan MITRE ATT&CK?
SOC Analyst dapat menggunakan ATT&CK untuk membantu proses detection engineering, investigasi alert, threat hunting, dan evaluasi coverage.
Misalnya sebuah organisasi memiliki banyak alert keamanan.
Masalahnya bukan hanya jumlah alert, tetapi apakah alert tersebut memberikan visibilitas terhadap perilaku adversary yang relevan.
Dengan melakukan mapping ke ATT&CK, tim dapat bertanya:
- Teknik apa yang sudah dapat kita deteksi?
- Teknik apa yang belum memiliki telemetry?
- Teknik mana yang paling relevan terhadap threat actor yang mengincar organisasi?
- Apakah alert yang tersedia benar-benar menghasilkan bukti yang berguna?
ATT&CK memang dapat digunakan untuk membantu defender membangun analytics yang mendeteksi teknik yang digunakan adversary.
MITRE ATT&CK untuk Threat Intelligence Analyst
Bagi Threat Intelligence Analyst, ATT&CK sangat berguna karena memberikan struktur untuk mengorganisasi informasi tentang perilaku threat actor.
Misalnya kamu membaca laporan tentang sebuah kelompok ancaman.
Laporan tersebut mungkin berisi puluhan halaman.
Di dalamnya terdapat informasi tentang:
- cara mendapatkan akses,
- tools yang digunakan,
- aktivitas pada endpoint,
- cara berpindah antar sistem,
- metode komunikasi,
- dan tujuan akhir serangan.
Threat Intelligence Analyst dapat mengambil informasi tersebut dan memetakannya ke ATT&CK.
Hasil akhirnya bukan sekadar laporan panjang, tetapi struktur perilaku yang lebih mudah dibandingkan dengan threat actor atau campaign lain.
MITRE ATT&CK untuk Threat Hunting
Threat hunting adalah aktivitas mencari indikasi ancaman secara proaktif.
Artinya, defender tidak selalu menunggu alert muncul terlebih dahulu.
Mereka memiliki hipotesis dan kemudian mencari bukti di lingkungan.
ATT&CK dapat membantu membuat hipotesis tersebut lebih terstruktur.
Contohnya:
“Jika threat actor menggunakan teknik tertentu, telemetry apa yang seharusnya terlihat di endpoint atau network?”
Dari pertanyaan tersebut, hunter dapat menentukan sumber data yang perlu diperiksa.
Dengan pendekatan ini, MITRE ATT&CK menjadi semacam peta untuk membantu menentukan area mana yang perlu dicari.
MITRE ATT&CK untuk Red Team
ATT&CK juga digunakan untuk adversary emulation dan red teaming.
Red team dapat menggunakan framework untuk merencanakan simulasi berdasarkan perilaku threat actor tertentu.
Namun, penting untuk dipahami bahwa tujuan red team bukan sekadar mencentang sebanyak mungkin kotak di matrix.
MITRE sendiri mengingatkan bahwa organisasi tidak harus mengejar cakupan 100 persen. Setiap organisasi mempunyai ancaman dan prioritas yang berbeda.
Jadi, lebih banyak teknik tidak selalu berarti lebih aman.
Yang lebih penting adalah menguji teknik yang relevan dengan ancaman dan risiko organisasi.
Apakah Pemula Harus Menghafal Semua MITRE ATT&CK?
Tidak.
Ini mungkin hal terpenting yang perlu kamu ketahui.
MITRE ATT&CK sangat besar dan terus berkembang. MITRE juga memperbarui framework secara berkala; dokumentasi resminya menyebut pembaruan dilakukan dua kali setahun.
Karena itu, menghafalkan seluruh teknik bukan strategi belajar yang efektif.
Lebih baik kamu memahami pola.
Mulailah dengan memahami:
- Apa itu tactic?
- Apa itu technique?
- Apa itu sub-technique?
- Apa itu procedure?
- Bagaimana membaca ATT&CK Matrix?
- Bagaimana menghubungkan aktivitas keamanan dengan technique?
Setelah konsep tersebut dikuasai, membaca halaman teknik akan menjadi jauh lebih mudah.
Kesalahan Pemula Saat Belajar MITRE ATT&CK
1. Mencoba Menghafal Semua ID
Mengingat kode seperti Txxxx memang berguna dalam pekerjaan, tetapi jangan menjadikannya tujuan utama belajar.
Yang lebih penting adalah memahami perilaku di balik ID tersebut.
2. Menganggap Semua Teknik Harus Dideteksi
Tidak semua teknik memiliki tingkat relevansi yang sama bagi setiap organisasi.
Prioritaskan berdasarkan threat model, aset, industri, dan threat actor yang relevan.
3. Menganggap ATT&CK Sebagai Checklist Keamanan
ATT&CK bukan checklist yang jika semua kotak berwarna hijau berarti organisasi sudah aman.
MITRE secara eksplisit mengingatkan agar framework tidak diperlakukan hanya sebagai checklist coverage.
4. Hanya Fokus pada Teknik Tanpa Konteks
Satu teknik yang sama dapat muncul dalam berbagai jenis serangan.
Karena itu, analyst tetap harus melihat konteks: siapa threat actor-nya, targetnya apa, kapan aktivitas terjadi, dan bukti apa yang tersedia.
5. Menganggap ATT&CK Menggambarkan Semua Kemungkinan Serangan
ATT&CK didasarkan pada perilaku adversary yang telah diamati dan didokumentasikan.
MITRE sendiri mengingatkan bahwa defender tidak boleh membatasi diri hanya pada perilaku yang sudah tercatat di matrix karena adversary dapat memiliki perilaku lain yang belum terdokumentasi.
Roadmap Belajar MITRE ATT&CK untuk Pemula
Kalau kamu benar-benar baru memulai, jangan langsung membuka ratusan halaman teknik.
Gunakan roadmap sederhana berikut.
Level 1: Pahami Konsep Dasar
- Kenali MITRE ATT&CK.
- Pahami fungsi framework.
- Pelajari perbedaan tactic dan technique.
- Pahami sub-technique dan procedure.
Level 2: Pelajari Enterprise Matrix
Mulailah membaca tactic satu per satu.
Tidak perlu menghafal.
Fokus memahami tujuan attacker pada setiap tahap.
Level 3: Pelajari Teknik Populer
Pilih beberapa teknik yang sering muncul dalam laporan keamanan dan pelajari:
- tujuan teknik,
- contoh perilaku,
- platform yang relevan,
- data source yang dapat membantu deteksi,
- mitigasi yang tersedia.
Level 4: Latihan Mapping
Ambil sebuah laporan insiden publik.
Kemudian coba tandai:
Aktivitas attacker → Tactic → Technique → Sub-technique
Latihan seperti ini jauh lebih efektif daripada sekadar menghafalkan tabel.
Level 5: Mulai Threat Hunting
Setelah memahami konsep, mulai tanyakan:
“Kalau technique ini terjadi di lingkungan saya, bukti apa yang akan terlihat?”
Pertanyaan tersebut akan menghubungkan pengetahuan ATT&CK dengan kemampuan SOC dan threat hunting.
Tools yang Bisa Membantu Belajar MITRE ATT&CK
MITRE menyediakan berbagai sumber daya untuk mempelajari dan menggunakan ATT&CK.
Salah satunya adalah ATT&CK Navigator, yang dapat digunakan untuk memvisualisasikan coverage, perencanaan red/blue team, serta berbagai analisis berbasis technique.
Selain Navigator, dokumentasi resmi MITRE juga menyediakan halaman tactic, technique, sub-technique, group, software, mitigation, dan sumber daya pembelajaran.
Untuk pemula, sebaiknya mulai dari dokumentasi resmi daripada langsung bergantung pada artikel atau video pihak ketiga.
MITRE ATT&CK vs Cyber Kill Chain
Pemula sering menemukan MITRE ATT&CK dan Cyber Kill Chain dalam materi cybersecurity.
Keduanya dapat digunakan untuk memahami aktivitas serangan, tetapi keduanya bukan hal yang sama.
Cyber Kill Chain memberikan model tingkat tinggi mengenai tahapan serangan.
ATT&CK memberikan detail yang jauh lebih granular mengenai perilaku adversary dan teknik yang digunakan.
Karena itu, keduanya dapat digunakan secara komplementer.
Salah satu pendekatan adalah menggunakan model tingkat tinggi untuk memahami gambaran besar, lalu menggunakan ATT&CK ketika membutuhkan detail perilaku attacker.
Kenapa MITRE ATT&CK Sangat Relevan untuk Karier Cybersecurity?
Jika kamu ingin masuk ke bidang:
- SOC Analyst
- Threat Intelligence
- Threat Hunter
- Detection Engineer
- Incident Response
- Red Team
- Security Operations
memahami ATT&CK dapat menjadi fondasi yang sangat berguna.
Bukan karena setiap pekerjaan mengharuskan kamu menghafal semua teknik, tetapi karena framework ini mengajarkan cara berpikir berdasarkan perilaku adversary.
Dan cara berpikir tersebut sangat penting dalam cybersecurity.
Kesimpulan: MITRE ATT&CK adalah Peta untuk Memahami Perilaku Attacker
MITRE ATT&CK mungkin terlihat rumit ketika pertama kali kamu membukanya.
Ratusan teknik, sub-technique, berbagai ID, kelompok threat actor, software, dan matrix yang besar memang dapat membuat pemula merasa kewalahan.
Namun, sebenarnya konsep dasarnya cukup sederhana.
Tactics menjelaskan tujuan.
Techniques menjelaskan cara.
Sub-techniques memberikan detail yang lebih spesifik.
Procedures menunjukkan bagaimana perilaku tersebut diterapkan di dunia nyata.
Dari sana, kamu dapat menggunakan ATT&CK untuk memahami laporan ancaman, melakukan threat intelligence, membangun detection, melakukan threat hunting, maupun merencanakan simulasi serangan. MITRE sendiri menempatkan threat intelligence, detection and analytics, serta adversary emulation sebagai beberapa penggunaan utama ATT&CK.
Jadi, jangan mulai belajar MITRE ATT&CK dengan pertanyaan:
“Bagaimana saya bisa menghafal semuanya?”
Mulailah dengan pertanyaan yang lebih tepat:
“Bagaimana attacker berperilaku, apa tujuan mereka, dan bagaimana saya bisa mengenali perilaku tersebut?”
Begitu pola pikir ini terbentuk, MITRE ATT&CK bukan lagi sekadar tabel berisi kode Txxxx.
Ia berubah menjadi peta yang membantu kamu memahami cara kerja serangan siber.
Dan bagi seorang pemula yang ingin serius berkarier di cybersecurity, kemampuan membaca peta tersebut adalah salah satu fondasi yang sangat berharga.
FAQ MITRE ATT&CK untuk Pemula
Apakah MITRE ATT&CK gratis?
MITRE menyediakan ATT&CK sebagai knowledge base yang dapat diakses publik melalui situs resminya. Dokumentasi, matrix, dan berbagai sumber daya pembelajaran tersedia secara online.
Apakah MITRE ATT&CK adalah tools?
Bukan dalam pengertian tools seperti scanner atau antivirus. ATT&CK adalah knowledge base dan model perilaku adversary. Namun, terdapat tools pendukung seperti ATT&CK Navigator yang dapat digunakan untuk visualisasi dan analisis.
Apakah pemula harus belajar semua teknik MITRE ATT&CK?
Tidak. Mulailah dengan memahami konsep tactic, technique, sub-technique, dan procedure. Setelah itu, pelajari teknik yang paling relevan dengan bidang yang ingin kamu tekuni.
Apakah MITRE ATT&CK hanya digunakan oleh SOC?
Tidak. ATT&CK dapat digunakan untuk threat intelligence, detection and analytics, threat hunting, red teaming, adversary emulation, dan berbagai kebutuhan keamanan lainnya.
Apakah MITRE ATT&CK sama dengan Cyber Kill Chain?
Tidak. Keduanya merupakan model yang berbeda dan dapat saling melengkapi. ATT&CK memberikan detail granular mengenai perilaku adversary, sedangkan model lain dapat digunakan untuk memberikan gambaran tingkat tinggi mengenai tahapan serangan.
Apakah ATT&CK selalu mencakup semua teknik attacker?
Tidak. ATT&CK terutama mendokumentasikan perilaku yang telah diamati dan dikurasi. Adversary dapat menggunakan perilaku yang belum terdokumentasi. Karena itu, defender tidak seharusnya menganggap matrix sebagai gambaran sempurna dari seluruh kemungkinan serangan.
Memahami Struktur MITRE ATT&CK untuk Pemula
Bagi pemula, tampilan MITRE ATT&CK mungkin terlihat cukup rumit. Ada banyak kode seperti T1059, T1055, T1566, dan berbagai istilah seperti tactic, technique, sub-technique, procedure, hingga mitigation.
Namun sebenarnya konsep dasarnya cukup sederhana. MITRE ATT&CK dapat dipahami seperti sebuah peta yang menjelaskan apa tujuan attacker, teknik apa yang digunakan, dan bagaimana teknik tersebut biasanya dilakukan di dunia nyata.
Untuk memahaminya, kamu perlu mengenal beberapa komponen utama:
- Tactic — menjelaskan tujuan atau alasan attacker melakukan sebuah tindakan.
- Technique — menjelaskan metode yang digunakan attacker untuk mencapai tujuan tersebut.
- Sub-technique — menjelaskan variasi yang lebih spesifik dari sebuah teknik.
- Procedure Example — contoh bagaimana teknik tersebut pernah digunakan oleh threat actor.
- Mitigation — langkah yang dapat dilakukan organisasi untuk mengurangi risiko teknik tersebut.
- Detection — pendekatan yang dapat digunakan defender untuk mendeteksi aktivitas terkait.
Dengan memahami hubungan antarbagian tersebut, kamu tidak lagi melihat MITRE ATT&CK sebagai sekadar daftar kode. Kamu mulai melihatnya sebagai gambaran perjalanan sebuah serangan.
Perbedaan Tactic dan Technique dalam MITRE ATT&CK
Salah satu kesalahan paling umum yang dilakukan pemula adalah menganggap tactic dan technique sebagai hal yang sama.
Padahal keduanya memiliki fungsi berbeda.
Tactic menjawab pertanyaan: "Apa tujuan attacker?"
Sementara itu:
Technique menjawab pertanyaan: "Bagaimana attacker mencapai tujuan tersebut?"
Contohnya, attacker ingin mendapatkan kredensial dari sebuah sistem. Tujuannya dapat dikategorikan ke dalam tactic Credential Access.
Untuk mencapai tujuan tersebut, attacker dapat menggunakan berbagai teknik, misalnya mencoba menemukan kredensial yang tersimpan secara tidak aman atau memanfaatkan metode lain yang dikategorikan dalam teknik Credential Access.
Jadi, pola berpikir sederhananya adalah:
Tactic → tujuan serangan
Technique → metode untuk mencapai tujuan
Sub-technique → metode yang lebih spesifik
Cara berpikir seperti ini sangat membantu ketika kamu mulai melakukan threat hunting.
Mengenal Tactic dalam MITRE ATT&CK
Tactic merupakan salah satu fondasi utama MITRE ATT&CK. Secara sederhana, tactic menggambarkan tujuan yang ingin dicapai threat actor selama sebuah operasi.
Misalnya, attacker mungkin ingin mendapatkan akses awal, mempertahankan akses, mendapatkan kredensial, melakukan discovery terhadap lingkungan korban, atau mengambil data.
Beberapa contoh kategori tactic yang akan sering kamu temui antara lain:
- Initial Access — bagaimana attacker mendapatkan akses pertama ke lingkungan target.
- Execution — bagaimana attacker menjalankan kode atau perintah.
- Persistence — bagaimana attacker mempertahankan akses.
- Privilege Escalation — bagaimana attacker memperoleh hak akses yang lebih tinggi.
- Defense Evasion — bagaimana attacker menghindari atau menghambat mekanisme keamanan.
- Credential Access — bagaimana attacker berusaha mendapatkan kredensial.
- Discovery — bagaimana attacker mempelajari sistem dan lingkungan korban.
- Lateral Movement — bagaimana attacker berpindah dari satu sistem ke sistem lainnya.
- Collection — bagaimana attacker mengumpulkan data yang dianggap bernilai.
- Command and Control — bagaimana attacker mempertahankan komunikasi dengan sistem yang telah dikompromikan.
- Exfiltration — bagaimana data dibawa keluar dari lingkungan target.
- Impact — bagaimana attacker memberikan dampak terhadap ketersediaan, integritas, atau operasi sistem.
Daftar tersebut membantu analyst memahami posisi sebuah aktivitas dalam keseluruhan attack lifecycle.
Namun perlu diingat, sebuah serangan nyata tidak selalu berjalan secara lurus dari satu tactic ke tactic berikutnya. Threat actor dapat berpindah, mengulang tahapan, atau menggunakan beberapa teknik secara bersamaan.
Apa Itu Technique dan Sub-technique?
Setelah memahami tactic, langkah berikutnya adalah memahami technique.
Technique memberikan gambaran yang lebih konkret mengenai cara threat actor melakukan suatu aktivitas.
Sebagai contoh, salah satu teknik yang sering dibahas dalam konteks serangan Windows adalah Command and Scripting Interpreter. Teknik ini menggambarkan penggunaan interpreter atau mekanisme scripting untuk menjalankan perintah.
Teknik tersebut kemudian dapat memiliki sub-technique yang menjelaskan interpreter tertentu secara lebih spesifik.
Struktur seperti ini sangat berguna bagi Threat Intelligence Analyst karena sebuah istilah umum dapat dipecah menjadi aktivitas yang jauh lebih spesifik.
Daripada hanya mengatakan:
"Attacker menjalankan command."
Analyst dapat mengategorikan aktivitas tersebut berdasarkan konteks dan teknik ATT&CK yang sesuai.
Hasilnya, komunikasi antaranggota tim menjadi lebih konsisten.
Mengapa Kode Seperti T1059 dan T1055 Penting?
Kamu mungkin sering melihat kode seperti T1059 atau T1055 ketika membaca laporan threat intelligence.
Kode tersebut merupakan identifier yang digunakan untuk mengidentifikasi teknik atau sub-technique tertentu dalam MITRE ATT&CK.
Penggunaan identifier membuat komunikasi keamanan menjadi jauh lebih ringkas.
Bayangkan seorang analyst menulis laporan dengan kalimat panjang seperti:
"Threat actor menggunakan teknik untuk menyisipkan kode atau instruksi ke dalam proses lain agar dapat menjalankan aktivitas tertentu."
Dalam konteks yang tepat, analyst dapat menghubungkannya dengan teknik ATT&CK yang relevan, sehingga tim lain dapat langsung memahami kategori aktivitas yang dimaksud.
Inilah salah satu alasan MITRE ATT&CK sangat populer dalam lingkungan SOC, threat intelligence, incident response, dan red team.
MITRE ATT&CK dan Threat Intelligence
Lalu bagaimana sebenarnya hubungan MITRE ATT&CK dengan Threat Intelligence?
Jawabannya sangat erat.
Threat Intelligence bukan sekadar mengumpulkan daftar IP address, domain, hash, atau nama malware. Informasi tersebut memang penting, tetapi intelligence yang baik harus menjelaskan konteks dan perilaku di balik indikator tersebut.
Misalnya, sebuah Threat Intelligence Analyst mendapatkan informasi bahwa suatu kelompok ancaman menggunakan malware tertentu.
Informasi yang masih sederhana adalah:
- Nama malware
- Hash file
- Domain
- IP address
Namun analyst dapat menggali lebih dalam:
- Bagaimana malware tersebut mendapatkan initial access?
- Bagaimana malware melakukan execution?
- Bagaimana malware mempertahankan persistence?
- Bagaimana malware melakukan discovery?
- Bagaimana malware berkomunikasi dengan command and control?
- Bagaimana data dikumpulkan dan dieksfiltrasi?
Ketika aktivitas tersebut dipetakan ke MITRE ATT&CK, analyst mendapatkan gambaran perilaku threat actor yang jauh lebih lengkap.
Dari IOC Menuju TTP: Cara Berpikir Threat Intelligence Analyst
Salah satu konsep penting yang perlu dipahami pemula adalah perbedaan antara IOC dan TTP.
IOC atau Indicator of Compromise dapat berupa informasi seperti hash file, IP address, domain, URL, atau artefak lain yang berhubungan dengan aktivitas mencurigakan.
Sementara TTP adalah singkatan dari Tactics, Techniques, and Procedures.
IOC dapat berubah dengan cepat. Attacker dapat mengganti domain, server, hash malware, atau infrastruktur lainnya.
TTP cenderung memberikan perspektif yang lebih dalam karena berfokus pada bagaimana attacker beroperasi.
Inilah alasan mengapa Threat Intelligence modern tidak boleh hanya bergantung pada daftar IOC.
Jika defender hanya memblokir satu IP address, attacker dapat mengganti infrastrukturnya.
Namun jika defender memahami pola perilaku attacker dan memetakan aktivitas tersebut menggunakan MITRE ATT&CK, peluang untuk mendeteksi aktivitas serupa di masa depan menjadi lebih besar.
Contoh Sederhana Threat Hunting Menggunakan MITRE ATT&CK
Sekarang kita masuk ke contoh sederhana agar konsepnya lebih mudah dipahami.
Misalkan sebuah organisasi mendapatkan informasi bahwa threat actor tertentu sering menggunakan teknik tertentu setelah berhasil mendapatkan akses awal.
Threat Intelligence Analyst kemudian tidak hanya mencari nama threat actor tersebut.
Analyst dapat membuat pertanyaan:
- Teknik apa saja yang sering digunakan?
- Log apa yang seharusnya tersedia jika teknik tersebut dilakukan?
- Endpoint mana yang paling relevan untuk dipantau?
- Apakah SIEM sudah memiliki detection rule yang sesuai?
- Apakah EDR dapat memberikan telemetry yang dibutuhkan?
Dari sini, informasi threat intelligence berubah menjadi aktivitas threat hunting.
Ini merupakan salah satu kemampuan penting seorang Threat Intelligence Analyst: mengubah informasi menjadi tindakan yang dapat dilakukan defender.
Contoh Alur Kerja MITRE ATT&CK di SOC
Untuk pemula, kamu dapat membayangkan workflow sederhana seperti berikut:
- Alert muncul dari SIEM, EDR, firewall, atau sumber monitoring lainnya.
- Analyst melakukan triage untuk menentukan apakah aktivitas tersebut normal atau mencurigakan.
- Artefak dikumpulkan, misalnya process name, command line, user account, hostname, network connection, dan timestamp.
- Aktivitas dipetakan ke tactic dan technique MITRE ATT&CK yang relevan.
- Analyst mencari hubungan dengan aktivitas lain untuk melihat apakah terdapat rangkaian serangan.
- Threat intelligence diperiksa untuk mengetahui apakah pola tersebut pernah dikaitkan dengan threat actor tertentu.
- Detection dan response diperkuat berdasarkan hasil investigasi.
Workflow ini menunjukkan bahwa MITRE ATT&CK bukan hanya digunakan setelah insiden terjadi.
Framework tersebut juga dapat digunakan untuk meningkatkan kemampuan deteksi sebelum organisasi mengalami serangan yang lebih besar.
MITRE ATT&CK untuk Blue Team
Bagi blue team, MITRE ATT&CK dapat digunakan untuk mengevaluasi seberapa baik organisasi mampu mendeteksi dan merespons teknik serangan tertentu.
Misalnya, organisasi memiliki banyak log tetapi belum tentu semua log tersebut menghasilkan deteksi yang berguna.
Dengan melakukan mapping terhadap ATT&CK, tim keamanan dapat bertanya:
"Teknik serangan apa yang sudah bisa kami deteksi?"
dan:
"Teknik apa yang masih menjadi blind spot?"
Jawaban atas pertanyaan tersebut dapat digunakan untuk menentukan prioritas peningkatan keamanan.
Contohnya, jika sebuah organisasi memiliki visibilitas yang baik terhadap aktivitas endpoint tetapi sangat minim telemetry untuk cloud environment, maka tim dapat memprioritaskan pengumpulan data dan pengembangan detection pada area tersebut.
MITRE ATT&CK untuk Red Team
MITRE ATT&CK juga sangat berguna bagi red team.
Red team dapat menggunakan framework ini sebagai bahasa untuk merencanakan simulasi adversary secara terstruktur.
Daripada melakukan pengujian secara acak, tim dapat menentukan skenario berdasarkan perilaku threat actor yang relevan dengan organisasi.
Misalnya, jika organisasi bergerak di sektor finansial, red team dapat memilih skenario berdasarkan teknik yang relevan dengan threat actor yang secara historis menargetkan sektor tersebut.
Tujuannya bukan sekadar "berhasil masuk", tetapi menguji apakah organisasi mampu:
- mendeteksi aktivitas mencurigakan;
- menghubungkan beberapa alert menjadi satu incident;
- merespons aktivitas dengan cepat;
- mengidentifikasi teknik yang digunakan attacker;
- memperbaiki detection gap setelah latihan selesai.
MITRE ATT&CK untuk Incident Response
Ketika insiden terjadi, waktu menjadi faktor yang sangat penting.
Incident responder harus dapat memahami apa yang dilakukan attacker, bagaimana mereka masuk, sejauh mana akses berkembang, dan apakah masih terdapat aktivitas berbahaya di lingkungan organisasi.
MITRE ATT&CK dapat membantu investigator menyusun aktivitas tersebut menjadi sebuah gambaran yang lebih terstruktur.
Misalnya, investigator menemukan beberapa aktivitas berbeda:
- akun pengguna digunakan secara tidak biasa;
- terdapat proses mencurigakan pada endpoint;
- terdapat koneksi jaringan ke infrastruktur eksternal;
- terdapat aktivitas discovery setelah login;
- beberapa sistem internal kemudian diakses.
Masing-masing aktivitas dapat dianalisis dan dipetakan ke teknik yang sesuai.
Hasil akhirnya dapat membantu responder memahami kemungkinan attack chain dan menentukan langkah investigasi berikutnya.
Kesalahan Pemula Saat Belajar MITRE ATT&CK
Belajar MITRE ATT&CK tidak harus dilakukan dengan menghafalkan seluruh teknik.
Justru menghafalkan ratusan kode tanpa memahami konsepnya merupakan pendekatan yang kurang efektif.
Berikut beberapa kesalahan yang sering terjadi.
1. Terlalu fokus menghafal ID
Kode teknik memang berguna, tetapi yang jauh lebih penting adalah memahami perilaku yang direpresentasikan oleh teknik tersebut.
2. Menganggap satu aktivitas hanya memiliki satu teknik
Aktivitas attacker dapat memiliki konteks yang kompleks dan berhubungan dengan beberapa teknik. Analyst harus melihat keseluruhan konteks, bukan hanya satu indikator.
3. Tidak memahami sumber data
Memetakan teknik saja tidak cukup. Analyst juga perlu memahami telemetry apa yang dapat membuktikan aktivitas tersebut.
4. Menganggap ATT&CK sebagai checklist serangan
MITRE ATT&CK bukan daftar langkah yang harus dilakukan attacker secara berurutan. Framework ini lebih tepat dipahami sebagai knowledge base mengenai perilaku adversary.
5. Mengabaikan konteks organisasi
Tidak semua teknik memiliki tingkat risiko yang sama untuk setiap organisasi. Threat model, teknologi, aset, dan sektor bisnis harus dipertimbangkan.
Bagaimana Cara Belajar MITRE ATT&CK dari Nol?
Jika kamu masih pemula, jangan mencoba mempelajari semuanya sekaligus.
Gunakan pendekatan bertahap.
Tahap 1: Pahami konsep dasar
Pelajari terlebih dahulu pengertian tactic, technique, sub-technique, IOC, TTP, threat actor, dan attack lifecycle.
Tahap 2: Pilih beberapa tactic
Mulailah dengan tactic yang sering muncul dalam investigasi seperti Initial Access, Execution, Persistence, Credential Access, Discovery, dan Command and Control.
Tahap 3: Pelajari contoh nyata
Jangan hanya membaca definisi. Cari laporan threat intelligence dan perhatikan bagaimana aktivitas threat actor dipetakan ke ATT&CK.
Tahap 4: Hubungkan dengan log
Mulailah bertanya: jika teknik tersebut digunakan, bukti apa yang mungkin muncul di endpoint, network, authentication system, atau SIEM?
Tahap 5: Latihan threat hunting
Gunakan lab cybersecurity yang legal untuk berlatih mencari pola aktivitas berdasarkan teknik tertentu.
Tahap 6: Belajar membuat detection
Setelah memahami perilaku attacker, pelajari bagaimana aktivitas tersebut dapat diterjemahkan menjadi alert atau detection rule.
Apakah Pemula Harus Menguasai Semua Teknik?
Jawabannya: tidak.
MITRE ATT&CK memiliki cakupan yang sangat luas. Seorang pemula tidak perlu menghafalkan seluruh teknik sebelum mulai melakukan threat intelligence.
Yang jauh lebih penting adalah memiliki kemampuan untuk:
- mencari teknik yang relevan;
- memahami deskripsi dan konteksnya;
- membaca procedure example;
- memahami data yang dibutuhkan untuk mendeteksinya;
- menghubungkan teknik dengan threat actor;
- mengubah informasi tersebut menjadi langkah defensif.
Dengan kata lain, kemampuan mencari, memahami, dan menerapkan informasi jauh lebih penting daripada kemampuan menghafalnya.
MITRE ATT&CK Bukan Pengganti Skill Dasar Cybersecurity
Ini merupakan poin penting bagi siapa pun yang baru mulai belajar Threat Intelligence.
MITRE ATT&CK adalah framework, bukan pengganti pemahaman fundamental cybersecurity.
Kamu tetap perlu memahami dasar-dasar seperti:
- jaringan komputer;
- DNS dan HTTP;
- sistem operasi Windows dan Linux;
- authentication dan authorization;
- log dan monitoring;
- malware dasar;
- incident response;
- konsep vulnerability dan exploitation.
Semakin kuat pemahaman fundamental kamu, semakin mudah membaca informasi yang ada di MITRE ATT&CK.
Sebaliknya, jika hanya menghafalkan teknik tanpa memahami sistem yang dianalisis, kamu akan kesulitan menentukan apakah sebuah aktivitas benar-benar mencurigakan atau hanya perilaku normal.
Kesimpulan: MITRE ATT&CK adalah Peta untuk Memahami Perilaku Attacker
MITRE ATT&CK merupakan salah satu framework yang sangat penting untuk dipahami oleh calon Threat Intelligence Analyst, SOC Analyst, incident responder, blue team, maupun red team.
Kekuatan utamanya bukan sekadar pada banyaknya teknik yang tersedia, tetapi pada kemampuannya memberikan bahasa dan struktur untuk menjelaskan bagaimana threat actor beroperasi.
Dengan memahami framework ini, kamu dapat mulai melihat cybersecurity dari sudut pandang yang berbeda.
Bukan hanya bertanya:
"Malware apa yang digunakan?"
Tetapi mulai bertanya:
"Apa tujuan attacker?"
"Teknik apa yang digunakan?"
"Apa bukti aktivitas tersebut di lingkungan kita?"
"Bagaimana kita bisa mendeteksinya?"
Dan yang paling penting:
"Apa yang kemungkinan akan dilakukan attacker berikutnya?"
Perubahan cara berpikir inilah yang membuat MITRE ATT&CK sangat berharga dalam Threat Intelligence.
Untuk pemula, jangan mencoba menguasai seluruh framework dalam satu malam. Mulailah dari konsep tactic dan technique, pelajari beberapa teknik yang umum, baca contoh serangan nyata, lalu hubungkan semuanya dengan log dan proses threat hunting.
Setelah terbiasa, kamu akan mulai melihat bahwa sebuah alert bukan hanya sebuah notifikasi.
Di balik sebuah alert mungkin terdapat bagian dari sebuah attack chain.
Dan tugas seorang Threat Intelligence Analyst adalah menghubungkan potongan-potongan tersebut hingga menjadi gambaran yang dapat digunakan untuk melindungi organisasi.
Itulah inti dari belajar MITRE ATT&CK: bukan menghafal kode, tetapi memahami cara berpikir adversary dan mengubah pemahaman tersebut menjadi pertahanan yang lebih baik.
Checklist Belajar MITRE ATT&CK untuk Pemula
Sebelum melanjutkan ke materi yang lebih advanced, pastikan kamu sudah memahami beberapa hal berikut:
- ✓ Apa itu MITRE ATT&CK
- ✓ Perbedaan tactic dan technique
- ✓ Fungsi sub-technique
- ✓ Pengertian IOC dan TTP
- ✓ Hubungan MITRE ATT&CK dengan Threat Intelligence
- ✓ Cara membaca teknik berdasarkan konteks serangan
- ✓ Cara menghubungkan teknik dengan aktivitas pada endpoint dan network
- ✓ Peran MITRE ATT&CK dalam threat hunting
- ✓ Peran ATT&CK dalam SOC dan incident response
- ✓ Pentingnya detection dan telemetry
- ✓ Cara menggunakan framework sebagai alat analisis, bukan sekadar checklist
Jika semua poin tersebut sudah mulai kamu pahami, fondasi kamu untuk masuk ke dunia Threat Intelligence sudah jauh lebih kuat.
Langkah berikutnya adalah praktik. Pilih satu teknik ATT&CK, pelajari cara kerjanya secara defensif, cari contoh aktivitasnya pada laporan keamanan, kemudian coba tentukan log apa yang dapat digunakan untuk mendeteksinya di sebuah lab yang kamu miliki atau memang kamu berwenang mengujinya.
Dari latihan sederhana tersebut, kamu akan mulai membangun pola pikir seorang analyst: observasi → klasifikasi → korelasi → investigasi → deteksi → respons.
Posting Komentar