Di tengah meningkatnya jumlah dan kompleksitas serangan siber, perusahaan membutuhkan sistem keamanan yang tidak hanya mampu mendeteksi ancaman, tetapi juga mampu memahami apa yang sebenarnya terjadi di balik sebuah alert.
Setiap hari, tim Security Operations Center (SOC) dapat menerima ratusan hingga ribuan notifikasi dari berbagai sistem keamanan, seperti SIEM, Firewall, IDS/IPS, EDR, antivirus, email security, dan berbagai sumber log lainnya.
Namun, banyaknya data keamanan tidak otomatis membuat sebuah organisasi menjadi lebih aman.
Justru sebaliknya, terlalu banyak data tanpa konteks dapat membuat analis kesulitan menentukan mana aktivitas normal, mana aktivitas mencurigakan, dan mana yang benar-benar merupakan ancaman.
Di sinilah muncul dua istilah penting dalam dunia Cyber Security, yaitu Threat Data dan Threat Intelligence.
Keduanya sering dianggap sama karena sama-sama berkaitan dengan ancaman siber. Padahal, terdapat perbedaan penting antara keduanya.
Secara sederhana:
Threat Data adalah data mentah mengenai potensi ancaman, sedangkan Threat Intelligence adalah informasi mengenai ancaman yang telah dianalisis, diberi konteks, dan dapat digunakan untuk mengambil tindakan.
Memahami perbedaan ini sangat penting bagi siapa saja yang ingin belajar SOC Analyst, Threat Intelligence, Incident Response, Blue Team, maupun bidang Cyber Security secara umum.
Pada artikel ini, kita akan membahas secara lengkap apa itu Threat Data, apa itu Threat Intelligence, perbedaannya, contoh kasus, proses mengubah data menjadi intelligence, hubungan dengan SIEM, serta alasan mengapa kemampuan ini penting bagi seorang SOC Analyst.
Apa Itu Threat Data?
Threat Data adalah data mentah yang berkaitan dengan aktivitas atau potensi ancaman keamanan siber.
Data tersebut biasanya dikumpulkan dari berbagai sumber sebelum dilakukan analisis lebih lanjut.
Contohnya:
IP address mencurigakan.
Domain mencurigakan.
URL berbahaya.
Hash file malware.
Email mencurigakan.
Log login gagal.
Alert antivirus.
Alert EDR.
Event dari firewall.
DNS query.
Aktivitas endpoint.
Informasi vulnerability.
Data dari threat feed.
Pada tahap awal, data tersebut belum tentu membuktikan bahwa serangan benar-benar terjadi.
Misalnya sebuah SIEM menghasilkan event:
"50 failed login attempts from IP 203.x.x.x"
Informasi tersebut merupakan data keamanan.
Namun, apakah itu serangan?
Belum tentu.
Bisa saja:
User salah memasukkan password.
Aplikasi mengalami masalah autentikasi.
Password policy baru diterapkan.
Sistem otomatis melakukan retry.
Atau memang sedang terjadi brute force attack.
Tanpa konteks tambahan, seorang SOC Analyst belum seharusnya langsung menyimpulkan bahwa sebuah IP merupakan attacker.
Ciri-Ciri Threat Data
Threat Data biasanya memiliki beberapa karakteristik.
1. Masih Mentah
Data belum melalui proses analisis yang mendalam.
2. Memiliki Sedikit Konteks
Data mungkin hanya menunjukkan apa yang terjadi, tetapi belum menjelaskan mengapa hal tersebut terjadi.
3. Jumlahnya Sangat Banyak
Organisasi dapat menghasilkan jutaan event keamanan dalam periode tertentu.
4. Belum Tentu Relevan
Tidak semua data yang terlihat mencurigakan berkaitan dengan lingkungan organisasi.
5. Membutuhkan Analisis
SOC Analyst perlu menghubungkan data tersebut dengan sumber lain sebelum mengambil kesimpulan.
Dengan kata lain, Threat Data adalah bahan mentah yang nantinya dapat digunakan untuk menghasilkan Threat Intelligence.
Apa Itu Threat Intelligence?
Threat Intelligence adalah informasi mengenai ancaman siber yang telah dikumpulkan, dianalisis, diberi konteks, dan menghasilkan insight yang dapat digunakan untuk mengambil keputusan atau tindakan.
Perbedaan utamanya terletak pada konteks dan kegunaan.
Threat Intelligence tidak hanya mengatakan:
"IP 203.x.x.x mencurigakan."
Tetapi dapat menjelaskan:
"IP tersebut memiliki hubungan dengan aktivitas brute force yang menargetkan layanan VPN, memiliki riwayat aktivitas berbahaya, dan pola serangannya relevan dengan infrastruktur organisasi."
Informasi seperti ini jauh lebih berguna bagi SOC Analyst.
Dengan adanya konteks, analyst dapat menentukan:
Apakah aktivitas tersebut benar-benar berbahaya?
Apakah organisasi sedang menjadi target?
Sistem apa yang terdampak?
Siapa yang mungkin menjadi target?
Teknik apa yang digunakan?
Seberapa besar risikonya?
Apa tindakan yang harus dilakukan?
Ciri-Ciri Threat Intelligence
Threat Intelligence yang berkualitas biasanya memiliki beberapa karakteristik.
Kontekstual
Data memiliki informasi tambahan yang membantu memahami maknanya.
Relevan
Informasi berkaitan dengan lingkungan, aset, industri, atau ancaman yang dihadapi organisasi.
Terverifikasi
Informasi telah dianalisis dan dibandingkan dengan sumber yang sesuai.
Actionable
Informasi dapat digunakan untuk mengambil tindakan.
Tepat Waktu
Informasi tersedia ketika masih relevan untuk digunakan dalam proses pertahanan.
Karena itu, Threat Intelligence bukan sekadar kumpulan daftar IP atau domain berbahaya.
Threat Intelligence adalah proses mengubah informasi mengenai ancaman menjadi insight yang membantu organisasi mengambil keputusan keamanan.
Perbedaan Threat Data dan Threat Intelligence
Agar lebih mudah dipahami, berikut perbandingannya.
| Aspek | Threat Data | Threat Intelligence |
|---|---|---|
| Bentuk | Data mentah | Informasi yang telah dianalisis |
| Konteks | Terbatas | Memiliki konteks |
| Analisis | Belum atau minimal | Sudah dianalisis |
| Relevansi | Belum tentu relevan | Lebih relevan |
| Tujuan | Bahan analisis | Mendukung keputusan |
| Actionable | Tidak selalu | Lebih actionable |
| Contoh | IP, hash, log | Analisis kampanye serangan |
| Pengguna | Sistem dan analyst | Analyst, security team, manajemen |
Jadi, jangan menganggap Threat Data dan Threat Intelligence sebagai dua istilah yang sepenuhnya sama.
Threat Data dapat menjadi bahan untuk menghasilkan Threat Intelligence.
Contoh Sederhana Threat Data vs Threat Intelligence
Bayangkan sebuah sistem keamanan mendeteksi:
100 login gagal dari satu IP address dalam waktu 10 menit.
Informasi tersebut adalah:
Threat Data.
Mengapa?
Karena kita baru mengetahui sebuah aktivitas.
Belum ada konteks yang cukup untuk memastikan apakah aktivitas tersebut merupakan serangan.
Kemudian SOC Analyst melakukan investigasi dan menemukan:
IP tersebut memiliki reputasi buruk.
IP terkait dengan aktivitas botnet.
Polanya menyerupai brute force.
Targetnya adalah akun dengan privilege tinggi.
Aktivitas terjadi pada waktu yang tidak biasa.
Beberapa akun lain juga menjadi target.
Setelah seluruh informasi tersebut dianalisis, kita memperoleh gambaran yang jauh lebih jelas.
Sekarang informasi tersebut dapat menjadi bagian dari:
Threat Intelligence.
SOC Analyst dapat mengambil tindakan seperti:
Memblokir sumber serangan.
Melakukan eskalasi incident.
Memperketat monitoring.
Memeriksa akun yang ditargetkan.
Melakukan pemeriksaan endpoint.
Memastikan tidak ada akun yang berhasil dikompromikan.
Analogi Sederhana: Data vs Intelligence
Untuk memahami konsep ini dengan mudah, bayangkan seorang dokter.
Hasil pemeriksaan laboratorium seperti angka tekanan darah, suhu tubuh, dan hasil tes tertentu adalah data.
Dokter kemudian menggabungkan:
Data pasien.
Riwayat kesehatan.
Gejala.
Hasil pemeriksaan.
Konteks lainnya.
Setelah dianalisis, dokter dapat membuat kesimpulan dan menentukan tindakan.
Konsepnya mirip dalam Cyber Security.
Threat Data = hasil observasi
Threat Intelligence = hasil analisis yang memberikan pemahaman dan arah tindakan
Analogi ini membantu kita memahami mengapa seorang SOC Analyst tidak cukup hanya bisa membaca log.
Mereka juga harus mampu memahami konteks di balik log tersebut.
Dari Mana Threat Data Diperoleh?
Threat Data dapat berasal dari berbagai sumber.
Beberapa di antaranya adalah:
SIEM
Security Information and Event Management (SIEM) mengumpulkan dan mengkorelasikan log dari berbagai sumber.
Contohnya:
Firewall.
Server.
Endpoint.
Authentication system.
Cloud.
Application.
Network device.
SIEM menjadi salah satu sumber data penting bagi SOC.
Firewall
Firewall dapat menghasilkan informasi mengenai koneksi jaringan.
Contohnya:
Source IP.
Destination IP.
Port.
Protocol.
Action.
Timestamp.
Data tersebut dapat digunakan untuk melihat aktivitas jaringan yang tidak biasa.
EDR
Endpoint Detection and Response (EDR) memberikan visibilitas terhadap aktivitas endpoint.
Misalnya:
Process execution.
File creation.
Network connection.
Registry activity.
User activity.
Informasi tersebut sangat berguna ketika analyst sedang melakukan investigasi.
IDS/IPS
IDS dan IPS dapat mendeteksi pola lalu lintas jaringan yang dianggap mencurigakan.
Data dari sistem tersebut dapat menjadi sumber untuk analisis ancaman.
Threat Feed
Organisasi juga dapat memperoleh informasi dari berbagai sumber threat feed.
Contohnya:
Malicious IP.
Malicious domain.
Malware hash.
URL berbahaya.
Informasi kampanye serangan.
Namun, tidak semua threat feed otomatis menjadi Threat Intelligence.
Data tersebut masih perlu divalidasi dan diberi konteks.
Apa Itu Threat Intelligence Lifecycle?
Threat Intelligence biasanya tidak berhenti pada pengumpulan data.
Terdapat proses yang dapat digunakan untuk menghasilkan intelligence yang berguna.
Secara umum, proses tersebut melibatkan beberapa tahap.
1. Direction
Menentukan kebutuhan intelligence.
Pertanyaan yang perlu dijawab misalnya:
Ancaman apa yang paling relevan bagi organisasi?
Kebutuhan perusahaan perbankan tentu berbeda dengan perusahaan manufaktur atau institusi pendidikan.
2. Collection
Mengumpulkan data dari berbagai sumber.
Misalnya:
SIEM.
EDR.
Firewall.
Threat feed.
Open-source intelligence.
Internal incident.
Security research.
3. Processing
Data yang terkumpul kemudian diproses agar lebih mudah dianalisis.
Data dapat:
Dibersihkan.
Dinormalisasi.
Dikategorikan.
Dikelompokkan.
Dihubungkan dengan sumber lain.
4. Analysis
Pada tahap ini, analyst mulai mencari makna di balik data.
Mereka dapat melihat:
Pola.
Hubungan.
Teknik serangan.
Target.
Infrastruktur attacker.
Timeline.
Dampak.
Inilah tahap yang sangat membedakan data dengan intelligence.
5. Dissemination
Hasil analisis kemudian disampaikan kepada pihak yang membutuhkan.
SOC Analyst mungkin membutuhkan informasi teknis.
Tim manajemen mungkin membutuhkan informasi mengenai:
Risiko.
Dampak bisnis.
Prioritas.
Rekomendasi tindakan.
Format informasi harus disesuaikan dengan kebutuhan penerimanya.
6. Feedback
Setelah intelligence digunakan, organisasi dapat memberikan feedback.
Feedback tersebut membantu menentukan kebutuhan intelligence berikutnya.
Dengan demikian, Threat Intelligence merupakan proses yang berkelanjutan.
Mengapa Threat Intelligence Penting bagi SOC Analyst?
SOC Analyst bekerja dalam lingkungan yang penuh dengan data.
Masalahnya bukan kekurangan data.
Masalahnya justru sering kali adalah:
terlalu banyak data.
Jika semua alert diperlakukan sama, analyst dapat mengalami alert fatigue.
Threat Intelligence Membantu Mengurangi Alert Fatigue
Alert fatigue adalah kondisi ketika analyst mengalami kelelahan karena menerima terlalu banyak alert atau notifikasi keamanan.
Jika hal tersebut terjadi terus-menerus, analyst dapat mengalami kesulitan dalam menentukan prioritas.
Threat Intelligence membantu memberikan konteks.
Contohnya:
Alert A
Failed login dari IP luar negeri.
Alert B
Failed login dari IP yang memiliki reputasi buruk dan terkait dengan aktivitas brute force.
Keduanya mungkin terlihat serupa pada awalnya.
Namun, Alert B memiliki konteks yang lebih kuat dan kemungkinan membutuhkan prioritas lebih tinggi.
Dengan demikian, Threat Intelligence dapat membantu SOC Analyst memprioritaskan investigasi berdasarkan risiko dan konteks.
Threat Intelligence Membantu Mengurangi False Positive
Tidak semua alert merupakan serangan nyata.
Contohnya:
Sebuah sistem mendeteksi login dari negara lain.
Apakah itu serangan?
Belum tentu.
User mungkin:
Sedang traveling.
Menggunakan VPN.
Menggunakan jaringan cloud tertentu.
Menggunakan layanan perusahaan global.
Tanpa konteks, analyst dapat salah mengambil kesimpulan.
Threat Intelligence membantu menggabungkan informasi tambahan sehingga keputusan menjadi lebih akurat.
Threat Intelligence Membantu Investigasi
SOC Analyst perlu menjawab berbagai pertanyaan ketika melakukan investigasi.
Misalnya:
Apa yang terjadi?
Kapan dimulai?
Siapa targetnya?
Bagaimana attacker masuk?
Teknik apa yang digunakan?
Sistem apa yang terdampak?
Apakah serangan masih berlangsung?
Apa yang harus dilakukan?
Threat Intelligence dapat membantu menjawab pertanyaan tersebut dengan menghubungkan berbagai sumber data.
Threat Intelligence Membantu Incident Response
Ketika incident benar-benar terjadi, kecepatan sangat penting.
Misalnya organisasi menemukan indikasi malware.
Threat Intelligence dapat membantu analyst memahami:
Infrastruktur yang digunakan.
Domain terkait.
IP terkait.
Pola komunikasi.
Teknik serangan.
Indikator kompromi lainnya.
Informasi tersebut kemudian dapat digunakan untuk membantu proses containment dan remediation.
Threat Intelligence dan MITRE ATT&CK
Dalam dunia SOC dan Threat Intelligence, salah satu framework yang sering dipelajari adalah MITRE ATT&CK.
Framework tersebut membantu security professional memahami perilaku attacker berdasarkan teknik dan taktik yang digunakan.
Misalnya analyst menemukan aktivitas yang mencurigakan.
Daripada hanya mengatakan:
"Ada aktivitas aneh."
Analyst dapat menghubungkan aktivitas tersebut dengan teknik tertentu berdasarkan perilaku yang diamati.
Hal ini memberikan konteks yang lebih baik terhadap investigasi.
Bagi pemula yang ingin menjadi SOC Analyst, memahami konsep Tactics, Techniques, and Procedures (TTPs) merupakan kemampuan yang sangat berguna.
Threat Intelligence Tidak Sama dengan Threat Feed
Ini adalah salah satu kesalahpahaman yang cukup sering terjadi.
Threat Feed biasanya menyediakan data mengenai indikator ancaman.
Misalnya:
IP address.
Domain.
URL.
Hash.
Sementara Threat Intelligence membutuhkan analisis dan konteks.
Contohnya:
Threat Feed:
IP X.X.X.X terkait dengan aktivitas malicious.
Threat Intelligence:
IP tersebut berkaitan dengan kampanye tertentu, menargetkan sektor tertentu, menggunakan pola serangan tertentu, dan relevan dengan infrastruktur organisasi.
Dengan demikian:
Threat Feed dapat menjadi sumber Threat Data, tetapi tidak otomatis menjadi Threat Intelligence.
Threat Intelligence untuk Level Strategis, Operasional, dan Taktis
Threat Intelligence juga dapat digunakan pada berbagai tingkatan.
Tactical Threat Intelligence
Berfokus pada indikator dan teknik teknis.
Contohnya:
IP.
Domain.
Hash.
URL.
TTP.
Biasanya sangat berguna bagi SOC Analyst dan security engineer.
Operational Threat Intelligence
Berfokus pada kampanye atau operasi serangan.
Pertanyaan yang ingin dijawab misalnya:
Siapa targetnya?
Bagaimana kampanyenya berjalan?
Teknik apa yang digunakan?
Infrastruktur apa yang digunakan?
Strategic Threat Intelligence
Berfokus pada risiko yang lebih luas dan dampaknya terhadap organisasi.
Contohnya:
Tren serangan terhadap industri.
Risiko terhadap bisnis.
Ancaman yang kemungkinan meningkat.
Prioritas investasi keamanan.
Informasi ini lebih relevan bagi pengambil keputusan dan manajemen.
Skill yang Dibutuhkan untuk Memahami Threat Intelligence
Jika ingin menjadi SOC Analyst, kemampuan memahami Threat Intelligence sebaiknya dibangun secara bertahap.
Beberapa kemampuan yang berguna antara lain:
Networking
Pahami konsep:
IP.
Port.
Protocol.
DNS.
HTTP/HTTPS.
TCP/IP.
Log Analysis
Belajar membaca:
Authentication log.
Firewall log.
Windows event.
Linux log.
Web server log.
SIEM
Pahami bagaimana SIEM mengumpulkan, menyimpan, mencari, dan mengkorelasikan event keamanan.
Endpoint Security
Pahami proses, file, network connection, dan aktivitas endpoint.
Threat Hunting
Belajar mencari aktivitas mencurigakan secara proaktif.
Incident Response
Pahami proses menangani incident dari deteksi hingga pemulihan.
Critical Thinking
Ini merupakan kemampuan yang sangat penting.
SOC Analyst tidak boleh hanya menerima alert sebagai fakta.
Mereka perlu bertanya:
"Apa konteksnya?"
"Apakah aktivitas ini normal?"
"Apa bukti yang mendukung kesimpulan saya?"
"Apa kemungkinan lain?"
Contoh Alur Kerja SOC Analyst
Mari kita lihat contoh sederhana.
Sebuah EDR mendeteksi proses mencurigakan.
Tahap 1: Threat Data
SOC Analyst mendapatkan:
Nama proses.
Hash file.
Username.
Endpoint.
Timestamp.
Network connection.
Semua informasi tersebut merupakan Threat Data.
Tahap 2: Korelasi
Analyst menghubungkan data tersebut dengan:
DNS log.
Firewall.
SIEM.
Threat feed.
Endpoint lainnya.
Tahap 3: Analisis
Ditemukan bahwa file tersebut memiliki reputasi buruk dan endpoint melakukan koneksi ke domain yang mencurigakan.
Tahap 4: Intelligence
Analyst kemudian memiliki konteks:
Aktivitas berkaitan dengan malware.
Endpoint tertentu terdampak.
Ada komunikasi dengan infrastruktur mencurigakan.
Aktivitas kemungkinan merupakan bagian dari serangan tertentu.
Tahap 5: Action
Tim dapat:
Mengisolasi endpoint.
Memblokir indikator.
Melakukan pemeriksaan sistem lain.
Mereset kredensial jika diperlukan.
Melakukan eskalasi incident.
Inilah contoh bagaimana data dapat berkembang menjadi intelligence dan kemudian menjadi tindakan.
Kesalahan Pemula dalam Memahami Threat Intelligence
Ada beberapa kesalahan yang sering terjadi.
Menganggap Semua IP Berbahaya
Sebuah IP address tidak otomatis berarti attacker.
IP dapat digunakan oleh:
Cloud provider.
VPN.
CDN.
Proxy.
Layanan legitimate.
Konteks sangat penting.
Menganggap Semua Alert adalah Incident
Alert merupakan sinyal yang perlu dianalisis.
Alert belum tentu berarti incident.
Hanya Mengandalkan Threat Feed
Threat feed berguna, tetapi bukan satu-satunya sumber kebenaran.
Internal telemetry dan konteks organisasi tetap sangat penting.
Tidak Melakukan Validasi
Informasi ancaman perlu diverifikasi sebelum digunakan untuk tindakan yang berpotensi mengganggu sistem.
Bagaimana Cara Belajar Threat Intelligence untuk Pemula?
Jika kamu baru mulai belajar Cyber Security, jangan langsung mencoba memahami semuanya sekaligus.
Mulailah dari fundamental.
Tahap Pertama: Pahami Networking
Pelajari IP, DNS, HTTP, TCP/IP, port, dan firewall.
Tahap Kedua: Belajar Log Analysis
Biasakan membaca event dan mencari pola.
Tahap Ketiga: Belajar SIEM
Pahami bagaimana berbagai sumber log dikumpulkan dan dikorelasikan.
Tahap Keempat: Pelajari Malware dan Attack Techniques
Kenali pola umum serangan.
Tahap Kelima: Pelajari Threat Intelligence
Mulai memahami IOC, TTP, threat actor, campaign, dan konteks ancaman.
Tahap Keenam: Latihan Investigasi
Gunakan skenario untuk berlatih mengubah data mentah menjadi kesimpulan yang dapat ditindaklanjuti.
Threat Data Adalah Bahan Baku, Threat Intelligence Adalah Insight
Jika harus dirangkum dalam satu kalimat:
Threat Data memberi tahu kita apa yang terlihat, sedangkan Threat Intelligence membantu menjelaskan apa artinya dan apa yang harus dilakukan.
Contoh:
Threat Data:
"Ada koneksi ke IP X.X.X.X."
Threat Intelligence:
"Koneksi tersebut berkaitan dengan infrastruktur berbahaya, memiliki pola yang sesuai dengan aktivitas tertentu, dan terjadi pada endpoint yang memiliki indikator kompromi lainnya."
Perbedaannya terlihat jelas.
Yang kedua jauh lebih berguna untuk pengambilan keputusan.
Mengapa Konsep Ini Penting untuk Karier SOC Analyst?
Banyak orang mengira pekerjaan SOC Analyst hanya:
"Duduk di depan monitor dan membaca alert."
Padahal, pekerjaan seorang SOC Analyst jauh lebih kompleks.
Analyst harus mampu:
Menganalisis event.
Memahami konteks.
Menghubungkan informasi.
Memvalidasi indikasi.
Menentukan prioritas.
Mengidentifikasi pola.
Melakukan eskalasi.
Memberikan rekomendasi.
Mendokumentasikan investigasi.
Kemampuan mengubah Threat Data menjadi Threat Intelligence merupakan bagian penting dari pola pikir tersebut.
Perusahaan tidak hanya membutuhkan orang yang bisa membaca alert.
Mereka membutuhkan orang yang mampu menjawab:
"Apa arti alert ini bagi keamanan organisasi?"
Kesimpulan
Threat Data dan Threat Intelligence adalah dua konsep penting dalam dunia Cyber Security, khususnya bagi SOC Analyst.
Threat Data merupakan data mentah mengenai aktivitas atau potensi ancaman, seperti IP address, domain, hash, log, alert, dan event keamanan.
Sementara itu, Threat Intelligence merupakan informasi yang telah dianalisis, diberi konteks, diverifikasi, dan dapat digunakan untuk mengambil keputusan atau tindakan.
Perbedaan tersebut sangat penting karena SOC Analyst setiap hari berhadapan dengan jumlah data yang sangat besar.
Tanpa konteks, data dapat menyebabkan alert fatigue, false positive, dan kesalahan analisis.
Dengan Threat Intelligence, analyst dapat memahami:
Siapa atau apa yang mungkin menjadi sumber ancaman.
Bagaimana serangan dilakukan.
Siapa yang menjadi target.
Seberapa relevan ancaman terhadap organisasi.
Apa dampaknya.
Tindakan apa yang perlu dilakukan.
Pada akhirnya, SOC Analyst yang baik bukan hanya mampu membaca data, tetapi mampu mengubah data menjadi pemahaman dan tindakan.
Jika kamu sedang mempersiapkan diri untuk berkarier sebagai SOC Analyst, jangan hanya belajar tools seperti SIEM atau EDR. Bangun juga kemampuan networking, log analysis, threat detection, incident response, threat hunting, critical thinking, dan terutama kemampuan memahami konteks sebuah ancaman.
Karena dalam Cyber Security:
Data yang banyak belum tentu berguna. Data yang dipahami dengan benar dapat menjadi intelligence, dan intelligence yang tepat dapat membantu organisasi mengambil tindakan sebelum risiko berkembang menjadi incident yang lebih besar.
FAQ Threat Data dan Threat Intelligence
Apa itu Threat Data?
Threat Data adalah data mentah yang berkaitan dengan aktivitas atau potensi ancaman siber, seperti IP address, domain, hash malware, log, alert, dan network event.
Apa itu Threat Intelligence?
Threat Intelligence adalah informasi mengenai ancaman yang telah dianalisis, diberi konteks, diverifikasi, dan dapat digunakan untuk mendukung pengambilan keputusan keamanan.
Apa perbedaan Threat Data dan Threat Intelligence?
Threat Data merupakan informasi mentah, sedangkan Threat Intelligence merupakan informasi yang telah dianalisis dan memiliki konteks sehingga dapat digunakan untuk mengambil tindakan.
Apakah Threat Feed sama dengan Threat Intelligence?
Tidak selalu. Threat Feed biasanya menyediakan data atau indikator ancaman. Data tersebut perlu dianalisis dan diberi konteks agar dapat menjadi Threat Intelligence yang berguna.
Mengapa Threat Intelligence penting bagi SOC Analyst?
Threat Intelligence membantu SOC Analyst memahami konteks alert, memprioritaskan ancaman, mengurangi false positive, melakukan investigasi, dan menentukan tindakan yang tepat.
Apa contoh Threat Data?
Contohnya adalah IP address mencurigakan, malicious domain, file hash, failed login, firewall event, DNS query, dan alert dari EDR.
Apa contoh Threat Intelligence?
Contohnya adalah analisis yang menghubungkan sebuah IP dengan aktivitas brute force tertentu, menjelaskan target serangan, teknik yang digunakan, relevansinya terhadap organisasi, dan rekomendasi tindakan.
Apakah semua alert merupakan ancaman?
Tidak. Alert merupakan sinyal yang perlu dianalisis. Sebuah alert dapat menjadi false positive, aktivitas normal, atau indikasi serangan yang sebenarnya.
Apakah SOC Analyst harus memahami Threat Intelligence?
Memahami Threat Intelligence sangat membantu SOC Analyst karena pekerjaan mereka membutuhkan kemampuan untuk memberikan konteks terhadap alert dan menentukan prioritas berdasarkan risiko.
Bagaimana cara mulai belajar Threat Intelligence?
Mulailah dari fundamental networking, log analysis, SIEM, endpoint security, malware, threat detection, dan incident response. Setelah itu, pelajari IOC, TTP, threat actor, campaign, dan threat intelligence lifecycle.
Posting Komentar