Serangan siber tidak selalu mudah dideteksi. Banyak serangan modern dirancang untuk berjalan secara perlahan, menggunakan teknik yang terlihat seperti aktivitas normal, atau menyalahgunakan akun yang sudah memiliki akses.

Karena itu, mengandalkan sistem keamanan yang hanya menunggu alert muncul terkadang belum cukup.

Dua konsep yang banyak digunakan dalam keamanan siber untuk menghadapi masalah tersebut adalah Threat Hunting dan Cyber Threat Intelligence (CTI).

Keduanya memiliki fungsi yang berbeda, tetapi dapat saling melengkapi untuk membantu organisasi memahami, menemukan, dan merespons ancaman siber.

Apa Itu Threat Hunting?

Threat hunting adalah proses mencari aktivitas mencurigakan atau indikasi ancaman secara proaktif di dalam lingkungan IT.

Berbeda dengan pendekatan keamanan tradisional yang menunggu sistem memberikan alert, threat hunting dimulai dengan pertanyaan:

"Apakah sebenarnya ada attacker di dalam environment kita yang belum terdeteksi?"

Threat hunter dapat menganalisis berbagai sumber data seperti:

  • Log endpoint
  • Network traffic
  • Authentication log
  • DNS query
  • Firewall log
  • SIEM
  • EDR
  • Cloud log
  • Process activity
  • Windows Event Log

Contohnya, seorang analyst menemukan pola login yang tidak biasa.

Login normal
      ↓
User login dari Indonesia
      ↓
Beberapa menit kemudian
      ↓
Login dari lokasi berbeda
      ↓
Aktivitas mencurigakan
      ↓
Investigation

Belum tentu aktivitas tersebut merupakan serangan. Namun, pola tersebut dapat menjadi dasar untuk melakukan investigasi lebih lanjut.

Threat Hunting Bersifat Proaktif

Perbedaan sederhana antara monitoring biasa dan threat hunting dapat dilihat dari pendekatannya.

Monitoring

Event
 ↓
Alert
 ↓
Analyst
 ↓
Investigation

Threat Hunting

Hypothesis
 ↓
Search Data
 ↓
Find Anomaly
 ↓
Investigation
 ↓
Detection

Threat hunter tidak hanya menunggu alert.

Mereka mencari pola yang mungkin terlewat oleh rule deteksi yang sudah ada.

Apa Itu Cyber Threat Intelligence?

Cyber Threat Intelligence adalah informasi mengenai ancaman siber yang telah dikumpulkan, dianalisis, dan diberi konteks sehingga dapat digunakan untuk membantu pengambilan keputusan keamanan.

CTI bukan sekadar kumpulan IP address atau hash malware.

Contohnya:

IP Address
Domain
File Hash
Malware
Threat Actor
Attack Technique
Target
Campaign

Data tersebut baru menjadi lebih berguna setelah dianalisis dan diberikan konteks.

Misalnya:

IP: 203.x.x.x

Informasi tersebut sendirian belum tentu banyak membantu.

Namun jika ditemukan bahwa IP tersebut:

  • Berhubungan dengan command and control
  • Digunakan dalam campaign tertentu
  • Menargetkan sektor tertentu
  • Memiliki pola aktivitas tertentu

maka informasi tersebut menjadi threat intelligence yang lebih bernilai.

Perbedaan Threat Intelligence dan Threat Data

Istilah ini sering dianggap sama.

Padahal terdapat perbedaan.

Threat Data

Data mentah mengenai kemungkinan ancaman.

Contohnya:

IP Address
Domain
Hash
URL

Threat Intelligence

Data yang sudah dianalisis dan diberikan konteks.

Contohnya:

IP tertentu terindikasi digunakan
sebagai infrastructure command and control
dalam campaign malware tertentu.

Jadi:

Data + Analisis + Konteks = Intelligence

Jenis-Jenis Cyber Threat Intelligence

CTI umumnya dapat dibagi menjadi beberapa kategori.

1. Strategic Intelligence

Berfokus pada gambaran ancaman dalam perspektif bisnis dan manajemen.

Contohnya:

  • Tren ransomware
  • Ancaman terhadap industri tertentu
  • Perubahan landscape cyber threat
  • Risiko terhadap organisasi

Informasi ini biasanya digunakan oleh:

  • CISO
  • Security Manager
  • Manajemen
  • Risk Management

2. Tactical Intelligence

Berfokus pada teknik yang digunakan attacker.

Salah satu referensi yang sering digunakan adalah MITRE ATT&CK.

Contohnya:

Initial Access
      ↓
Execution
      ↓
Persistence
      ↓
Privilege Escalation
      ↓
Defense Evasion
      ↓
Credential Access
      ↓
Lateral Movement

Tactical intelligence membantu security team memahami bagaimana attacker beroperasi.

3. Operational Intelligence

Berfokus pada campaign atau operasi serangan tertentu.

Misalnya:

  • Target attacker
  • Infrastruktur attacker
  • Malware yang digunakan
  • Campaign
  • Waktu aktivitas
  • Target industri

Informasi ini dapat membantu tim keamanan memahami ancaman yang sedang berlangsung.

4. Technical Intelligence

Berisi indikator teknis yang dapat digunakan oleh security tools.

Contohnya:

IP Address
Domain
URL
File Hash
Email Address
Malware Signature

Technical intelligence biasanya sangat dekat dengan aktivitas SOC dan detection engineering.

Bagaimana Threat Hunting dan CTI Saling Berhubungan?

Threat Intelligence dapat digunakan sebagai input untuk threat hunting.

Misalnya CTI memberikan informasi:

Malware X
↓
Menggunakan domain tertentu
↓
Menggunakan teknik tertentu

Threat hunter kemudian mencari apakah indikator atau teknik tersebut pernah muncul di environment perusahaan.

Threat Intelligence
        ↓
Hypothesis
        ↓
Threat Hunting
        ↓
Internal Data
        ↓
Finding
        ↓
Detection / Response

Dengan demikian, CTI tidak hanya menjadi laporan yang dibaca oleh security team, tetapi dapat digunakan dalam aktivitas teknis.

Contoh Threat Hunting Sederhana

Misalnya security team mendapatkan intelligence bahwa attacker tertentu sering menggunakan PowerShell untuk menjalankan command berbahaya.

Threat hunter kemudian membuat hypothesis:

"Apakah terdapat aktivitas PowerShell yang tidak biasa pada endpoint perusahaan?"

Kemudian analyst mencari data:

Endpoint Logs
      ↓
PowerShell Events
      ↓
Command Line
      ↓
User
      ↓
Parent Process
      ↓
Network Connection

Jika ditemukan aktivitas mencurigakan, investigation dapat dilanjutkan.

Misalnya:

Word
 ↓
PowerShell
 ↓
Encoded Command
 ↓
External Connection

Pola tersebut layak mendapatkan perhatian lebih lanjut.

Threat Hunting Menggunakan Hypothesis

Threat hunting yang baik biasanya tidak dilakukan secara acak.

Analyst dapat membuat hypothesis berdasarkan:

  • Threat intelligence
  • Incident sebelumnya
  • MITRE ATT&CK
  • Vulnerability
  • Perubahan lingkungan
  • Aktivitas user yang anomali
  • Threat actor behavior

Contoh:

Hypothesis:
Attacker mungkin menggunakan
credential yang telah dicuri.

        ↓

Cari:
Unusual Login
        ↓
Privilege Escalation
        ↓
Lateral Movement
        ↓
Suspicious Authentication

Hasil hunting kemudian dapat digunakan untuk membuat detection rule baru.

Dari Threat Hunting Menjadi Detection Engineering

Salah satu manfaat threat hunting adalah menemukan pola yang sebelumnya belum memiliki deteksi.

Contohnya:

Threat Hunting
      ↓
Suspicious Pattern
      ↓
Investigation
      ↓
Confirmed Behavior
      ↓
Detection Rule
      ↓
SOC Alert

Dengan demikian, threat hunting dapat membantu meningkatkan kemampuan deteksi SOC secara berkelanjutan.

Misalnya sebuah pola serangan ditemukan secara manual.

Setelah dipahami, analyst dapat membuat rule agar sistem SIEM atau EDR dapat memberikan alert ketika pola serupa muncul kembali.

Hubungan dengan SOC Analyst

Threat hunting sangat berkaitan dengan aktivitas Security Operations Center atau SOC.

SOC biasanya bertanggung jawab terhadap:

  • Monitoring
  • Alert triage
  • Incident investigation
  • Detection
  • Threat hunting
  • Incident response
  • Reporting

Dalam praktiknya, threat hunting dapat dilakukan oleh analyst dengan kemampuan yang lebih advanced, tetapi pembagian tugas sangat bergantung pada struktur masing-masing organisasi.

Alur sederhananya:

Security Events
      ↓
SIEM / EDR
      ↓
SOC Analyst
      ↓
Alert Investigation
      ↓
Threat Hunting
      ↓
Incident Response

Tools yang Sering Digunakan

Threat hunting dan CTI dapat melibatkan banyak tools.

Beberapa kategori yang umum digunakan antara lain:

SIEM

Untuk mengumpulkan dan menganalisis log.

Contohnya:

  • Microsoft Sentinel
  • Splunk
  • Elastic Security

EDR

Untuk memantau aktivitas endpoint.

Contohnya:

  • Microsoft Defender for Endpoint
  • CrowdStrike
  • SentinelOne

Threat Intelligence Platform

Digunakan untuk mengelola dan menganalisis intelligence.

Contohnya:

  • MISP
  • OpenCTI

Threat Intelligence Sources

Security team juga dapat memanfaatkan berbagai sumber intelijen publik dan komersial sesuai kebutuhan.

Apa Itu IOC?

Dalam threat intelligence, Anda akan sering menemukan istilah IOC atau Indicator of Compromise.

IOC merupakan indikator yang dapat memberikan petunjuk bahwa sebuah sistem mungkin telah mengalami compromise.

Contohnya:

Malicious IP
Malicious Domain
File Hash
Suspicious URL
Malware Filename
Email Address

Contoh sederhana:

Endpoint
   ↓
Connect ke suspicious-domain.example
   ↓
Domain masuk threat intelligence
   ↓
Hunting
   ↓
Periksa endpoint

Tetapi IOC tidak boleh langsung dianggap sebagai bukti mutlak serangan.

Sebuah IP atau domain dapat berubah fungsi, digunakan oleh banyak pihak, atau menghasilkan false positive.

Karena itu, konteks sangat penting.

IOC vs TTP

Dalam cybersecurity, terdapat dua pendekatan yang menarik.

IOC-Based Detection

Mencari indikator spesifik.

IP
Domain
Hash
URL

Masalahnya, attacker dapat mengganti infrastrukturnya.

TTP-Based Detection

Mencari Tactics, Techniques, and Procedures yang digunakan attacker.

Contohnya:

Credential Dumping
PowerShell Abuse
Lateral Movement
Command and Control

TTP cenderung lebih sulit diubah dibandingkan satu IP atau domain tertentu.

Karena itu, threat hunting modern sering menggabungkan IOC dan TTP.

Mengapa Threat Hunting Penting?

Tidak semua serangan langsung menghasilkan alert yang jelas.

Attacker dapat:

  • Menggunakan credential valid
  • Menyalahgunakan tool bawaan sistem
  • Mengubah teknik
  • Menghindari signature
  • Bergerak perlahan
  • Bersembunyi di antara aktivitas normal

Threat hunting membantu organisasi mencari indikasi aktivitas tersebut secara lebih proaktif.

Tujuannya bukan sekadar menemukan malware.

Tujuannya adalah memahami:

Apa yang terjadi, bagaimana attacker masuk, apa yang dilakukan, dan apakah masih terdapat aktivitas attacker di dalam environment.

Tantangan dalam Threat Hunting

Threat hunting juga bukan aktivitas yang mudah.

Volume Data Sangat Besar

Perusahaan dapat menghasilkan jutaan event setiap hari.

Analyst harus menentukan data mana yang relevan.

False Positive

Tidak semua aktivitas mencurigakan adalah serangan.

Investigation membutuhkan konteks.

Kurangnya Visibility

Jika endpoint, network, cloud, atau identity tidak menghasilkan log yang memadai, hunting menjadi jauh lebih sulit.

Membutuhkan Skill

Threat hunting membutuhkan pemahaman mengenai:

  • Networking
  • Operating system
  • Malware
  • Windows internals
  • Linux
  • Cloud
  • SIEM
  • Detection engineering
  • MITRE ATT&CK

Cara Mulai Belajar Threat Hunting

Bagi pemula, jangan langsung mencoba menganalisis jutaan log.

Mulai dari fundamental.

1. Pelajari Networking

Pahami:

  • TCP/IP
  • DNS
  • HTTP
  • TLS
  • Firewall
  • Proxy

2. Pelajari Operating System

Fokus pada:

  • Windows
  • Linux
  • Process
  • File system
  • Authentication
  • Event logging

3. Pelajari SIEM

Pahami bagaimana log dikumpulkan, dicari, dan dikorelasikan.

4. Pelajari MITRE ATT&CK

Gunakan framework tersebut untuk memahami teknik yang digunakan attacker.

5. Latihan dengan Dataset

Gunakan dataset keamanan atau lab yang memang disediakan untuk pembelajaran.

6. Buat Hypothesis

Jangan hanya mencari "sesuatu yang mencurigakan".

Buat pertanyaan yang dapat diuji.

Apakah terdapat
abnormal authentication?

Apakah terdapat
suspicious PowerShell?

Apakah terdapat
lateral movement?

Pendekatan tersebut membuat proses hunting lebih terarah.

Kesimpulan

Threat Hunting dan Cyber Threat Intelligence merupakan dua konsep penting dalam cybersecurity modern.

Threat hunting berfokus pada mencari ancaman secara proaktif, sedangkan Cyber Threat Intelligence membantu organisasi memahami siapa atau apa yang menjadi ancaman, bagaimana mereka beroperasi, dan indikator apa yang dapat digunakan untuk mendeteksinya.

Hubungan keduanya dapat dirangkum sebagai:

Cyber Threat Intelligence
            ↓
         Hypothesis
            ↓
      Threat Hunting
            ↓
        Investigation
            ↓
          Finding
            ↓
     Detection / Response
            ↓
     Improved Security

Semakin matang organisasi dalam menggabungkan intelligence, monitoring, hunting, dan response, semakin baik pula kemampuan organisasi dalam menghadapi ancaman siber yang terus berkembang.

SIBRA: Solusi Cybersecurity untuk Bisnis

Keamanan website dan sistem bisnis tidak cukup hanya mengandalkan password atau firewall. Organisasi perlu memahami risiko, visibility, monitoring, dan potensi serangan secara menyeluruh.

SIBRA menyediakan layanan teknologi dan cybersecurity untuk membantu bisnis meningkatkan keamanan aset digital, termasuk:

  • Security hardening
  • Penetration testing
  • Website security assessment
  • Website monitoring 24/7
  • Vulnerability assessment
  • Security consultation
  • Website development
  • Custom web application

Jika Anda ingin mengetahui apakah website atau sistem bisnis Anda memiliki celah keamanan yang perlu diperbaiki, konsultasikan kebutuhan security Anda bersama SIBRA.

Klik tombol di bawah untuk free konsultasi dan diskusikan kebutuhan cybersecurity bisnis Anda bersama SIBRA.