Serangan siber biasanya tidak terjadi begitu saja. Sebelum sebuah serangan berhasil, pelaku sering meninggalkan berbagai jejak, mulai dari aktivitas mencurigakan, pola serangan, hingga teknik yang berulang. Informasi seperti ini dapat menjadi petunjuk penting jika diketahui dan dianalisis lebih awal. Threat Intelligence adalah bagian penting dalam membantu organisasi memahami ancaman sebelum berubah menjadi insiden keamanan.
Threat Intelligence bukan sekadar mengumpulkan informasi tentang hacker atau malware. Data tersebut perlu dianalisis untuk mengetahui siapa yang mungkin menjadi pelaku, bagaimana mereka menyerang, sistem apa yang menjadi target, dan langkah apa yang dapat dilakukan untuk mengurangi risikonya. Dengan pendekatan ini, organisasi dapat mengambil tindakan berdasarkan informasi ancaman, bukan hanya menunggu sampai serangan terjadi.
Salah satu referensi yang dapat membantu memahami pola dan perilaku penyerang adalah MITRE ATT&CK, yang memetakan berbagai taktik dan teknik berdasarkan aktivitas adversary di dunia nyata. Lantas, apa itu Threat Intelligence, apa saja jenisnya, dan bagaimana cara membangunnya?
Also Read
Ringkasan Cepat
- Threat intelligence (intel ancaman) adalah informasi yang dikurasi dan dapat ditindaklanjuti tentang ancaman siber, dipakai untuk mencegah, mendeteksi, dan merespons serangan dengan lebih cepat.
- Threat intel biasanya dibagi menjadi beberapa jenis: strategic, tactical, operational, dan technical, masing-masing punya audiens dan output berbeda.
- Bedakan IOC (indikator yang bisa dipakai untuk deteksi cepat) dengan TTP (taktik dan teknik yang menggambarkan cara kerja pelaku). MITRE ATT&CK adalah knowledge base taktik dan teknik berbasis observasi dunia nyata.
Apa Itu Threat Intelligence?
Threat intelligence adalah informasi tentang ancaman siber yang sudah dikumpulkan, dianalisis, dan diberi konteks sehingga bisa digunakan untuk mengambil keputusan keamanan.
Jadi, threat intelligence bukan sekadar membaca berita tentang hacker atau mengumpulkan daftar IP berbahaya. Informasi tersebut harus bisa membantu tim memahami ancaman yang benar-benar relevan dan menentukan tindakan yang perlu dilakukan.
Threat intelligence yang baik biasanya dapat menjawab beberapa pertanyaan berikut:
- Ancaman apa yang relevan dengan bisnis?
- Bagaimana cara serangan tersebut dilakukan?
- Sistem atau aset apa yang berpotensi menjadi target?
- Apa yang perlu diperbaiki atau diubah untuk mengurangi risikonya?
Kenapa Threat Intelligence Penting untuk Bisnis?
Threat intelligence membantu organisasi memprioritaskan risiko dan merespons ancaman dengan lebih cepat.
Dengan informasi yang sudah dianalisis dan dikaitkan dengan kondisi lingkungan sendiri, tim keamanan dapat lebih fokus pada ancaman yang benar-benar penting.
Beberapa manfaatnya antara lain:
- Membantu mendeteksi ancaman lebih cepat.
- Mengurangi false positive karena informasi sudah diberi konteks.
- Membantu menentukan patching dan hardening yang lebih tepat sasaran.
- Membantu tim keamanan memahami pola serangan.
- Memudahkan komunikasi mengenai risiko keamanan kepada manajemen.
Jenis-Jenis Threat Intelligence
Tidak semua threat intelligence digunakan oleh orang yang sama. Jenisnya biasanya dibedakan berdasarkan kebutuhan dan siapa yang akan menggunakan informasi tersebut.
1. Strategic Threat Intelligence
Strategic threat intelligence memberikan gambaran besar mengenai kondisi ancaman dan risikonya terhadap bisnis.
Biasanya digunakan oleh:
- Owner bisnis
- Manajemen
- Pengambil keputusan
Informasi yang diberikan dapat berupa tren ancaman, risiko bisnis, hingga prioritas investasi keamanan.
2. Tactical Threat Intelligence
Tactical threat intelligence lebih fokus pada cara pelaku melakukan serangan, termasuk taktik dan teknik yang digunakan.
Biasanya berguna untuk:
- Security engineer
- SOC lead
- Tim keamanan
Hasilnya dapat digunakan untuk menentukan kontrol keamanan dan membuat deteksi berdasarkan perilaku penyerang.
3. Operational Threat Intelligence
Operational threat intelligence berfokus pada kampanye, aktor, atau serangan yang sedang berlangsung.
Jenis intel ini biasanya digunakan oleh:
- Tim incident response
- SOC analyst
- Threat hunter
Informasinya dapat membantu tim memahami target, waktu, serta pola operasi sebuah kampanye serangan.
4. Technical Threat Intelligence
Technical threat intelligence berisi informasi teknis yang dapat langsung digunakan dalam sistem keamanan.
Contohnya:
- Hash file malware
- Domain berbahaya
- IP address
- URL phishing
- Detection rule
- Threat intelligence feed
Jenis intel ini biasanya digunakan oleh SOC analyst, SIEM engineer, dan tim teknis lainnya.
IOC vs TTP, Apa Bedanya?
Dalam threat intelligence, Anda akan sering menemukan istilah IOC dan TTP.
Sederhananya:
IOC adalah tanda, sedangkan TTP adalah cara.
1. IOC (Indicators of Compromise)
IOC adalah indikator yang dapat digunakan untuk membantu menemukan tanda-tanda kompromi pada sistem.
Contohnya:
- Hash file malware
- Domain berbahaya
- IP address mencurigakan
- URL phishing
IOC sangat berguna untuk mendeteksi ancaman dengan cepat. Namun, indikator seperti domain atau hash dapat berubah dengan mudah ketika pelaku mengganti infrastrukturnya atau menggunakan file baru.
2. TTP (Tactics, Techniques, and Procedures)
TTP menggambarkan bagaimana pelaku melakukan serangan.
Pendekatan ini melihat perilaku penyerang, bukan hanya indikator yang ditinggalkan. Karena itu, deteksi berbasis TTP dapat membantu tim mengenali pola serangan meskipun IOC yang digunakan pelaku sudah berubah.
Untuk memahami perilaku tersebut, MITRE ATT&CK dapat digunakan sebagai referensi. MITRE ATT&CK merupakan knowledge base yang memetakan taktik dan teknik adversary berdasarkan observasi dunia nyata. ATT&CK juga menyediakan bahasa bersama untuk membantu analis menyusun, membandingkan, dan menganalisis threat intelligence.
Dari Mana Threat Intelligence Bisa Didapatkan?
Anda tidak selalu membutuhkan layanan threat intelligence berbayar untuk memulai.
Beberapa sumber yang dapat digunakan antara lain:
- Security advisory dari vendor.
- CERT atau CSIRT.
- Laporan riset keamanan.
- Komunitas cybersecurity.
- Threat intelligence platform.
- Log dari sistem internal.
Menariknya, log internal sering menjadi salah satu sumber yang paling relevan karena memberikan gambaran langsung mengenai apa yang terjadi di lingkungan Anda sendiri.
Karena itu, threat intelligence yang bagus bukan hanya soal memiliki banyak feed, tetapi juga kemampuan tim untuk menghubungkan informasi tersebut dengan kondisi dan log internal.
Cara Membangun Proses Threat Intelligence
Threat intelligence sebaiknya tidak dilakukan secara acak setiap kali ada berita serangan. Akan lebih efektif jika dibuat menjadi proses yang terstruktur.
1. Tentukan Tujuan
Tentukan terlebih dahulu masalah keamanan apa yang ingin diselesaikan.
Misalnya:
- Mengurangi phishing yang berhasil masuk.
- Mendeteksi credential stuffing.
- Meningkatkan keamanan server publik.
- Mempercepat proses patching.
2. Tentukan Audiens dan Output
Sesuaikan informasi dengan siapa yang akan menggunakannya.
Contohnya:
- Manajemen: laporan risiko singkat setiap bulan.
- SOC: detection rule dan alert.
- Engineer: rekomendasi patching dan hardening.
3. Kumpulkan Intel
Setelah tujuan ditentukan, mulai kumpulkan informasi dari sumber yang relevan.
Contohnya:
- Memantau rilis CVE.
- Mengikuti security advisory vendor.
- Mengumpulkan IOC.
- Membaca laporan threat research.
4. Analisis dan Berikan Konteks
Informasi yang dikumpulkan belum tentu relevan dengan bisnis Anda.
Karena itu, tanyakan:
- Apakah ancaman ini relevan dengan teknologi yang digunakan?
- Aset apa yang terdampak?
- Apakah ada sistem yang rentan?
- Kontrol keamanan apa yang perlu diperbaiki?
5. Distribusikan dan Lakukan Tindakan
Hasil analisis kemudian diterjemahkan menjadi tindakan nyata, seperti:
- Memperbarui SIEM rule.
- Melakukan patching.
- Memperkuat konfigurasi server.
- Memblokir domain atau IP berbahaya.
- Menambahkan monitoring pada sistem tertentu.
Tetap berhati-hati saat melakukan pemblokiran karena IOC yang tidak tepat dapat menyebabkan false positive.
6. Ukur Dampaknya
Threat intelligence juga perlu dievaluasi untuk melihat apakah prosesnya benar-benar memberikan manfaat.
Beberapa metrik yang dapat digunakan:
- Waktu dari security advisory hingga patch diterapkan.
- Jumlah insiden yang berhasil dideteksi lebih cepat.
- False positive rate.
- Waktu respons terhadap ancaman.
Contoh Threat Intelligence Sederhana untuk UMKM
UMKM tidak harus memiliki SOC besar untuk mulai menerapkan threat intelligence. Yang lebih penting adalah memiliki proses keamanan yang sederhana tetapi dilakukan secara konsisten.
Sebagai langkah awal, Anda bisa:
- Menunjuk satu orang sebagai PIC keamanan.
- Melakukan pengecekan dan patching secara rutin.
- Mengaudit akses akun admin.
- Memantau login yang gagal atau mencurigakan.
- Melakukan backup secara berkala.
- Menguji proses restore backup.
- Mengikuti security advisory dari vendor yang digunakan.
Dengan langkah sederhana tersebut, bisnis sudah memiliki dasar untuk mulai mengenali dan merespons ancaman secara lebih proaktif.
Checklist Threat Intelligence untuk Tim Kecil
Jika ingin memulainya secara sederhana, gunakan checklist berikut:
- Inventarisasi domain, IP, server, dan panel admin yang terekspos ke internet.
- Pastikan OS dan aplikasi selalu diperbarui.
- Aktifkan 2FA untuk akun penting.
- Simpan dan pantau log keamanan.
- Buat alert untuk aktivitas login yang mencurigakan.
- Lakukan backup secara berkala.
- Uji proses restore backup.
- Ikuti security advisory dari vendor yang digunakan.
Mulailah dari aset yang paling penting dan paling sering menjadi target. Tidak perlu langsung mencoba memantau semua jenis ancaman.
BACA JUGA: Agentic AI untuk Cybersecurity: Cara Kerja & Manfaatnya
Threat Intelligence Membutuhkan Log dan Infrastruktur yang Stabil
Threat intelligence akan jauh lebih berguna jika organisasi memiliki log dan sistem monitoring yang dapat diandalkan. Dari sinilah tim bisa menghubungkan informasi ancaman eksternal dengan aktivitas yang benar-benar terjadi di server atau aplikasi.
Untuk bisnis kecil hingga menengah yang membutuhkan server untuk menjalankan aplikasi, menyimpan log, atau membangun sistem monitoring sendiri, VPS dapat menjadi salah satu pilihan infrastruktur.
Salah satunya adalah VPS Rumahweb yang menyediakan VPS berbasis KVM dengan resource terisolasi, SSD storage, DDoS protection, dua availability zone, serta dukungan 24/7. Rumahweb juga mencantumkan SLA uptime 99,9% dan sertifikasi ISO 27001 pada layanan VPS-nya.
Dengan infrastruktur yang stabil dan proses monitoring yang teratur, threat intelligence tidak hanya menjadi informasi, tetapi bisa diterjemahkan menjadi tindakan nyata untuk meningkatkan keamanan bisnis.
FAQ
Threat intelligence adalah informasi ancaman siber yang sudah dianalisis agar relevan dan bisa ditindaklanjuti.
Threat intel memberi informasi dan konteks. Threat hunting adalah aktivitas mencari tanda kompromi secara proaktif di lingkungan internal.
Indikator kompromi seperti hash, domain, IP, atau URL yang bisa dipakai untuk deteksi cepat.
Taktik dan teknik yang menggambarkan cara kerja pelaku. MITRE ATT&CK adalah knowledge base taktik dan teknik berbasis observasi dunia nyata.
Butuh versi sederhananya adalah proses patch, monitoring, dan checklist keamanan yang disiplin.
Kesimpulan
Threat Intelligence adalah pendekatan yang membantu organisasi mengumpulkan dan menganalisis informasi tentang ancaman siber, sehingga tim keamanan dapat menentukan prioritas tindakan dan merespons potensi serangan dengan lebih cepat. Dengan begitu, penerapannya bukan sekadar untuk mengetahui adanya ancaman, tetapi juga memahami risiko dan menentukan langkah yang perlu dilakukan.
Penerapannya dapat dimulai dari langkah sederhana dengan berfokus pada area yang paling sering menjadi target serangan. Selanjutnya, organisasi dapat mengembangkan analisis berdasarkan TTP (Tactics, Techniques, and Procedures) dengan memanfaatkan kerangka kerja seperti MITRE ATT&CK untuk memetakan pola serangan dan mengantisipasi teknik yang relevan.
Pada akhirnya, Threat Intelligence akan lebih efektif jika menjadi bagian dari proses keamanan yang berkelanjutan. Informasi ancaman yang dikumpulkan perlu terus dianalisis dan diterjemahkan menjadi tindakan yang sesuai, sehingga organisasi tidak hanya bereaksi setelah serangan terjadi, tetapi dapat mengambil langkah pencegahan berdasarkan informasi yang tersedia.
