Security Operations Center Analyst

Course

Module 04
Pemantauan dan Analisis
Kejadian Keamanan Siber
Kerangka Materi
Modul ini akan membahas :

■ Pemantauan keamanan siber

(cybersecurity monitoring).
■ Tahapan utama pada pemantauan keamanan siber.
■ Arsitektur sistem untuk pemantauan keamanan
berkelanjutan.
Pemantauan Keamanan Siber
(Cybersecurity Monitoring)
Pemantauan Keamanan Siber
■ Pembahasan sebelumnya menjabarkan pengelolaan security event log, yang merupakan salah satu bagian
esensial dalam proses pemantauan keamanan siber untuk mengidentifikasi, menyelidiki, dan melakukan
tanggap terhadap insiden atau kejadian-kejadian keamanan penting lainnya.
■ Komponen utama dalam pemantauan keamanan siber ditunjukkan pada gambar di bawah ini.
Tujuan Umum Pemantauan Keamanan Siber

■ Tujuan utama pemantauan keamanan siber:

○ Mendeteksi atau mencari indikator yang menjadi potensi
terjadinya insiden siber;
○ Mematuhi persyaratan standar atau ketentuan sertifikasi
(misal, ISO 27001) dan praktek-praktek terbaik (misal, CIS
Security Controls);
○ Memenuhi persyaratan kepatuhan (misal, PCI DSS).
Fokus Pemantauan Keamanan Siber
■ Praktek pemantauan keamanan siber dapat dikategorikan ke dalam beberapa jenis metode:
○ In-line monitoring (misal, memantau lalu lintas yang melintasi perangkat firewall).
○ Not-in-line monitoring, yang meliputi:
• Pemantauan terhadap intrusi berdasarkan aktivitas sistem atau pengguna
• Pemantauan yang melibatkan teknik/metode heuristik
• Pemantauan dengan pendekatan ‘big data’.
■ Perangkat yang dipantau keamanan siber umumnya mencakup:
○ Perimeter keamanan jaringan
○ Perangkat endpoint (misal, PC dan laptop)
○ Perangkat dan komponen sistem inti.
Kesalahpahaman Umum

■ Tidak setiap gangguan pada sistem merupakan serangan siber,

sehingga penting untuk memiliki situational awareness.
■ Organisasi seringkali memperlakukan suatu insiden siber sebagai
peristiwa tunggal.
■ Pada kenyataannya, sebagian besar insiden siber terkini,
kemungkinan telah berlangsung cukup lama (termasuk ketika
peretas melakukan pengintaian/recon) dan/atau mencakup lebih
dari satu bagian di organisasi (kantor cabang, pihak ketiga, dsb).
Syarat Dasar Pemantauan Keamanan Siber
■ Prasyaratan dasar dalam pemantauan keamanan siber, meliputi:
○ Menentukan tujuan dan ruang lingkup pemantauan;
○ Menentukan aset utama atau kritikal;
○ Menentukan bagian jaringan yang tidak termasuk dalam trusted network (misal, internet, extranet,
dsb);
○ Mengidentifikasi/mengenali skenario serangan siber yang mungkin pada aset-aset penting atau
kritikal;
○ Meminimalisasi jalur serangan (attack path) ke aset penting atau kritikal tsb;
○ Memastikan diterapkannya kontrol/mekanisme keamanan utama di perimeter keamanan, untuk
mengurangi risiko dan attack surface;
○ Melakukan tinjauan kontrol keamanan siber yang saat ini diterapkan (dan merevisi jika diperlukan).
■ Langkah-langkah tersebut membantu menciptakan kondisi dasar (baseline), sehingga proses
pemantauan keamanan siber dapat dilakukan dengan fokus dan lebih terarah.
 Tahapan Utama pada
Pemantauan Keamanan Siber
Tahapan Kunci Pemantauan Keamanan Siber

Kumpulkan security
COLLECTION event log yang relevan.
■ Diagram di samping menunjukkan
tahapan kunci dalam pemantauan
keamanan siber, dimana 4 fase Ambil langkah untuk
tindak lanjut.
tersebut merupakan siklus yang
berkelanjutan.
■ Fase akhir pada dasarnya ACTION FUSION
merupakan pelajaran terpetik dari
tindakan yang diambil di tahap ke-4,
yang menjadi masukan kembali Fusi dan korelasi
kejadian keamanan.
untuk 3 fase lainnya.

Analisa anomali dan

peringatan keamanan. ANALYSIS
Tahapan Kunci Pemantauan Keamanan Siber
■ Berikut uraian aktivitas dan komponen pada setiap fase pemantauan keamanan siber.
Indicator of Compromise (IoC)
■ Dari berbagai kejadian keamanan yang terdeteksi, sebagiannya kemungkinan merupakan indicator of
compromise (IoC) yang dapat menunjukkan bahwa suatu insiden siber sedang, akan, atau telah terjadi.
■ Security event log dan sumber lainnya merupakan sarana yang untuk mendapatkan potensi indicator of
compromise (IoC).
■ Indicator of compromise (IoC) dikategorikan ke dalam 2 jenis:
○ Precursor, merupakan tanda atau indikator bahwa sebuah insiden dapat terjadi di waktu yang akan
datang;
○ Indicator, merupakan tanda atau indikator bahwa sebuah insiden mungkin telah terjadi atau sedang
terjadi saat IoC tersebut terdeteksi.
Contoh Indicator of Compromise (IoC)
Contoh Indicator of Compromise (IoC) Contoh Sumber dari IoC
Contoh IoC berupa precursor: § Perangkat/perimeter keamanan siber (misal,
§ Log entry pada web server yang menunjukkan adanya aktivitas pemindaian menggunakan antivirus, firewall, IDP, IPS, SIEM, EDR, email
gateway, dsb).
vulnerability scanner.
§ Ditemukannya kode exploit yang menargetkan suatu kerentanan (vulnerability) pada mail § Event log (OS log, application log, network device
server yang digunakan organisasi. log, network flow).
§ Adanya informasi (misal, melalui media sosial) yang menyatakan bahwa sebuah grup § Laporan dari pegawai atau system admin di
peretas akan melakukan serangan siber ke organisasi. organisasi.
§ Informasi yang tersedia secara terbuka (misal,
website yang menyediakan informasi exploit,
Contoh IoC berupa indicator: grup cyber threat info sharing, dsb).
§ Alert dari perangkat antivirus aktif saat salah satu komputer/host terifeksi suatu malware. § Pihak ketiga (pelanggan, mitra bisnis, ISP,
§ Alert dari perangkat firewall aktif saat mendeteksi adanya serangan brute force ke salah lembaga pemerintah, CISRT, masyarakat, dsb).
satu perangkat server.
§ Seorang pegawai melaporkan ke system administrator setelah ia melihat ada file yang
mencurigakan pada komputernya.
§ Log di aplikasi menunjukkan ada percobaan login yang dilakukan berulang kali dari alamat
IP yang tidak biasa.
§ Seorang system administrator mendeteksi adanya pengiriman email oleh salah satu pegawai
yang ditujukan ke ratusan alamat email dalam rentang waktu yang singkat.
Sumber Indicator of Compromise (IoC)
No. Sumber Tujuan Kritikalitas/Urgensi

1 Catatan internal § Tren Sangat penting

§ Tindak lanjut penanganan
2 Layanan komersial (umum) § Situational awareness Sangat penting/Penting
§ Informasi tren malware
3 Lembaga penegak hukum § Penegakan hukum Sangat penting/Penting

4 Lembaga pemerintah § Situational awareness Sangat penting/Penting

§ Pemberitahuan ttg kebocoran
keamanan
5 Community of interest § Tren Penting

6 Open-source intelligence § Tindak lanjut penanganan Penting

7 CSIRT § Situational awareness Penting

§ Pemberitahuan ttg kebocoran
keamanan
8 Layanan komersial (spesialis, misal cyber § Serangan siber secara tertarget Penting
threat intelligence)
Cyber Threat Intelligence
Cyber Threat Intelligence (CTI)
■ Cyber threat intelligence (CTI) sangat membantu proses pemantauan keamanan siber karena dapat
memberikan informasi secara dini tentang ancaman siber yang datang ke organisasi.
○ Umumnya mencakup informasi tentang ancaman/penyerang berikut dengan kemampuan, motif, dan
kemungkinan-kemungkinan aksi tindakan mereka.
○ Dapat disediakan oleh pemerintah, CERT, atau pihak ketiga.
■ Organisasi yang menggunakan CTI akan lebih memahami taktik, teknik, dan prosedur aktor penyerang,
sehingga organisasi dapat mereduksi risiko atau setidaknya mengurangi upaya para penyerang tsb.
○ CTI kemungkinan jg dapat membantu organisasi mendeteksi ancaman selama fase pengintaian,
sebelum organisasi betul-betul diserang.
Memilah Antara Data Ancaman, Berita, dan Intelijen
■ Penting untuk membedakan antara data ancaman (threat data), berita (news), dan intelijen (intelligence),
karena setiap jenis data tsb digunakan pada fase pemantauan yang berbeda.
Keterkaitan Pemantauan Keamanan Siber
dengan Tanggap Insiden Siber
■ Pemantauan keamanan siber erat kaitannya dengan proses tanggap insiden siber.
■ Sebagaimana pada diagram berikut, aktivitas pemantauan keamanan menyoroti kejadian-kejadian
keamanan yang berpotensi diidentifikasi sebagai kejadian keamanan yang aktual (insiden siber) setelah
melalui suatu tahapan analisis.

■ Laporan kejadian keamanan siber selanjutnya dibuat untuk menindak lanjuti informasi peringatan
(alert) – terutama yang memiliki prioritas tinggi – yang mencakup beberapa detail penting, diantaranya:
○ Tanggal dan waktu kegiatan
○ Perangkat atau ruang lingkup yang terdampak
○ Detail kejadian
○ Risiko (detail tentang kemungkinan terjadinya serangan)
Investigasi Awal Kejadian Keamanan Siber
■ Pada tahap awal investigasi suatu kejadian keamanan siber, sifat persis dari suatu kejadian/insiden
tersebut mungkin belum dapat diketahui, sehingga diperlukan analisis awal. Untuk itu, pendekatan yang
dapat diambil dapat berupa:
○ Pendekatan secara intelligence-driven, yakni analisis berdasarkan informasi yang dikumpulkan dari
CTI (misal, CTI dari badan pemerintah, informasi dari sumber terbuka, CTI yang digunakan pada
internal, dsb);
○ Pendekatan secara evidence-driven, yakni analisis berdasarkan informasi yang dikumpulkan dari
perangkat, infrastruktur atau aplikasi pada organisasi (misal, security event log).
■ Selanjutnya petugas analis melakukan:
○ Pemeriksaan peringatan penting atau kejadian mencurigakan dalam log atau sistem pemantauan
keamanan lain di organisasi (misal, IDS, DLP, SIEM, dsb);
○ Korelasi dengan data lainnya di jaringan;
○ Kaitkan atau bandingkan informasi yang didapat dari CTI.
Investigasi Awal Kejadian Keamanan Siber
■ Saat proses investigasi, setiap kejadian yang menjadi pemicu (alert) harus diselidiki secara menyeluruh:
○ Tanggal dan waktu kegiatan
○ Alamat IP (internal atau eksternal)
○ Port (sumber atau tujuan), domain, file yang berkaitan (misal, exe, dll )
○ Sistem (sistem operasi, aplikasi, lokasi).
■ Penting agar hasil analisis dari pemantauan dan security event log menghasilkan seluruh informasi yang
diperlukan untuk penyelidikan yang responsif dan efektif.
■ Selain itu, diperlukan SDM dengan kualifikasi, spesialisasi dan pengalaman yang baik agar tindak lanjut
atau respon yang tepat dan cepat dapat diambil untuk memitigasi risiko. Tindakan dapat merupakan
gabungan antara tindakan teknis dan/atau dari sisi bisnis.
■ Tanpa langkah tersebut, pelaksanaan pemantauan keamanan siber hanya menghabiskan sumber daya
(biaya, waktu, SDM) dan memberikan value yang tidak signifikan untuk organisasi.