Security Operations Center Analyst

Course

Module 01
Konsep Operasi dan
Arsitektur Keamanan Siber
Kerangka Materi
Modul ini akan membahas :

■ Prinsip-prinsip pertahanan siber modern.

■ Pengenalan pusat operasi keamanan
(Security Operations Center/SOC).
■ Arsitektur sistem untuk pemantauan keamanan
berkelanjutan.
 Prinsip-Prinsip
Pertahanan Siber Modern
Konsep Kunci Keamanan Informasi
■ Kerahasiaan (Confidentiality)
○ Memastikan bahwa informasi hanya diakses oleh pihak-pihak yang berkepentingan, mencegah akses,
pengungkapan, dan penggunaan informasi secara tidak sah.

■ Integritas (Integrity)
○ Memastikan bahwa informasi bersifat utuh, tidak mengalami pengubahan secara tidak sah saat
diproses, disimpan dan dikirimkan.

■ Ketersediaan (Availability)
○ Memastikan bahwa sistem dan informasi selalu tersedia dan dapat diakses saat dibutuhkan.
Kerentanan, Ancaman dan Serangan
■ Kerentanan (Vulnerability)
○ Kelemahan dalam desain atau implementasi, yang
Ancaman
dapat menyebabkan kejadian yang tidak terduga atau
menyebabkan mengeksploitasi
tidak diharapkan sehingga berakibat pada gangguan
atau insiden keamanan pada sistem.
Kejadian menyebabkan
■ Ancaman (Threat) Keamanan Kerentanan
Siber
○ Keadaan, peristiwa, atau aktor/orang yang berpotensi
menyebabkan gangguan atau kerusakan pada suatu termasuk dalam mengekspos
sistem. Insiden
Aset
■ Serangan (Attack) Keamanan
Informasi
Siber berdampak pada
○ Upaya secara disengaja oleh suatu aktor/orang untuk
menyebabkan gangguan atau kerusakan pada suatu mengganggu mendukung
sistem. Operasi
Bisnis
Pertahanan Siber Konvensional
Berorientasi untuk Menangkal Serangan Siber Oportunistik
■ Jenis serangan yang bersifat oportunistik (opportunistic
attack) tidak menargetkan korban secara spesifik
(serangan membabi-buta).
■ Namun karena jumlah serangan jenis ini dilakukan secara
masif, maka dampak yang ditimbulkan sangat besar.
■ Jenis serangan siber yang bersifat oportunistik pada
umumnya dapat digagalkan oleh arsitektur keamanan
konvensional.
Pertahanan Siber Konvensional
Eksploitasi pada Sisi Layanan
■ Eksploitasi sisi layanan (service-side exploitation)
merupakan serangan konvensional paling umum.
○ Juga disebut sebagai eksploitasi sisi server
(server-side exploitation).
■ Menargetkan layanan atau aplikasi yang memiliki
kerentanan.
○ Umumnya, target/korban adalah server atau
aplikasi.
■ Aktor penyerang umumnya fokus pada bagaimana meningkatkan jumlah/volume serangan jenis ini.
■ Aktor penyerang umumnya tidak melakukan monetisasi (mendapatkan uang) pada korban yang
terdampak.
Pertahanan Siber Konvensional
Terlalu Berfokus pada Pencegahan
■ Arsitektur keamanan konvensional umumnya hanya
berorientasi pada upaya pencegahan.
■ Umumnya, yang menjadi tujuan utama :
○ Menghindarkan diri dari aktor kriminal
○ Menghindari malware agar tidak berjalan
○ Blokir serangan atau lalu lintas masuk yang anomali
■ Perangkat keamanan yang menjadi tumpuan meliputi :
○ Firewall
○ Anti Virus/Anti Malware
○ Intrusion Detection/Prevention System
○ Proxy
○ Web Content Filter
○ Network Access Control
Pertahanan Siber Konvensional
Bertumpu pada Perangkat Keamanan

■ Perangkat keamanan menjadi tumpuan utama dalam

implementasi arsitektur keamanan konvensional.
■ Operasi keamanan hanya berfokus pada perawatan
(maintenance) dan memberikan input (feeding) sederhana
pada perangkat keamanan.
○ Perangkat keamanan dijaga tetap aktif dan berjalan
○ Perawatan rutin
○ Pembaruan konfigurasi dasar
○ Jika keamanan gagal, maka organisasi cenderung
akuisisi/mengadakan perangkat yang lebih baru
Aktor Kriminal dengan Motivasi Tertentu
■ Uang mengubah segalanya, termasuk bagi aktor kejahatan siber.
■ Saat ini, aktor kejahatan siber sering melakukan monetisasi atas serangan siber yang mereka lalukan,
untuk mendapatkan uang atau keuntungan.
○ Pencurian kartu kredit
○ Pencurian identitas
○ Pencurian informasi konfidensial perusahaan
○ Spam
○ Click-fraud
○ Pemerasan via elektronik
○ DDoS
○ Keystroke logging
○ Sniffing
○ Pencurian kredensial
Aktor Kriminal yang Dibiayai
■ Perkembangan saat ini memunculkan banyak aktor kejahatan siber yang dibiayai, atau memiliki sumber
daya finansial yang cukup besar.
○ Aktor yang disponsori oleh negara (nation-state, non-military)
○ Aktor yang disponsori oleh negara (nation-state, military)
○ Kriminal terorganisasi (organized crime)
○ Organisasi teroris
■ Tujuan utama aktor kejahatan jenis ini meliputi:
○ Informasi/data dengan nilai tinggi
• Rahasia negara
• Rahasia bisnis/perusahaan
○ Akses agar dapat menyusup dalam waktu lama/jangka panjang
• Akses klandestin ke jaringan sensitif
• Kemampuan untuk pindah dari 1 sistem ke sistem lain
(lateral movement) tanpa terdeteksi
Taktik yang Digunakan Kriminal Siber

Contoh taktik yang memanfaatkan kelemahan di sisi klien (client-side).

■ Email ■ Web
○ Mengandung malicious code/program ○ Malicious web server
○ Mengandung malicious file ○ Watering hole attack
○ Mengandung tautan yang mengarahkan ke ○ Compromised third-party hosts evil
website berbahaya ○ Malvertising
■ Social Media ■ Mobile
○ Mengandung tautan yang mengarahkan ke ■ Removable Media
website berbahaya ○ USB, external hard drive
○ Mengandung kode berbahaya
Taktik Kejahatan Siber Konvensional vs Modern
Prinsip Pertahanan Siber Modern
Asumsi Bahwa Tindakan Preventif Selalu Gagal

■ Sistem keamanan yang sudah diterapkan sangat berpotensi akan gagal

(atau sudah gagal tanpa sepengetahuan kita).
○ Jika jaringan yang dikelola cukup besar, kemungkinan besar akan
ada yang disusupi (meskipun saat ini belum diketahui).
○ Menyadari bahwa setiap aset TI dapat bobol atau disusupi.
■ Dimulai dengan asumsi tersebut, maka penerapan arsitektur keamanan
konvensional saja tidak cukup.
■ Kemampuan untuk mendeteksi dan merespon dengan cepat suatu
serangan siber sangat penting.
Prinsip Pertahanan Siber Modern
Berorientasi pada Deteksi Terhadap Serangan Siber
■ Organisasi yang bergantung pada mekanisme preventif
mengurangi kemampuan dalam proses deteksi.
■ Menerapkan mekanisme deteksi yang baik tidak mudah.
○ Tingginya volume lalu lintas data dan meningkatnya
kompleksitas teknologi di organisasi membuat tingkat
kesulitan yang tinggi dalam menerapkan deteksi serangan
siber.
○ Membangun keamanan yang efektif membutuhkan proses dan
tahapan yang berkelanjutan.
Prinsip Pertahanan Siber Modern
Deteksi Secara Proaktif
■ Membangun pertahanan siber yang kuat membutuhkan mekanisme deteksi secara proaktif dalam
bentuk tim pemburu ancaman (threat hunting).
■ Tim pemburu ancaman menyusun hipotesa dan asumsi bahwa sistem dalam keadaan disusupi
(compromised) dan mencari sumber ancaman.
■ Upaya deteksi dilakukan secara proaktif dibandingkan hanya reaktif.
■ Umumnya, anggota tim membutuhkan pengalaman luas di berbagai domain keamanan, dengan
pemahaman yang kuat tentang operasi siber secara ofensif dan defensif.
■ Perkembangan baru-baru ini, pertahanan siber yang berorientasi pada deteksi (detection-oriented)
diterapkan pada organisasi dengan pertahanan siber yang kuat.
Prinsip Pertahanan Siber Modern
Fokus Perhatian pada Pasca Eksploitasi
■ Exploit dan kerentanan Zero Day merupakan hal yang sering
dibicarakan, namun ini bukan merupakan hal utama bagi aktor
penyerang.
■ Fokus pada eksploitasi modern adalah untuk mencapai tujuan
akhir dari serangan siber.
○ Dalam kata lain, pasca-eksploitasi (post-exploitation)
merupakan tahapan kunci dari serangan siber.
○ Di fase pasca-exploitasi tersebut, aktor penyerang
melakukan berbagai modus operandi, dimana modus
tersebut berkembang cepat sesuai perubahan teknologi.
Prinsip Pertahanan Siber Modern
Tindakan Respon Secara Cepat
■ Bagaimanapun, mendeteksi upaya serangan siber adalah suatu keberhasilan.
■ Langkah berikutnya adalah menindak lanjuti atas serangan yang terdeteksi.
■ Bergerak cepat dari deteksi ke respon taktis adalah kunci untuk mengurangi kemampuan penyerang
dalam mencapai tujuan akhirnya.
○ Hal terpenting adalah melakukan respons sebelum berdampak serius.
○ Peretas kemungkinan sudah memiliki kendali ke berapa perangkat di jaringan korbannya (umumnya
perangkat komputer dalam jaringan) yang sudah bocor, tapi harapannya kita bisa menggagalkan dan
menghentikan kemampuan mereka untuk melakukan kerusakan serius.
Prinsip Pertahanan Siber Modern
Didukung dengan Informasi Risiko
■ Pertahanan siber modern harus didukung oleh
informasi terkait risiko, terlepas apakah kerangka
kerja manajemen risiko formal digunakan atau
tidak.
■ Fokus pada kerentanan (vulnerability) dan
kemungkinan (likelihood) ancaman yang tinggi.
■ Selain itu, pendekatan pertahanan siber modern
harus dapat secara cepat menilai ancaman dan
kerentanan dalam lanskap yang terus berubah.
Pengenalan Pusat Operasi Keamanan Siber
(Security Operations Center/SOC)
Tuntutan Implementasi Pertahanan Siber Modern
■ Implementasi pertahanan siber modern menuntut organisasi
mengubah cara dalam mengelola sumber daya untuk
menerapkan pertahanan siber dengan efektif.
■ Beberapa hal yang mendasari organisasi perlu membangun
tim keamanan khusus yang secara spesifik bertugas mengelola
operasi keamanan siber.
○ Volume/jumlah informasi (event log, alert, dsb) yang di-
generate oleh perangkat TI dan keamanan.
○ Rentang waktu yang panjang, dari proses deteksi dan
respon terhadap suatu serangan siber.
○ Menyatukan detail kronologi dari suatu serangan siber
sangat sulit. Analisis forensik pasca serangan siber
cenderung sangat lambat karena harus menyatukan
kumpulan kejadian keamanan.
Kebutuhan akan SOC
■ Membangun dan memastikan keamanan siber yang baik memerlukan upaya terpusat (centralized)
untuk memantau, menganalisis, dan merespons kejadian keamanan secepat mungkin.
■ Security Operations Center (SOC) merupakan fasilitas dimana sistem informasi perusahaan (website,
aplikasi, database, pusat data dan server, jaringan, dan perangkat endpoint) dipantau dan dijaga
keamanannya.
○ SOC umumnya bertujuan mendeteksi, melakukan investigasi, dan merespon peristiwa-peristiwa yang
dipicu oleh peringatan atau hasil korelasi antara kejadian-kejadian keamanan siber.
○ SOC yang baik perlu memiliki kapabilitas lebih dari sekedar pemantauan dan dapat membantu
menanggapi peristiwa keamanan siber dengan cepat dan efektif.

A SOC is only the engine; it still needs to support robust processes.

Tujuan Implementasi SOC
■ Kebutuhan teknis implementasi SOC
○ Meningkatkan kemampuan deteksi serangan siber.
○ Meningkatkan kemampuan dalam respon atas serangan dan insiden siber.
○ Meningkatkan kemampuan dalam korelasi kejadian keamanan siber.
○ Memungkinkan pengelolaan keamanan secara terpusat dan terintegrasi.
■ Kebutuhan bisnis implementasi SOC
○ Mereduksi gangguan akibat permasalahan keamanan sistem.
○ Mereduksi dampak dari kegagalan keamanan sistem.
■ Kunci kesuksesan implementasi SOC sangat bergantung pada SDM dan ketentuan formal di organisasi.
■ Berdasarkan best practices, hal yang perlu ditekankan dalam implementasi SOC sbb:
○ SOC harus dibangun untuk mendukung proses/prosedur yang sudah ditetapkan di organisasi.
○ SOC harus dibangun berdasarkan masukan/input dari pihak-pihak yang memanfaatkan informasi
dari perangkat yang diolah pada SOC.
Peran Kunci pada SOC
Beberapa peran penting/kunci dalam SOC :
■ Analyst
■ Incident responder
■ Security architect
■ Developer
■ Manager
■ Security administrator
■ Security engineer
Membangun SOC Secara Mandiri
■ Saat organisasi akan membangun SOC, konsep ide yang dituangkan sering kali berlebihan.
■ Sebaiknya tidak membangun dari nol ke full team.
○ Bangun SOC dari waktu ke waktu, berdasarkan kebutuhan yang ditentukan.
■ Menentukan peran dan tujuan dari implementasi SOC adalah kunci.
■ Layanan-layanan utama yang disediakan SOC :
○ Deteksi
○ Respon
○ Audit
○ Operasi dan perawatan
■ Menyiapkan SDM yang kompeten merupakan tantangan paling signifikan dalam implementasi SOC.
■ Meningkatkan kesadaran pegawai organisasi lainnya juga merupakan tantangan besar bagi pertahanan
siber di organisasi.
Alih Daya SOC
■ Cukup banyak organisasi yang mulai mencoba mengalihdayakan SOC.
○ Umumnya tetap akan melibatkan pemanfaatan Managed Security Service Providers (MSSP).
○ MSSP sebaiknya tidak dianggap sebagai pengganti SOC.
■ Untuk mendapatkan manfaat yang besar dari SOC, akan membutuhkan biaya yang juga signifikan.
○ Alih daya SOC ‘lebih murah’ dibandingkan membangun SOC.
○ Biaya OPEX besar, namun CAPEX kecil.
■ Sering kali terjadi kekurangan staf berkompeten dalam SOC.
■ Meskipun MSSP memiliki tenaga analis yang siaga 24x7, organisasi tetap tidak memiliki tim analis khusus.
○ Tanpa upaya yang signifikan, MSSP tidak dapat memahami jaringan/sistem di organisasi.
○ MSSP juga tidak akan dapat memahami risiko bisnis organisasi.
Keterkaitan SOC dengan Cyber Defense
■ Pendekatan modern dalam pertahanan siber mengharuskan organisasi
untuk menerapkan arsitektur keamanan, pemantauan keamanan
jaringan (network security monitoring) dan pemantauan keamanan
berkelanjutan (continuous security monitoring).
○ Tidak mungkin untuk mengelola data perihal kejadian keamanan
siber (yang jumlahnya sangat besar), tanpa dukungan SOC.
○ Tidak mungkin mengelola dan membuat prioritasi risiko kejadian
keamanan siber, tanpa dukungan SOC.
■ Hal fundamental dan kunci dalam pengelolaan keamanan TI salah
satunya adalah visibility terhadap perangkat-perangkat TI di
organisasi, dan tanpa SOC maka mustahil mendapatkan visibility tsb.
■ Bangun kemampuan atau fasilitas SOC seiring waktu, dengan
menerapkan prinsip pertahanan siber yang baik, serta kebutuhan
keamanan prioritas yang ditetapkan organisasi.
Keterkaitan SOC dengan Cybersecurity Framework

■ SOC dibutuhkan untuk menerapkan

kerangka kerja keamanan siber
yang terdiri 5 elemen inti.
○ Identify
○ Protect
○ Detect
○ Respond
○ Recover
 Arsitektur Keamanan Untuk
Pemantauan Keamanan Berkelanjutan
Paradigma Keamanan Siber Baru
■ Tujuan:
○ Mendeteksi aktivitas anomali atau potensi gangguan lainnya yang
disebabkan aktor kejahatan siber.
○ Merespon secara cepat berdasarkan hasil deteksi keamanan siber .
■ Pendekatan utama untuk dapat mencapai tujuan di atas, sbb:
○ Defensible Security Architecture
○ Network Security Monitoring
○ Continuous Security Monitoring
Defensible Security Architecture
■ Perangkat utama untuk keamanan jaringan.
○ Routers, switches, dll.
○ Traditional/Next Generation Firewalls/IPS.
○ Sandboxing/malware detonation devices
○ Web applications firewall/proxies/SSL inspection
○ SIEM/IDS/Netflow/Packet Capture/Honeypots
■ Perangkat utama layanan jaringan.
○ Domain Controller/DNS/DHCP/Web server
■ Konfigurasi sistem & jaringan, SDM, kebijakan/prosedur.
Network Security Monitoring
■ Mendeteksi peretas modern membutuhkan kemampuan pemantauan keamanan jaringan yang baik.
○ Umumnya, lebih dari sekadar perangkat deteksi intrusi konvensional.
■ Sangat penting untuk menginstrumentasi kemampuan deteksi aktivitas pasca-eksploitasi (post-
exploitation).
○ Correlated data
○ Alert data
○ Session data
○ Packet data
○ Log data
○ Endpoint data
○ User/attribution data
○ Metadata
Endpoint Security Architecture
■ Arsitektur keamanan konvensional tidak mampu menghadapi
serangan-serangan siber yang memanfaatkan eksploitasi sisi klien
(client-side).
■ Teknik lateral movement oleh umumnya digunakan peretas di
perangkat endpoint dan meningkatkan kemungkinan eksploitasi.
■ Untuk itu, perangkat endpoint harus memiliki perimeter
keamanan yang baik dan membantu deteksi atas suatu serangan.
Continuous Security Monitoring
■ Arsitektur keamanan yang baik & implementasi network security monitoring diperlukan, namun tidak
cukup.
■ Masih banyak tantangan yang harus dihadapi:
○ Lanskap ancaman yang selalu berubah
○ Lanskap kerentanan yang selalu berkembang
○ Organisasi (dan sistem TI yang digunakan) juga selalu berkembang
■ Tim keamanan TI harus memahami dampak dari perubahan-perubahan tsb ini dengan cara melakukan
continuous security monitoring.
○ Para peretas selalu mengembangkan taktik dan teknik baru, serta mencari dan menemukan
kelemahan-kelemahan sekecil apapun dalam sistem yang menjadi targetnya.
○ Tim keamanan TI dituntut untuk memahami ancaman, kerentanan dan dampaknya pada aset TI yang
dikelola.
○ Continuous security monitoring membutuhkan pemahaman akan perubahan lanskap keamanan dan
organisasi yang selalu berubah.
SOC Reference Architecture
Microsoft Cybersecurity Reference Architectures (MCRA)

Source: MCRA Security Operations - [Link]