Threat Hunting dengan MITRE ATT&CK: Mencari Attacker yang Sudah di Dalam

Pendahuluan

Sebagian besar pendekatan keamanan bersifat reaktif: menunggu alert, lalu melakukan investigasi dan respons. Ada asumsi berbahaya di balik pendekatan ini, yaitu bahwa setiap ancaman yang masuk pasti akan memicu alert. Kenyataannya, attacker yang berpengalaman bisa beroperasi di dalam jaringan selama berhari-hari, berminggu-minggu, bahkan berbulan-bulan tanpa memicu satu alert pun dari sistem monitoring konvensional.

Threat hunting adalah pendekatan yang berbeda: secara aktif mencari tanda-tanda kompromi yang belum terdeteksi, berdasarkan hipotesis tentang bagaimana attacker mungkin beroperasi di lingkungan spesifik tersebut.^[6] Bukan menunggu sistem memberi tahu ada masalah, melainkan secara proaktif mencari bukti bahwa masalah sudah ada.

MITRE ATT&CK adalah framework yang menjadi fondasi bagi threat hunting yang terstruktur dan dapat diulang.^[1]

Memahami MITRE ATT&CK sebagai Bahasa Bersama

MITRE ATT&CK adalah knowledge base yang mendokumentasikan taktik, teknik, dan prosedur (TTP) yang digunakan oleh threat actor nyata dalam serangan yang terdokumentasi.^[1] Berbeda dari daftar kerentanan yang berfokus pada celah teknis, ATT&CK berfokus pada perilaku attacker, yaitu apa yang mereka lakukan dan bagaimana cara mereka melakukannya.

Framework ini diorganisasi dalam matriks dengan taktik sebagai kolom, yaitu tujuan yang ingin dicapai attacker seperti Initial Access, Persistence, dan Lateral Movement, serta teknik sebagai baris di bawah setiap taktik, yaitu cara spesifik untuk mencapai tujuan tersebut. Setiap halaman teknik di ATT&CK juga dilengkapi bagian Data Sources, yaitu jenis data sensor atau log seperti Process Creation atau Network Traffic yang relevan untuk mendeteksi teknik tersebut. Bagian ini menjadi titik awal praktis untuk memetakan coverage deteksi yang sudah dimiliki tim security terhadap yang belum.^[16]

Nilai utama ATT&CK untuk threat hunting terletak pada kemampuannya menjadi bahasa bersama antara tim offensive dan defensive. Teknik yang sama yang digunakan pentester untuk menggambarkan aktivitasnya bisa digunakan blue team untuk membangun hipotesis hunting dan mengevaluasi coverage deteksi.

ATT&CK dalam Konteks Model Analisis Intrusi Lain

ATT&CK bukan satu-satunya model yang digunakan komunitas keamanan untuk memahami serangan, dan memahami posisinya relatif terhadap model lain membantu memilih alat yang tepat untuk konteks yang tepat. Cyber Kill Chain dari Lockheed Martin mendeskripsikan serangan sebagai tujuh tahap linear, dari Reconnaissance hingga Actions on Objectives, yang berguna untuk komunikasi tingkat tinggi ke manajemen, tetapi kurang detail untuk hunting teknis sehari-hari.^[10]

Diamond Model of Intrusion Analysis mengambil pendekatan berbeda, memetakan setiap event intrusi ke dalam empat sudut yang saling terhubung, yaitu Adversary, Capability, Infrastructure, dan Victim, sehingga memudahkan analis melihat pola lintas kejadian dan melakukan atribusi.^[11] ATT&CK melengkapi keduanya dengan detail teknis di level bagaimana yang jauh lebih granular. Ketiga model ini sering digunakan bersamaan: Kill Chain untuk narasi tingkat tinggi, Diamond Model untuk analisis relasional antar-insiden, dan ATT&CK untuk pemetaan teknis serta pengukuran coverage deteksi.

Model Pendukung: Pyramid of Pain dan Hunting Maturity Model

Dua kerangka kerja dari David Bianco kerap menjadi pelengkap praktis ATT&CK dalam program threat hunting. Pyramid of Pain menggambarkan enam level indikator, dari hash value dan alamat IP di dasar piramida yang mudah diubah attacker, hingga TTP di puncak piramida yang paling sulit dan mahal bagi attacker untuk diubah begitu terdeteksi dan diblokir.^[8] Implikasinya bagi threat hunting jelas: berburu berdasarkan TTP jauh lebih bernilai dalam jangka panjang dibanding sekadar mencari IOC statis seperti hash atau IP, karena attacker bisa mengganti indikator level rendah dalam hitungan menit, sementara mengubah cara mereka beroperasi jauh lebih mahal dan lambat.

Hunting Maturity Model (HMM), juga dari Bianco, memberikan cara mengukur kematangan program hunting sebuah organisasi, mulai dari HM0, saat organisasi murni bergantung pada alerting otomatis tanpa hunting proaktif sama sekali, hingga HM4, saat sebagian besar prosedur hunting yang terbukti berhasil sudah diotomasi menjadi deteksi permanen.^[9] Model ini berguna sebagai peta jalan. Kebanyakan tim security di Indonesia realistis berada di level HM1 atau HM2, dan kenaikan level idealnya terjadi bertahap seiring runbook hunting yang terkumpul dan tervalidasi.

Membangun Hipotesis Hunting

Threat hunting yang efektif dimulai dari hipotesis yang spesifik dan dapat diuji, bukan dari pencarian yang tidak terarah di dalam data log.^[6]

Hipotesis yang baik biasanya berbentuk: jika attacker menggunakan teknik X untuk mencapai tujuan Y, maka akan terlihat sinyal Z di sumber data W.

Beberapa sumber yang berguna untuk membangun hipotesis dijelaskan berikut ini.

Threat intelligence tentang threat actor yang relevan dengan industri atau geografi target. Jika ada laporan bahwa threat actor tertentu aktif menargetkan sektor perbankan Indonesia, TTP mereka yang terdokumentasi di ATT&CK menjadi prioritas hunting.

Temuan dari penetration testing sebelumnya. Teknik yang berhasil digunakan pentester namun tidak terdeteksi oleh monitoring yang ada adalah prioritas hunting yang jelas.

Anomali yang belum diinvestigasi. Bukan setiap anomali adalah ancaman, tetapi anomali yang tidak pernah diinvestigasi adalah titik buta yang potensial.

Studi Kasus: APT yang Menyasar Indonesia

Ancaman tingkat lanjut yang menyasar Indonesia bukan skenario hipotetis. Group-IB mendokumentasikan kelompok APT bernama Dark Pink, juga dikenal sebagai Saaiwc Group, yang aktif sejak pertengahan 2021 dan mengonfirmasi pelanggaran terhadap sebuah lembaga pemerintah Indonesia pada Desember 2022. Kelompok ini juga menargetkan sektor militer dan pemerintahan di Kamboja, Malaysia, Filipina, dan Vietnam, dengan spear-phishing sebagai vektor akses awal.^[15] Kasus semacam ini menjadi sumber hipotesis hunting yang konkret. TTP spear-phishing dan teknik persistence yang digunakan kelompok seperti ini bisa langsung dipetakan ke ATT&CK dan dijadikan prioritas pencarian di lingkungan organisasi dengan profil risiko serupa, terutama sektor pemerintahan dan pertahanan.

Teknik Hunting yang Paling Efektif

Process dan Command Line Analysis

Banyak serangan meninggalkan jejak di level process execution. Attacker sering menggunakan living-off-the-land binaries (LOLBins), yaitu executable yang sudah ada di sistem Windows seperti powershell.exe, wmic.exe, certutil.exe, dan mshta.exe, untuk menghindari deteksi berbasis signature, sebagaimana dikatalogkan secara komprehensif oleh LOLBAS Project.^[3]

Hunting untuk penggunaan LOLBins yang anomali melibatkan pemeriksaan command line arguments yang tidak biasa, proses yang di-spawn oleh parent process yang tidak wajar (misalnya cmd.exe yang di-spawn oleh winword.exe), dan eksekusi script yang di-encode.

Sysmon dengan konfigurasi yang tepat adalah sumber data terbaik untuk hunting semacam ini,^[4] dan Wazuh bisa digunakan untuk mengagregasi serta mencari pola di dalam data Sysmon.^[7] Setelah pola hunting terbukti efektif secara berulang, mengubahnya menjadi rule Sigma memungkinkan logika deteksi tersebut dibagikan lintas platform SIEM secara vendor-agnostic, sekaligus mengubah aktivitas hunting manual menjadi deteksi otomatis permanen, sejalan dengan prinsip kenaikan level pada Hunting Maturity Model.^[12]

Network Traffic Analysis

Pola network traffic yang anomali sering menjadi sinyal kompromi paling dini. Beberapa pola yang menjadi target hunting antara lain koneksi ke IP atau domain yang baru pertama kali dihubungi, traffic ke IP tanpa nama domain (raw IP connection), DNS query untuk domain yang menggunakan algoritma generasi domain (DGA),^[5] serta volume data yang tidak biasa ke tujuan eksternal di luar jam kerja normal.

Account dan Authentication Analysis

Penggunaan credential yang anomali adalah salah satu sinyal terkuat untuk lateral movement. Hunting di area ini melibatkan login ke sistem yang belum pernah diakses oleh akun tersebut sebelumnya, login dari lokasi atau subnet yang tidak biasa, penggunaan akun service untuk login interaktif, dan eskalasi privilege yang tidak wajar.

Purple Teaming: Menutup Lingkaran antara Red dan Blue Team

Hunting yang dilakukan terisolasi dari aktivitas red team kehilangan salah satu sumber validasi paling berharga. Purple teaming, sebagaimana didefinisikan SANS, adalah kolaborasi eksplisit antara tim offensive dan defensive untuk menguji, mengukur, dan menyempurnakan deteksi secara iteratif berdasarkan TTP yang benar-benar bisa dieksekusi attacker, bukan sekadar teknik yang dianggap relevan secara teoretis.^[13] Dalam praktiknya, temuan pentest atau simulasi red team yang tidak terdeteksi monitoring adalah bahan hipotesis hunting paling langsung dan paling actionable yang bisa didapat sebuah tim security.

Membangun Hunting Runbook

Hunting yang dilakukan sekali tanpa dokumentasi kehilangan sebagian besar nilainya. Runbook yang terdokumentasi memungkinkan hunting yang sama dijalankan secara berkala, atau oleh anggota tim yang berbeda, dengan hasil yang konsisten.

Komponen runbook hunting yang baik mencakup nama dan deskripsi hipotesis, teknik ATT&CK yang menjadi target, sumber data yang diperlukan, query atau prosedur pencarian yang digunakan, interpretasi hasil (apa yang dianggap normal dibanding anomali), dan tindakan yang harus diambil jika ditemukan sesuatu.

Seiring waktu, koleksi runbook yang terakumulasi menjadi aset yang sangat berharga bagi tim security.

Mengukur Efektivitas: Detection Coverage dan Dampak Bisnis

Salah satu kegunaan ATT&CK yang sering diabaikan adalah sebagai alat untuk mengukur coverage deteksi. Dengan memetakan teknik mana yang bisa dideteksi oleh monitoring yang ada dan mana yang tidak, tim security mendapatkan gambaran yang jelas tentang titik buta dalam kapabilitas deteksi mereka.

Tools seperti ATT&CK Navigator memungkinkan visualisasi coverage ini dalam format matriks yang mudah dikomunikasikan ke manajemen.^[2] Bagian ini menunjukkan teknik yang bisa dideteksi, teknik yang belum bisa dideteksi, dan area mana yang menjadi prioritas untuk ditingkatkan. Untuk teknik yang belum memiliki kontrol deteksi maupun preventif, MITRE D3FEND menyediakan katalog countermeasure defensif yang dipetakan langsung sebagai pasangan teknik ATT&CK, membantu tim menerjemahkan hasil mapping coverage menjadi rencana mitigasi yang konkret.^[17]

Dampak bisnis dari kemampuan deteksi yang lebih matang juga terukur secara empiris. Laporan Cost of a Data Breach 2025 dari IBM mencatat rata-rata waktu untuk mengidentifikasi dan menahan sebuah breach turun menjadi 241 hari, titik terendah dalam sembilan tahun terakhir, dengan breach yang memakan waktu lebih dari 200 hari untuk ditangani menelan biaya rata-rata 1,14 juta dolar AS lebih tinggi dibanding yang ditangani lebih cepat.^[14] Data ini menjadi argumen kuantitatif yang relevan bagi CISO ketika mengajukan investasi kapabilitas threat hunting, sebab setiap hari lebih cepat dalam mendeteksi kompromi berkorelasi langsung dengan penghematan biaya insiden.

Kesimpulan

Threat hunting bukan pengganti monitoring dan alerting konvensional, melainkan pelengkap yang mengisi celah yang tidak bisa diisi deteksi berbasis signature. Dengan MITRE ATT&CK sebagai framework, dilengkapi model pendukung seperti Pyramid of Pain dan Hunting Maturity Model untuk mengarahkan prioritas dan mengukur kematangan, tim security bisa secara proaktif mencari ancaman yang sudah ada sebelum dampaknya terasa.

Kemampuan ini semakin relevan di konteks Indonesia, tempat kelompok APT seperti Dark Pink telah terbukti berhasil menembus lembaga pemerintah, dan serangan yang ditargetkan ke sektor perbankan, telekomunikasi, serta pemerintahan semakin sering terdokumentasi.

Jika Anda ingin membangun kapabilitas threat hunting atau mengevaluasi coverage deteksi di lingkungan Anda, tim Security Squad LOGIQUE siap membantu.

Daftar Referensi

1. MITRE ATT&CK. https://attack.mitre.org/
2. MITRE ATT&CK Navigator. https://mitre-attack.github.io/attack-navigator/
3. LOLBAS Project. https://lolbas-project.github.io/
4. Microsoft. “Sysmon.” Sysinternals Documentation. https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon
5. MITRE ATT&CK. “Dynamic Resolution: Domain Generation Algorithms.” T1568.002. https://attack.mitre.org/techniques/T1568/002/
6. SANS Institute. “A Practical Model for Conducting Cyber Threat Hunting.” https://www.sans.org/white-papers/38710
7. Wazuh. Official documentation. https://documentation.wazuh.com/current/index.html
8. Bianco, David. “The Pyramid of Pain.” https://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
9. Bianco, David. “A Simple Hunting Maturity Model.” https://detect-respond.blogspot.com/2015/10/a-simple-hunting-maturity-model.html
10. Lockheed Martin. “Cyber Kill Chain.” https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html
11. Caltagirone, Sergio, Andrew Pendergast, dan Christopher Betz. “The Diamond Model of Intrusion Analysis.” 2013. https://www.activeresponse.org/wp-content/uploads/2013/07/diamond.pdf
12. SigmaHQ. “sigma.” GitHub repository. https://github.com/SigmaHQ/sigma
13. SANS Institute. “Purple Team Training and Resources.” https://www.sans.org/cybersecurity-focus-areas/offensive-operations/purple-team
14. IBM. “Cost of a Data Breach Report 2025.” https://www.ibm.com/reports/data-breach
15. Group-IB. “Dark Pink: New APT group targets governmental, military organizations in APAC, Europe.” https://www.group-ib.com/media-center/press-releases/dark-pink-apt/
16. MITRE ATT&CK. “Data Sources.” https://attack.mitre.org/datasources/
17. MITRE D3FEND. https://d3fend.mitre.org/