Menguasai Threat Hunting: Panduan Praktis

Threat hunting membalikkan model keamanan tradisional: daripada menunggu alert, Anda secara proaktif mengasumsikan kompromi dan mencari bukti. Jika dilakukan dengan baik, threat hunting menangkap penyerang yang lolos dari pertahanan otomatis. Panduan ini memandu Anda melalui proses praktis dan dapat diulang yang dapat Anda terapkan terlepas dari ukuran organisasi atau toolset Anda.

Mengapa Hunting Penting

Deteksi berbasis signature bahkan sebagian besar behavioral analytics hanya menangkap pola yang diketahui jahat atau anomali yang jelas. Penyerang terampil secara sengaja beroperasi di bawah ambang itu, menggunakan tools legitimate (living-off-the-land binaries), kredensial valid, dan gerakan yang lambat dan sabar. Threat hunting menutup celah tersebut dengan membuat analis manusia membentuk hipotesis tentang perilaku penyerang dan secara aktif mencari bukti pendukung dalam telemetri Anda.

Bangun Proses Berbasis Hipotesis

Hunts yang efektif dimulai dengan hipotesis spesifik dan dapat diuji daripada ekspedisi penggalian yang terbuka. Hipotesis yang baik biasanya berasal dari tiga sumber:

• Threat intelligence: Laporan baru menggambarkan teknik yang digunakan oleh kelompok yang menargetkan industri Anda. Hipotesis: "Jika kelompok ini aktif di lingkungan kami, kami akan melihat PowerShell mengunduh payload melalui pola tertentu."
• MITRE ATT&CK gaps: Petakan cakupan deteksi saat ini Anda terhadap teknik ATT&CK dan prioritaskan hunts untuk teknik yang tidak dapat Anda deteksi secara otomatis.
• Anomaly-driven curiosity: Waktu login tidak biasa, hubungan parent-child process yang jarang, atau koneksi outbound yang tidak terduga yang tidak memicu alert tetapi terlihat aneh saat ditinjau.

Dokumentasikan setiap hipotesis, sumber data yang akan Anda query, dan bukti apa yang akan mengonfirmasi atau membantahnya. Disiplin ini mencegah hunts menjadi tidak terfokus dan membuat hasil dapat direproduksi.

Ketahui Sumber Data Anda

Hunt hanya sebaik telemetri di baliknya. Sumber inti meliputi:

• Endpoint Detection and Response (EDR) logs: pembuatan proses, argumen command-line, penulisan file, koneksi jaringan per proses.
• Windows Event Logs: terutama Security (4624/4625 logons), Sysmon (pembuatan proses, jaringan, registry), dan PowerShell operational logs.
• Network data: NetFlow/Zeek logs untuk metadata koneksi, DNS query logs, dan proxy logs untuk traffic web outbound.
• Authentication logs: dari identity providers, VPN, dan directory services untuk mendeteksi impossible travel atau credential abuse.
• Cloud audit logs: CloudTrail, Azure Activity Logs, atau GCP Audit Logs untuk perubahan privilege dan API abuse.

Sentralisasikan ini dalam SIEM atau data lake di mana Anda dapat menjalankan queries ad-hoc dengan cepat. Jika retention Anda terlalu pendek, hunts terhadap intrusi historis menjadi tidak mungkin—targetkan setidaknya 90 hari jika memungkinkan.

Teknik Hunting Praktis

Stack counting (frequency analysis): Hitung kemunculan field—nama parent process, nama scheduled task, nama service—di seluruh lingkungan Anda. Outliers (process yang berjalan pada satu host dari sepuluh ribu) sering menunjukkan sesuatu yang layak diselidiki.

SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;

Least frequency of occurrence (LFO): Serupa dengan stacking tetapi diterapkan pada kombinasi, seperti pasangan (user, source_ip) untuk authentication, untuk mengungkap pola akses yang jarang.

Baseline deviation: Tetapkan apa yang "normal" bagi host atau user (jam login biasa, proses umum) dan tandai penyimpangan. Ini memerlukan investasi awal dalam profiling tetapi terbayar untuk hunts berkelanjutan.

Pivoting pada IOCs dan TTPs: Mulai dari indikator yang diketahui (hash, domain, IP) atau teknik (misalnya, T1055 process injection) dan cari di semua log yang tersedia untuk aktivitas terkait, kemudian pivot keluar dari hits apa pun untuk menemukan infrastruktur terkait atau host yang terpengaruh.

Tools yang Perlu Dipelajari

• Sysmon + Sigma rules: Sysmon menyediakan telemetri endpoint yang kaya; Sigma memberikan format rule portabel untuk mendeteksi dan hunt di platform SIEM.
• Velociraptor atau osquery: Untuk live querying di seluruh fleet ketika Anda perlu memeriksa ratusan endpoint untuk artifact tertentu sekarang.
• Zeek: Untuk analisis protokol jaringan yang mendalam di luar simple NetFlow.
• MITRE ATT&CK Navigator: Untuk melacak dan memvisualisasikan cakupan hunt seiring waktu.

Menutup Loop

Setiap hunt harus menghasilkan outcome selain "tidak menemukan apa-apa." Jika Anda mengkonfirmasi aktivitas berbahaya, masukkan ke incident response. Jika Anda menemukan celah dalam visibility, ajukan sebagai detection engineering tickets. Jika teknik hunt terbukti berharga, ubah menjadi automated detection rule sehingga instance di masa depan memicu alert tanpa usaha manual. Ini mengubah threat hunting menjadi mesin continuous improvement untuk seluruh program keamanan Anda daripada latihan sekali jadi.

Simpan hunt log dengan hipotesis, queries yang digunakan, dan temuan—pengetahuan institusional ini berkembang seiring waktu dan membuat onboarding hunter baru jauh lebih cepat.

Siap untuk menggali lebih dalam? Jelajahi Digital Forensics dan Blue Team segments Korra Studio untuk membangun detection dan investigation skills yang berpasangan secara alami dengan threat hunting.