Threat Hunting: Apa Itu dan Cara Kerjanya

Threat hunting adalah praktik pencarian proaktif melalui jaringan dan endpoint untuk penyerang yang sudah lolos dari deteksi yang ada. Dimulai dari asumsi sederhana dan tidak nyaman: sesuatu yang buruk mungkin sudah ada di dalam, dan tidak ada alert yang terpicu untuk itu. Daripada menunggu SIEM rule untuk berfungsi, seorang hunter membentuk hipotesis dan pergi mencari bukti untuk memastikan atau membantahnya.

Mengapa deteksi saja tidak cukup

Deteksi berbasis signature dan rule menangkap pola yang dikenal. Penyerang yang menggunakan living-off-the-land binaries (LOLBins), kredensial sah, atau teknik lambat dan volume rendah dapat tetap di bawah threshold itu selama berminggu-minggu. Threat hunting mengisi celah itu dengan memiliki manusia yang secara aktif mempertanyakan data: apakah invokasi PowerShell ini dari workstation finance pada jam 2 pagi masuk akal? Mengapa svchost.exe membuat koneksi outbound ke IP tanpa reverse DNS?

Ini bukan incident response. IR dimulai setelah Anda tahu sesuatu terjadi. Hunting dimulai ketika Anda belum tahu, dan tujuannya adalah mengetahuinya sebelum event yang lebih besar memaksa pertanyaan itu.

Tiga titik awal umum

Kebanyakan hunt dimulai dari salah satu dari tiga sudut:

• Intelligence-driven: laporan ancaman baru menjelaskan TTP (katakanlah, penyalahgunaan scheduled task untuk persistence), dan Anda memeriksa apakah itu ada di environment Anda.
• Situational awareness: Anda melihat apa yang benar-benar tidak biasa untuk organisasi Anda — service account yang melakukan autentikasi dari negara yang tidak pernah sebelumnya, atau lonjakan traffic SMB antara workstation yang biasanya hanya berbicara dengan server.
• Analytics-driven: Anda membangun baseline perilaku normal (process trees, waktu login, volume query DNS) dan hunt untuk outlier statistik terhadapnya.

MITRE ATT&CK adalah referensi yang paling banyak digunakan tim untuk struktur hipotesis. Daripada "cari malware," Anda memilih teknik seperti T1053 (Scheduled Task/Job) dan bertanya: apa tampilannya dalam Windows Event Logs atau EDR telemetry kami, dan bisakah saya query untuk itu sekarang?

Seperti apa workflow yang sebenarnya

Sebuah hunt biasanya mengikuti loop ini:

1. Bentuk hipotesis yang spesifik dan dapat diuji (bukan "cek intrusi" tetapi "cek scheduled task baru yang dibuat di luar patch windows dalam 30 hari terakhir").
2. Identifikasi sumber data yang diperlukan — Sysmon Event ID 1 untuk proses creation, Windows Security Event ID 4698 untuk scheduled task creation, EDR process trees, atau Zeek conn logs untuk konteks jaringan.
3. Query dan pivot. Dalam praktik ini berarti menulis KQL di Microsoft Sentinel, SPL di Splunk, atau query mentah terhadap Elastic index.
4. Triage hasil — kebanyakan akan menjadi false positives atau aktivitas admin yang benign, dan pekerjaannya adalah mempersempit noise itu menjadi apa yang benar-benar anomali.
5. Dokumentasikan temuan, apakah itu compromise yang dikonfirmasi, gap deteksi, atau hanya a