Peran Kunci Threat Intelligence dalam Pertahanan Siber

Belakangan ini, serangan siber, terutama yang terkait dengan ransomware, masih menjadi salah satu ancaman keamanan paling umum dan ditakuti.

Frekuensi dan intensitasnya mungkin bervariasi, tetapi satu hal yang pasti, hanya pola pikir yang mengutamakan pencegahan yang didukung oleh alat-alat tepat seperti threat intelligence yang dapat menghentikan ransomware mengganggu operasional bisnis.

Ketika Ransomware Bertemu Kecerdasan Buatan (AI)

Serangan ransomware pada dasarnya adalah serangan yang sangat terorganisir dan sering kali diawali dengan serangan spearphishing yang menargetkan individu atau perusahaan bernilai tinggi.

Namun, dengan bantuan kecerdasan buatan generatif (generative AI), serangan phising kini menjadi jauh lebih canggih dan sulit dideteksi.

Ketakutan lama tentang ransomware yang didukung AI akhirnya menjadi kenyataan setelah ESET menemukan ransomware PromptLock.

Malware ini menggunakan model AI, gpt-oss:20b dari OpenAI, secara lokal melalui API Ollama untuk menghasilkan skrip berbahaya yang dapat mengenkripsi dan mengeksfiltrasi data.

Meskipun PromptLock belum terdeteksi dalam serangan aktif dan diperkirakan masih berupa proof-of-concept (PoC) atau sedang dalam tahap pengembangan.

Penemuan ESET ini menunjukkan bagaimana penggunaan alat AI yang tersedia secara publik dapat meningkatkan daya rusak ransomware dan ancaman siber lainnya.

Peran Kunci Threat Intelligence dalam Pertahanan Siber

Threat intelligence (kecerdasan ancaman) adalah data terorganisir dan terkurasi tentang ancaman siber yang dapat membantu organisasi memahami, memprediksi, dan mencegah serangan. Dengan kata lain, threat intelligence adalah peta jalan bagi para keamanan siber.

Para penyerang menggunakan berbagai taktik, teknik, dan prosedur (TTP) untuk menyebarkan alat mereka, baik melalui AI maupun metode tradisional.

Tujuannya tetap sama, menavigasi lusinan langkah untuk mencari informasi berharga di dalam jaringan yang disusupi. Ketika ini terjadi, opsi yang tersisa bagi para pembela menjadi terbatas, bergeser dari pertahanan ke mitigasi atau lebih buruk, remediasi (pemulihan).

Untuk melawan hal ini, ESET Threat Intelligence (ETI) memproses ratusan juta indicator of compromise (IOC) setiap harinya. Ini seperti membangun basis data baru tentang petunjuk yang ditinggalkan oleh penyusup siber saat mereka merangkak di dalam jaringan korban.

Memanfaatkan Threat Intelligence untuk Keamanan Proaktif

Peneliti, tim Security Operations Center (SOC), threat hunter, dan bahkan administrator IT yang berorientasi pada pencegahan dapat memanfaatkan threat intelligence untuk:

Membangun Skenario Serangan: Data threat intelligence dapat digunakan untuk mereplikasi skenario serangan, membantu tim red team (tim penyerang simulasi) dan blue team (tim pertahanan) dalam menguji dan memperkuat pertahanan jaringan.
Membentuk Strategi Keamanan: Informasi ini memungkinkan organisasi untuk secara logis mengejar pendekatan yang mengutamakan pencegahan (prevention-first approach).
Mendukung Respons Insiden: Threat intelligence memainkan peran penting dalam seluruh siklus respons insiden, mulai dari deteksi hingga pemulihan.

ESET Threat Intelligence menyediakan datanya dalam format yang sangat akurat, terkurasi, dan dapat ditindaklanjuti. Data ini dapat disandingkan dengan observasi dari alat lain seperti:

XDR (Extended Detection and Response).
SIEM (Security Information and Event Management).
SOAR (Security Orchestration, Automation, and Response)

Yang kesemuanya tentu saja sebagai cara untuk mencegah kerusakan akibat ransomware dan pemerasan.

Kasus Malware SmokeLoader

Pada akhir 2023, ESET mengamati malware SmokeLoader, sebuah backdoor generik dengan berbagai kemampuan yang dapat disebarkan secara diam-diam untuk menghindari langkah-langkah keamanan. Malware ini digunakan untuk mengunduh dan mengeksekusi payload akhir dari serangan.

Di sinilah ETI berperan. ETI mengumpulkan semua petunjuk yang diperlukan untuk menyebarkan mekanisme pencegahan dan, jika perlu, secara efektif melakukan mitigasi terhadap malware seperti SmokeLoader.

Para ahli keamanan dapat memanfaatkan sistem pelacakan backend ETI untuk memahami ancaman semacam itu dengan lebih baik dan menerapkan pembelajaran dari feed ETI untuk mendukung proses pertahanan proaktif.

ETI mengelompokkan data pada spektrum malware yang luas, menemukan kesamaan atau kekhasan, menyoroti apa yang menonjol, dan memantau rantai serangan serta perubahan TTP.

Otomatisasi ini terjadi secara real-time, terus-menerus memperbarui semua feed untuk memberikan informasi yang paling penting dan dapat segera ditindaklanjuti kepada pelanggan tentang ancaman yang menargetkan mereka.

Ketersediaan dan Perluasan Threat Intelligence

ESET Threat Intelligence menyediakan data feed kepada pelanggannya melalui server TAXII, yang memungkinkan integrasi langsung ke dalam sistem yang sudah ada.

Seperti Microsoft Sentinel atau OpenCTI Threat Intelligence Platform. Feed ini mencakup berbagai aspek keamanan siber, termasuk:

Melacak file berbahaya, botnet, dan APT (Advanced Persistent Threats).
Mengidentifikasi domain, URL, atau IP yang berpotensi berbahaya.
Melacak data terkait.

Untuk memastikan kompatibilitas dan integrasi yang mudah, feed ini disediakan dalam format yang umum digunakan, seperti JSON dan STIX 2.1.

ETI untuk Semua

Keunggulan ETI tidak terikat pada satu vendor tertentu. Oleh karena itu, bisnis yang sudah menggunakan produk SIEM/SOAR alternatif, seperti:

Microsoft Sentinel.
OpenCTI.
IBM QRadar.
Anomali.
Block APT.
Elastic SIEM.
Dan ThreatQuotient.

Selain itu juga dapat memperoleh manfaat dari aliran data unik ETI melalui API.

Melawan Aktivitas Berbahaya

Mencegah ancaman yang beragam agar tidak memengaruhi jaringan, kelangsungan bisnis, dan reputasi Anda membutuhkan basis pengetahuan yang komprehensif dan selalu up-to-date.

Oleh karena itu, di luar pertahanan teknis terhadap ransomware dan malware lainnya, operator keamanan di berbagai organisasi harus mengadopsi budaya keamanan berbasis pengetahuan.

Fondasi keamanan ini sangat penting, terutama di institusi publik dan swasta yang bergantung pada tim SOC, threat hunter, dan operator keamanan yang terampil.

Mereka tidak hanya memiliki keterampilan teknis, tetapi juga akses ke informasi yang terus berkembang tentang pelaku ancaman, konfigurasi sistem, dan pemahaman tentang apa yang berhasil dan tidak.

Di sinilah ESET Research menggunakan sejarah panjangnya bekerja sama dengan lembaga penegak hukum, Joint Cyber Defense Collaborative.

Dan inisiatif “No More Ransom” untuk memerangi ancaman secara luas dan menginformasikan bagaimana dan mengapa mereka membangun platform threat intelligence mereka, ETI.

Baca artikel lainnya: