Apa Itu Cyber Threat Intelligence? Memahami Siklus Serangan Berbasis Identitas

Peningkatan insiden berbasis identitas membuat tim Security Operations Center (SOC) perlu memperluas pemantauan log dan menerapkan threat hunting secara terstruktur. Cyber Threat Intelligence (CTI) menyediakan konteks teknis untuk mengidentifikasi aktivitas yang berkaitan dengan ancaman dan mendeteksi potensi eskalasi hak akses di jaringan produksi.

TL;DR

• Cyber Threat Intelligence (CTI) menyediakan konteks teknis dan operasional untuk mendukung keputusan keamanan di berbagai tingkatan organisasi.

• Penanganan kredensial bocor bergantung pada karakteristik data, mulai dari pencabutan session cookies aktif pada stealer logs hingga rotasi kata sandi pada combolists.

• Serangan identitas dapat memanfaatkan kelemahan verifikasi help desk dan proses pemulihan akun tanpa perlu mengeksploitasi mekanisme kriptografi MFA.

• Aktivitas tidak sah di cloud control plane dapat dijalankan melalui API resmi, sehingga deteksi mengandalkan analisis baseline perilaku sistem.

• UU PDP Pasal 46 mewajibkan pengendali data menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan Data Pribadi.

Apa Itu CTI dan Peran Klasifikasi Kebocoran

Cyber Threat Intelligence (CTI) mengolah informasi tentang ancaman, threat actor, teknik serangan, target, dan konteks aktivitas menjadi intelligence yang dapat digunakan untuk pengambilan keputusan keamanan. CTI membantu tim keamanan memahami siapa yang menjadi ancaman, bagaimana mereka beroperasi, dan aktivitas apa yang perlu diperhatikan.

Dalam praktiknya, informasi tersebut menjadi lebih berguna ketika dikaitkan dengan rangkaian aktivitas serangan, mulai dari pencurian kredensial hingga penggunaan akses yang diperoleh untuk menjangkau sistem dan data organisasi.

Pada serangan berbasis identitas, rangkaian tersebut dapat dimulai dari kredensial yang beredar di eksternal, berlanjut ke penyalahgunaan proses pemulihan akun, dan berakhir pada aktivitas administratif di lingkungan cloud. Memahami hubungan antarfase membantu SOC menentukan apa yang perlu dipantau dan kapan sebuah temuan perlu ditindaklanjuti.

Tingkatan Penggunaan Cyber Threat Intelligence

Merujuk pada analisis BreachSense tentang taksonomi CTI, penggunaan CTI dapat dikelompokkan ke dalam tiga tingkatan keputusan:

1. CTI Strategis (Level Eksekutif) Menyajikan tren ancaman makro dan profil risiko industri untuk membantu CISO menyusun alokasi anggaran keamanan.

2. CTI Operasional (Level Analis) Menganalisis taktik, teknik, dan prosedur (TTP) kelompok threat actor untuk mendukung proses threat hunting.

3. CTI Taktis (Level Sistem dan Perangkat) Memasukkan indikator kompromi teknis (IOC) berupa alamat IP, domain berbahaya, dan hash malware ke perangkat keamanan untuk pemblokiran otomatis.

Dengan pendekatan ini, CTI membantu tim keamanan melihat gambaran insiden secara utuh, bukan hanya melihat satu temuan secara terpisah. Pada serangan berbasis identitas, konteksnya bisa berkembang dari kredensial yang bocor, penyalahgunaan akses, sampai aktivitas di lingkungan cloud.

Fase 1: Memahami Data yang Terekspos

Salah satu sumber intelligence berasal dari kredensial dan data akses yang beredar setelah perangkat atau layanan mengalami kompromi. Namun, tidak semua data tersebut memberikan jenis akses yang sama. Karena itu, klasifikasi menjadi langkah awal sebelum menentukan respons.

Stealer Logs dan Combolists

Stealer logs adalah paket data dari komputer pengguna yang dihasilkan akibat infeksi infostealer. File ini memuat data autofill, kredensial lokal, dan session cookies aktif yang memberikan akses sesi tanpa autentikasi ulang kata sandi.

Sementara itu combolists adalah kumpulan pasangan email dan kata sandi dari kompilasi kebocoran historis. Menurut analisis Flare tentang taksonomi dark web, threat actor memanfaatkan data ini untuk serangan credential stuffing berbasis penggunaan ulang kata sandi (password reuse).

Menentukan Data dan Akses yang Terdampak

Alur respons insiden membedakan antara data internal dan data pelanggan. Analis CTI dapat menangani karantina perangkat dan pencabutan hak akses secara internal saat menemukan stealer logs pada komputer kantor.

Temuan kredensial juga perlu dilihat dari kemungkinan penggunaannya. Kredensial yang masih aktif atau dapat digunakan kembali dapat menjadi titik awal untuk memperoleh akses ke akun organisasi.

Kebocoran kredensial dan manipulasi proses pemulihan akun merupakan dua jalur kompromi yang berbeda. Keduanya dapat menghasilkan kondisi yang sama, yaitu akses ke identitas organisasi yang kemudian digunakan untuk menjangkau layanan internal dan cloud. Karena itu, CTI perlu menghubungkan berbagai sumber temuan tanpa mengasumsikan bahwa seluruh aktivitas berasal dari satu rangkaian serangan.

Fase 2: Eksploitasi Identitas dan Social Engineering

Kebocoran kredensial bukan satu-satunya sumber risiko identitas. Akses ke akun dengan hak tertentu juga dapat diperoleh melalui kelemahan pada proses verifikasi dan pemulihan akun.

Temuan analisis CrowdStrike mengenai aktivitas Scattered Spider dan CISA Advisory AA23-320A menunjukkan pemanfaatan kelemahan pada proses verifikasi staf internal untuk memperoleh akses sah tanpa mengeksploitasi celah software.

Penyalahgunaan Proses Verifikasi Help Desk

Threat actor mengumpulkan data karyawan melalui riset media sosial, lalu melakukan panggilan vishing ke help desk TI atau SIM swapping untuk mengalihkan verifikasi SMS.

Data identitas tersebut digunakan untuk memengaruhi staf agar mengatur ulang metode autentikasi multifaktor (MFA) ke perangkat baru yang dikendalikan threat actor.

Aktivitas Setelah Kompromi Akun

Aktivitas setelah pengaturan ulang autentikasi mencakup:

• Manipulasi Help Desk Memanfaatkan teknik social engineering terhadap staf help desk untuk menonaktifkan metode MFA sebelumnya pada akun target.

• Registrasi Perangkat Tidak Sah Mendaftarkan perangkat yang dikendalikan oleh threat actor ke dalam sistem autentikasi perusahaan.

• Manipulasi Aturan Email Membuat atau memodifikasi aturan email untuk menghapus atau mengalihkan notifikasi keamanan sehingga pengguna asli tidak segera mengetahui aktivitas pada akunnya.

• Pengumpulan Data Direktori Identitas Mengumpulkan data pengguna dari Entra ID guna mendukung aktivitas lateral movement.

Karena aktivitas tersebut menggunakan identitas yang valid, konteks seperti perangkat, lokasi, waktu akses, dan resource yang diakses menjadi penting dalam proses deteksi.

Kelemahan Verifikasi dalam Proses Pemulihan Akun

Insiden manipulasi help desk menunjukkan bahwa threat actor dapat melewati kontrol autentikasi multifaktor (MFA) ketika proses pemulihan akun (account recovery) memiliki kelemahan dalam verifikasi identitas.

Risiko process bypass meningkat ketika verifikasi terlalu bergantung pada informasi yang mudah diperoleh oleh threat actor. Tanpa pemantauan terpusat terhadap aktivitas reset akun, tim keamanan juga sulit mengorelasikan permintaan berulang sebagai indikasi kompromi akun.

Kontrol pada Proses Reset MFA

Organisasi dapat menerapkan verifikasi berlapis untuk permintaan reset MFA, terutama pada akun dengan hak akses administratif. Bentuk kontrolnya dapat mencakup persetujuan tambahan, verifikasi melalui kanal terpisah, dan pembatasan sementara sebelum metode autentikasi baru digunakan sepenuhnya.

Kontrol ini membantu mengurangi risiko ketika kredensial atau informasi identitas karyawan sudah diketahui pihak lain. Jika akun yang berhasil dipulihkan memiliki akses ke resource cloud, tahap berikutnya perlu dilihat dari aktivitas identitas tersebut di lingkungan cloud.

Fase 3: Aktivitas Berbasis Identitas pada Cloud Control Plane

Setelah memperoleh akses menggunakan identitas yang sah, threat actor memanfaatkan kredensial tersebut untuk mengakses cloud control plane dan menjalankan aktivitas administratif, termasuk ekstraksi data.

Aktivitas Cloud Setelah Kompromi Identitas

Dengan token atau kredensial yang valid, penyerang menjalankan command-line interface (CLI) cloud untuk memetakan izin akses sistem serta membangun persistensi melalui pembuatan kredensial akses sekunder.

Sebagaimana diuraikan dalam CrowdStrike 2025 Threat Hunting Report, threat actor mengekstrak data melalui API resmi penyedia cloud atau mengarahkan komunikasi ke endpoint yang menyerupai domain cloud resmi. Aktivitas tersebut menyerupai lalu lintas backup normal tanpa selalu menghasilkan alert pada sensor jaringan konvensional.

Mengapa Pemanggilan API Sulit Dideteksi

Pemanggilan API menggunakan mekanisme yang sama dengan aktivitas administrator atau aplikasi yang sah. Perbedaannya sering kali terletak pada konteks penggunaannya, seperti siapa yang melakukan aktivitas, dari mana akses dilakukan, kapan aktivitas terjadi, dan resource apa yang diakses.

Aturan deteksi berbasis signature saja dapat kesulitan membedakan aktivitas tersebut dari penggunaan normal. Sebaliknya, aturan yang terlalu luas juga dapat menghasilkan terlalu banyak false positive. Karena itu, telemetri identitas dan cloud perlu dianalisis bersama dengan konteks aktivitas pengguna.

Penerapan Behavioral Baselining di SOC

Deteksi cloud mengandalkan pendekatan behavioral baselining yang memetakan profil aktivitas normal setiap IAM role. Jika akun sistem yang biasanya aktif di jam kerja teridentifikasi mengunduh data sensitif dari alamat IP asing di luar jam operasional, sistem SOC dapat mengidentifikasinya sebagai anomali dengan tingkat risiko tinggi.

Dengan pendekatan tersebut, SOC dapat melihat aktivitas cloud dalam konteks identitas, waktu, sumber akses, dan resource yang digunakan. Jika aktivitas tersebut berujung pada akses atau ekstraksi data pribadi, insiden perlu ditinjau lebih lanjut dari sisi dampak terhadap data dan kewajiban pelindungan data.

Dampak terhadap Data dan Kewajiban UU PDP

Kompromi identitas dapat berlanjut hingga akses terhadap data yang berada dalam tanggung jawab organisasi. Ketika aktivitas tersebut melibatkan Data Pribadi, organisasi perlu menilai apakah telah terjadi kegagalan pelindungan Data Pribadi dan menentukan tindakan yang diperlukan berdasarkan ketentuan yang berlaku.

Kewajiban Notifikasi Insiden Berdasarkan UU PDP

Siklus serangan berbasis identitas dapat dimulai dari kredensial yang terekspos, berlanjut melalui penyalahgunaan proses pemulihan akun, hingga akses terhadap sumber daya dan data di cloud. Setiap fase menghasilkan konteks yang membantu tim keamanan memahami bagaimana akses diperoleh, digunakan, dan berpotensi berdampak pada data organisasi.

Klasifikasi data yang terdampak berkaitan langsung dengan kepatuhan hukum untuk menentukan kewajiban pelaporan formal. Ketentuan UU No. 27 Tahun 2022 (UU PDP) menetapkan konsekuensi bagi organisasi yang mengalami kegagalan pelindungan data.

Batas Waktu Pelaporan 3x24 Jam pada Pasal 46

Pasal 46 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mengatur bahwa pengendali Data Pribadi wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan Data Pribadi kepada Subjek Data Pribadi dan lembaga.

Pemberitahuan tersebut setidaknya memuat Data Pribadi yang terungkap, kapan dan bagaimana Data Pribadi tersebut terungkap, serta upaya penanganan dan pemulihan atas kegagalan pelindungan Data Pribadi.

Karena itu, proses investigasi perlu menghasilkan informasi teknis yang cukup untuk mendukung penilaian dampak dan pemenuhan kewajiban pemberitahuan apabila kondisi tersebut terpenuhi.

Detection Engineering Berbasis Ancaman di Cisometric

Setiap fase dalam siklus tersebut menghasilkan temuan yang dapat menjadi konteks untuk fase berikutnya. Karena itu, informasi dari threat intelligence perlu dapat dihubungkan dengan telemetri endpoint, identitas, dan cloud.

Tim keamanan perlu mengelola temuan stealer logs, memverifikasi permintaan reset help desk, dan menganalisis anomali API di cloud secara terintegrasi. Cisometric mengimplementasikan threat-driven detection engineering untuk mengurangi keterbatasan visibilitas tersebut:

1. SOC Lokal di Fasilitas Data Center Tier 3 Beroperasi 24/7/365 untuk mendukung keamanan operasional dan menjaga kedaulatan data lokal.

2. Korelasi Threat Intelligence Terintegrasi Analis menyaring indikator dark web, membedakan stealer logs dari combolists, dan menerapkan pemblokiran otomatis pada perimeter.

3. Pemantauan Anomali Telemetri Cloud Menganalisis anomali pada pemanggilan API control plane untuk mendukung deteksi dan respons terhadap aktivitas ekstraksi data yang tidak sah.

4. Respons dan Pengendalian Insiden Mengeksekusi isolasi host, mencabut session cookies aktif, dan menonaktifkan akun yang terindikasi telah disusupi.

5. Penyelarasan Tata Kelola Kepatuhan Merancang alur investigasi forensik agar selaras dengan batas waktu pelaporan UU PDP.

Cisometric membantu organisasi mengevaluasi kontrol keamanan, proses verifikasi identitas, serta kemampuan deteksi dan respons terhadap insiden melalui layanan Security Operations Center dan layanan Data Privacy Management. Evaluasi tersebut mencakup integrasi threat intelligence, analisis telemetri cloud, dan penyelarasan terhadap regulasi pelindungan data.

Artikel ini disajikan sebagai referensi edukasi teknis taksonomi ancaman siber dan bukan nasihat hukum formal terkait UU No. 27 Tahun 2022 (UU PDP). Kesiapan pelaporan insiden memerlukan evaluasi teknis dan legal yang disesuaikan dengan arsitektur dan kondisi organisasi.

Pertanyaan Umum (FAQ)

Apa itu Cyber Threat Intelligence dan mengapa penting untuk SOC?

Cyber Threat Intelligence adalah data kontekstual yang mendokumentasikan identitas threat actor, metode teknis, dan aset yang menjadi target. CTI beroperasi pada tingkat Strategis untuk keputusan risiko eksekutif, tingkat Operasional untuk mendukung proses threat hunting analis, dan tingkat Taktis untuk mengotomatisasi pemblokiran indikator kompromi di perangkat keamanan.

Apa perbedaan stealer logs dan combolists di dark web?

Stealer logs memuat paket data hasil infeksi malware infostealer pada perangkat pengguna, termasuk session cookies aktif yang dapat memungkinkan akses ke sesi yang masih aktif tanpa autentikasi ulang kata sandi. Combolists adalah daftar kompilasi pasangan email dan kata sandi historis untuk serangan credential stuffing.

Mengapa serangan Scattered Spider dapat melewati perlindungan MFA?

Pada kasus Scattered Spider, akses diperoleh melalui social engineering terhadap staf help desk TI untuk mengatur ulang metode autentikasi pada akun target menggunakan data pribadi yang diperoleh sebelumnya, kemudian mendaftarkan perangkat yang dikendalikan oleh threat actor ke dalam sistem perusahaan.

Bagaimana SOC mendeteksi aktivitas pada cloud control plane?

Deteksi aktivitas pada cloud control plane mengandalkan behavioral baselining karena pemanggilan API resmi dapat digunakan tanpa malware. Tim SOC memetakan profil rutinitas normal dari setiap IAM role, lalu menghasilkan alert apabila akun tersebut mengakses data sensitif di luar kebiasaan operasionalnya.