MITRE ATT&CK Framework: Arsitektur Deteksi dan Cara Mengukur Cakupan SOC yang Sebenarnya

MITRE ATT&CK framework adalah knowledge base global yang memetakan taktik, teknik, dan prosedur (TTP) threat actor berdasarkan observasi serangan di dunia nyata. Tim Security Operations Center (SOC) menggunakan framework ini untuk merancang arsitektur deteksi, memetakan celah visibilitas, dan membuktikan kesiapan operasional.

EXECUTIVE SUMMARY (KEY TAKEAWAYS)

• MITRE ATT&CK Enterprise Matrix mengelompokkan perilaku penyerang ke dalam 15 taktik (why), ratusan teknik (how), dan prosedur spesifik.

• Menilai kesiapan SOC hanya dari kuantitas aturan detection rules berisiko menyamarkan celah deteksi jika aturan hanya terpusat pada fase awal serangan.

• Correlation engine SIEM dengan jendela waktu standar memerlukan penyesuaian khusus untuk mendeteksi intrusi bertahap (low-and-slow).

• Penurunan false positive yang efektif dicapai melalui penyempurnaan logika filter kontekstual tanpa mengurangi visibilitas log.

• Regulasi POJK No. 11/POJK.03/2022 dan PBI No. 2 Tahun 2024 mewajibkan pemantauan dan deteksi ketahanan siber berkelanjutan yang terbukti secara operasional.

Memahami Struktur Tiga Tingkat MITRE ATT&CK

Kerangka kerja MITRE ATT&CK Enterprise Matrix menyediakan tiga tingkatan analitis dengan fungsi berbeda dalam arsitektur deteksi:

1. Tactics (Taktik / Why): Sasaran teknis penyerang pada fase tertentu. Terdapat 15 taktik resmi mulai dari Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, hingga Impact.

2. Techniques dan Sub-techniques (Teknik / How): Metode spesifik untuk mencapai target. Contohnya, untuk Execution (TA0002), penyerang memakai Command and Scripting Interpreter (T1059) dengan subteknik PowerShell (T1059.001).

3. Procedures (Prosedur): Contoh dari teknik yang dijalankan oleh malware atau kelompok ancaman tertentu, seperti skrip khusus dengan parameter Base64 terenkripsi.

Sebagian besar tim keamanan menulis aturan deteksi di tingkat teknik. Pendekatan ini menghasilkan alert terpisah tanpa visibilitas terhadap rantai serangan secara utuh.

Keterbatasan Deteksi di Lapisan Teknik

SOC komersial umumnya mendaftarkan aturan untuk teknik tunggal, seperti eksekusi skrip atau kegagalan login. Tanpa korelasi lintas taktik, analis menerima beban notifikasi berlebih (alert fatigue) tanpa konteks apakah anomali tersebut merupakan aktivitas rutin atau bagian dari intrusi yang terencana.

Dalam audit operasional SOC di sektor keuangan, pola ini kerap ditemui: tim memiliki ratusan detection rules, namun belum menghubungkan alert antar-taktik menjadi skenario serangan.

Saat Low-Priority Alert Gagal Dikenali Sebagai Insiden

Pada serangan terencana (advanced persistent threat), threat actor bergerak bertahap selama berminggu-minggu. Mereka mulai dari phishing (Initial Access), melakukan eksplorasi jaringan internal (Discovery), menaikkan hak akses (Privilege Escalation), mematikan log audit (Defense Impairment), lalu mentransfer data keluar (Exfiltration).

Jika SOC hanya memantau di tingkat teknik, puluhan anomali kecil hanya diproses sebagai low-priority alert yang berdiri sendiri. Tanpa korelasi lintas taktik, rangkaian aktivitas tersebut ditutup satu per satu dan gagal dikenali sebagai insiden sampai kebocoran data terlanjur terjadi.

Kuantitas Detection Rules dan Distribusi 15 Taktik

Evaluasi kapabilitas SOC memerlukan analisis distribusi cakupan pada 15 taktik ATT&CK. Fokus berlebihan pada total kuantitas aturan dapat menimbulkan ilusi cakupan (The Coverage Illusion).

Sebuah SOC dapat mengaktifkan 150 detection rules, namun 120 di antaranya menumpuk pada taktik Initial Access dan Execution. Organisasi memperoleh visibilitas di perimeter terluar, namun minim pemantauan pada pergerakan lateral, penonaktifan proteksi, dan eksfiltrasi data.

Pemetaan Blind Spot Menggunakan ATT&CK Navigator

Panduan pemetaan CISA merekomendasikan penggunaan ATT&CK Navigator. Alat ini memetakan aturan deteksi aktif ke matriks 15 taktik untuk mengidentifikasi celah blind spot secara terukur.

Pemetaan berbasis matriks memungkinkan tim keamanan memeriksa tiga komponen:

1. Taktik tanpa cakupan: Mengidentifikasi taktik kritis yang belum memiliki aturan deteksi atau sumber log pendukung.

2. Kecukupan sumber data: Memastikan sumber log yang dikumpulkan mencukupi untuk mendeteksi teknik yang dipetakan.

3. Validasi kontrol: Memastikan aturan memicu alarm saat teknik disimulasikan di lingkungan produksi.

Pemetaan Cakupan 15 Taktik MITRE ATT&CK

Tabel berikut membandingkan blind spot pada detection rules tunggal dengan strategi deteksi berbasis telemetri pada 15 taktik MITRE ATT&CK:

Cara Kerja Correlation Engine SIEM dan Batasan Waktunya

Cakupan taktik yang merata pada MITRE ATT&CK baru menjawab separuh arsitektur deteksi. Separuhnya lagi ditentukan oleh cara sistem Security Information and Event Management (SIEM) mengorelasikan log dari waktu ke waktu, titik di mana intrusi bertahap sering lolos meski aturan deteksi sudah lengkap. Sebab SIEM pada dasarnya pasif, tak tahu peristiwa mana yang berkaitan sebelum detection engineer merumuskan logikanya di balik layar (who’s behind the tools). Efektivitas pemantauan pun ditentukan oleh perpaduan dua peran berikut:

1. Pakar Deteksi sebagai Perancang Logika (The Brain): Tim analis mengonfigurasi aturan deteksi berdasarkan best practice industri dan skenario ancaman nyata:

   • Pemetaan Field (Field Matching): Menentukan keterkaitan antar-field heterogen, seperti menghubungkan source_ip dari log firewall dengan username pada Active Directory.

   • Penetapan Rentang Waktu (Time-Window): Menentukan durasi toleransi bagi SIEM untuk menunggu rangkaian peristiwa terkait sebelum memicu peringatan (misalnya, mengamati kegagalan login berulang yang diikuti satu keberhasilan dalam rentang 15 menit).

   • Menulis Aturan Deteksi (Correlation Rules): Menulis kueri deteksi spesifik menggunakan bahasa kueri SIEM (seperti SPL, KQL, atau YARA-L).

   • Melakukan Penyetelan (Tuning): Memperbarui batasan korelasi untuk menekan false positive tanpa memangkas visibilitas log.

2. SIEM sebagai Automation Engine (The Executor): Setelah aturan korelasi dikonfigurasi dan didefinisikan oleh analis, SIEM dapat bekerja secara otomatis melalui:

   • Data Ingestion: Mengumpulkan jutaan log mentah (raw logs) secara real-time dari aplikasi, jaringan, dan cloud.

   • Normalisasi Data: Menerjemahkan log non-standar melalui custom parser agar seluruh field memiliki penamaan seragam.

   • Pencocokan Aturan (Rule Matching): Membandingkan aliran log masuk dengan logika korelasi yang telah dirancang oleh analis.

   • Alert/Incident: Memicu notifikasi insiden secara otomatis untuk ditinjau oleh analis ketika seluruh kriteria korelasi dan batas waktu (time-window) terpenuhi.

Serangan Low-and-Slow dan Celah Jendela Waktu SIEM

Sebagian besar SIEM komersial hanya dikonfigurasi dengan aturan berbasis ambang batas sederhana (threshold-based simple rules) yang memantau satu alamat IP dalam jendela waktu 5-15 menit. Konfigurasi ini efektif untuk membendung pemindaian agresif (brute force), namun memiliki celah fatal saat menghadapi penyerang tingkat lanjut.

Pada skenario intrusi bertahap (low-and-slow) atau distributed brute force, penyerang sengaja membatasi intensitas menjadi 1-2 percobaan per jam, atau menyebarkan serangan ke ratusan alamat IP berbeda dengan volume 15-40 percobaan per IP.

Karena correlation engine yang terpasang hanya menyaring volume tinggi dari satu IP tunggal, peristiwa-peristiwa tersebut jatuh ke dalam time bucket terpisah dan selalu berada di bawah ambang batas (threshold) deteksi. SIEM sering kali melewatkan pola rangkaian serangan ini karena menganggap tiap percobaan sebagai anomali kecil yang berdiri sendiri, sehingga insiden pembajakan akun (account takeover) tidak pernah terdeteksi hingga kerusakan terjadi.

Cara Mengevaluasi Klaim Penurunan False Positive

Klaim penurunan angka false positive dalam laporan performa SOC perlu dievaluasi dengan cermat. Terdapat dua pendekatan teknis yang menghasilkan angka statistik serupa dalam evaluasi, namun membawa implikasi keamanan yang berbeda:

1. Peningkatan presisi deteksi: Menambahkan filter kontekstual, memperkaya log dengan threat intelligence, dan menyempurnakan logika korelasi tanpa mengurangi volume log yang dikumpulkan.

2. Pemangkasan ruang lingkup (Scope Truncation): Menonaktifkan aturan deteksi yang sering berbunyi atau mematikan pengumpulan log dari aset tertentu. Pendekatan ini menurunkan angka statistik peringatan, namun secara langsung mengurangi visibilitas pemantauan.

Regulasi Pemantauan Berkelanjutan di Indonesia

Penerapan arsitektur deteksi berbasis kerangka kerja standar di Indonesia didukung oleh regulasi sektor keuangan dan pelindungan data:

• Peraturan Bank Indonesia No. 2 Tahun 2024 dan PADG No. 24 Tahun 2024: Mengatur Keamanan Sistem Informasi dan Ketahanan Siber (KKS) bagi Penyelenggara Sistem Pembayaran (PJP) dan pelaku pasar keuangan. Regulasi ini mewajibkan pilar pencegahan melalui sistem deteksi dini dan pemantauan aktivitas anomali berkelanjutan, serta pengukuran tingkat kematangan keamanan siber (Cybersecurity Maturity Level).

• POJK No. 11/POJK.03/2022 dan SEOJK No. 29/SEOJK.03/2022: Pasal 21 ayat (2) POJK 11/2022 mewajibkan empat pilar ketahanan siber bagi Bank Umum: identifikasi, pelindungan, deteksi insiden, serta penanggulangan dan pemulihan. POJK 11/2022 juga mewajibkan notifikasi awal insiden siber paling lama 1x24 jam sejak insiden TI diketahui atau disadari. SEOJK 29/2022 Bab IV merinci penyelenggaraan ketahanan siber dan deteksi anomali, serta Bab V mengatur penilaian tingkat maturitas keamanan siber (Cybersecurity Maturity Assessment).

• UU No. 27 Tahun 2022 (UU PDP): Pasal 35 mewajibkan Pengendali Data Pribadi menerapkan langkah keamanan teknis dan operasional yang memadai untuk mencegah kegagalan pelindungan data pribadi.

Detection Engineering Berbasis Ancaman di Cisometric

Cisometric menerapkan pendekatan threat-driven detection engineering dengan menyetel aturan deteksi berdasarkan skenario intrusi nyata dan kepatuhan regulasi industri:

1. SOC lokal di Biznet Technovillage: Beroperasi 24/7/365 dari fasilitas Tier-3 Cimanggis, Jawa Barat, menjaga kedaulatan data lokal.

2. Detection engineering kontekstual: Tim analis mengatur logika korelasi dan incident playbook spesifik dengan pengayaan threat intelligence.

3. Platform fleksibel: SOC Enterprise (SOAR terintegrasi), SOC Lite (Managed Wazuh), atau model Bring Your Own SIEM (BYOS).

4. Target SLA berjenjang: MTTD 5 menit dan MTTR 15 menit untuk insiden Critical.

5. Pemetaan via ATT&CK Navigator: Visualisasi transparan cakupan 15 taktik bersama portofolio layanan keamanan siber Cisometric.

Evaluasi distribusi aturan deteksi dan pemetaan matriks MITRE ATT&CK organisasi Anda bersama tim spesialis Cisometric. Diskusikan kesiapan keamanan siber dan pemantauan kepatuhan terhadap regulasi untuk mengidentifikasi blind spot sebelum ancaman berkembang menjadi insiden.

Disclaimer Regulasi dan Kepatuhan

Artikel ini disusun sebagai informasi umum dan panduan edukasi teknis arsitektur keamanan siber, bukan nasihat hukum atau jaminan kepatuhan terhadap POJK No. 11/POJK.03/2022, SEOJK No. 29/SEOJK.03/2022, PBI No. 2 Tahun 2024, PADG No. 24 Tahun 2024, maupun UU No. 27 Tahun 2022. Evaluasi kepatuhan memerlukan audit independen yang disesuaikan dengan infrastruktur dan profil risiko masing-masing institusi.

FAQ

Apa perbedaan taktik dan teknik di MITRE ATT&CK?

Taktik menunjukkan sasaran teknis penyerang, yaitu alasan (why) mereka melakukan aksi, seperti Initial Access atau Credential Access. Teknik mendefinisikan metode spesifik (how) untuk mencapai sasaran itu, seperti Brute Force atau PowerShell Execution.

Mengapa SIEM bisa gagal mendeteksi serangan bertahap?

Korelasi SIEM menggunakan jendela waktu (umumnya 5-15 menit) untuk membatasi beban komputasi. Serangan bertahap dengan jeda berjam-jam atau berhari-hari jatuh di luar jendela korelasi, sehingga setiap event hanya diperlakukan sebagai log biasa atau low-priority alert.

Bagaimana membuktikan cakupan vendor Managed SOC?

Minta visualisasi deteksi menggunakan MITRE ATT&CK Navigator yang memetakan aturan aktif ke 15 taktik Enterprise Matrix. Validasi juga perlu dilakukan lewat simulasi serangan nyata (adversary emulation) untuk memastikan deteksi memicu alarm kampanye, di samping menghitung kuantitas aturan tertulis.

Apakah POJK 11/2022 dan PBI 2/2024 mewajibkan MITRE ATT&CK?

POJK No. 11/POJK.03/2022 Pasal 21 dan PBI No. 2 Tahun 2024 mewajibkan penerapan sistem deteksi insiden siber dan pemantauan ketahanan siber berkelanjutan. Pemetaan ke MITRE ATT&CK menjadi standar praktik terbaik industri keuangan untuk membuktikan kecukupan kontrol teknis kepada pengawas OJK dan Bank Indonesia.