Apa yang dimaksud dengan Deteksi dan Respons Ancaman (TDR)?

Untuk mengatasi ancaman cyber dan masalah keamanan lainnya, banyak organisasi menyiapkan pusat operasi keamanan (SOC), yang merupakan fungsi terpusat atau tim yang bertanggung jawab untuk meningkatkan postur keamanan cyber organisasi serta mencegah, mendeteksi, dan merespons ancaman. Selain memantau dan merespons serangan cyber yang sedang berlangsung, SOC juga melakukan pekerjaan proaktif untuk mengidentifikasi ancaman cyber dan kerentanan organisasi yang muncul. Sebagian besar tim SOC, yang mungkin berada di lokasi atau dialihdayakan, beroperasi sepanjang waktu, tujuh hari seminggu.

SOC menggunakan inteligensi ancaman, dan teknologi untuk mengungkap upaya, keberhasilan, atau pelanggaran yang sedang berlangsung. Setelah ancaman cyber diidentifikasi, tim keamanan akan menggunakan alat deteksi dan respons ancaman untuk menghilangkan atau mengurangi masalah.

Deteksi dan respons ancaman biasanya mencakup tahapan berikut:
 

• Deteksi. Alat keamanan yang memantau titik akhir, identitas, jaringan, aplikasi, dan cloud membantu memunculkan risiko dan potensi pelanggaran. Profesional keamanan juga menggunakan teknik perburuan ancaman cyber untuk mengungkap ancaman cyber canggih yang menghindari deteksi.
• Penyelidikan. Setelah risiko diidentifikasi, SOC menggunakan AI dan alat lain untuk mengonfirmasi bahwa ancaman cyber nyata adanya, menentukan bagaimana ancaman cyber bisa terjadi, dan menilai aset perusahaan apa yang terpengaruh.
• Penahanan. Untuk menghentikan penyebaran ancaman cyber, tim keamanan cyber dan alat otomatis mengisolasi perangkat, identitas, dan jaringan yang terinfeksi dari aset organisasi lainnya.
• Pemberantasan. Tim menghilangkan akar penyebab insiden keamanan dengan tujuan untuk mengungkap pelaku kejahatan sepenuhnya dari lingkungan. Tim juga memitigasi kerentanan yang dapat menempatkan organisasi pada risiko serangan cyber serupa.
• Pemulihan. Setelah tim yakin bahwa ancaman atau kerentanan cyber telah dihapus, mereka akan mengembalikan sistem yang terisolasi secara online.
• Laporan. Tergantung pada tingkat keparahan insiden, tim keamanan akan mendokumentasikan dan memberi pengarahan kepada para pemimpin, eksekutif, dan/atau dewan mengenai apa yang terjadi dan bagaimana masalah tersebut diselesaikan.
• Mitigasi risiko. Untuk mencegah pelanggaran serupa terjadi lagi dan untuk meningkatkan respons di masa mendatang, tim mempelajari insiden dan mengidentifikasi perubahan yang dibuat pada lingkungan dan proses.

Mengidentifikasi ancaman cyber semakin sulit karena organisasi telah memperluas jejak cloud mereka, menghubungkan lebih banyak perangkat ke internet, dan beralih ke tempat kerja hybrid. Pelaku kejahatan memanfaatkan area permukaan yang diperluas ini dan fragmentasi dalam alat keamanan dengan jenis taktik berikut:
 

• Kampanye pengelabuan. Salah satu cara paling umum yang digunakan pelaku kejahatan untuk menyusup ke perusahaan adalah dengan mengirimkan email yang menipu karyawan agar mengunduh kode berbahaya atau memberikan kredensial mereka.
• Program jahat. Banyak penyerang cyber menyebarkan perangkat lunak yang dirancang untuk merusak komputer dan sistem atau mengumpulkan informasi sensitif.
• Ransomware. Sejenis program jahat, penyerang ransomware menyandera sistem dan data penting, mengancam akan melepaskan data pribadi atau mencuri sumber daya cloud untuk menambang bitcoin hingga uang tebusan dibayarkan. Baru-baru ini, ransomware yang dioperasikan oleh manusia, yang memungkinkan sekelompok penyerang cyber mendapatkan akses ke seluruh jaringan organisasi, telah menjadi masalah yang semakin meningkat bagi tim keamanan.
• Serangan penolakan layanan terdistribusi (DDoS). Dengan menggunakan serangkaian bot, pelaku kejahatan mengganggu situs web atau layanan dengan membanjirinya dengan lalu lintas.
• Ancaman dari dalam. Tidak semua ancaman cyber berasal dari luar organisasi. Ada juga risiko bahwa orang tepercaya yang memiliki akses ke data sensitif dapat membahayakan organisasi secara tidak sengaja atau berbahaya.
• Serangan berbasis identitas. Sebagian besar pelanggaran melibatkan identitas yang disusupi, yaitu ketika penyerang cyber mencuri atau menebak kredensial pengguna dan menggunakannya untuk mendapatkan akses ke sistem dan data organisasi.
• Serangan Internet of Things (IoT). Perangkat IoT juga rentan terhadap serangan cyber, terutama perangkat warisan yang tidak memiliki kontrol keamanan bawaan yang dilakukan perangkat modern.
• Serangan rantai pasokan. Terkadang, pelaku kejahatan menargetkan organisasi dengan merusak perangkat lunak atau perangkat keras yang disediakan oleh vendor pihak ketiga.
• Injeksi kode. Dengan mengeksploitasi kerentanan dalam cara kode sumber menangani data eksternal, penjahat cyber menyuntikkan kode berbahaya ke dalam aplikasi.

Mendeteksi ancaman
Untuk mengantisipasi meningkatnya serangan keamanan cyber, organisasi menggunakan pemodelan ancaman untuk menentukan persyaratan keamanan, mengidentifikasi kerentanan dan risiko, serta memprioritaskan perbaikan. Dengan menggunakan skenario hipotetis, SOC mencoba memasuki pikiran penjahat cyber sehingga mereka dapat meningkatkan kemampuan organisasi untuk mencegah atau memitigasi insiden keamanan. Kerangka kerja MITRE ATT&CK® adalah model yang berguna untuk memahami teknik dan taktik serangan cyber umum.

Pertahanan multilapisan memerlukan alat yang menyediakan pemantauan lingkungan secara real time dan memunculkan potensi masalah keamanan secara terus-menerus. Solusi juga harus tumpang tindih, sehingga jika satu metode deteksi disusupi, metode kedua akan mendeteksi masalah dan memberi tahu tim keamanan. Solusi deteksi ancaman cyber menggunakan berbagai metode untuk mengidentifikasi ancaman, termasuk:
 

• Deteksi berbasis tanda tangan. Banyak solusi keamanan memindai perangkat lunak dan lalu lintas untuk mengidentifikasi tanda tangan unik yang terkait dengan jenis program jahat tertentu.
• Deteksi berbasis perilaku. Untuk membantu menangkap ancaman cyber baru dan yang muncul, solusi keamanan juga mencari tindakan dan perilaku yang umum terjadi dalam ancaman cyber.
• Deteksi berbasis anomali. AI dan analitik membantu tim memahami perilaku umum pengguna, perangkat, dan perangkat lunak sehingga mereka dapat mengidentifikasi sesuatu yang tidak biasa yang dapat mengindikasikan ancaman cyber.

Meskipun perangkat lunak sangat penting, manusia juga memainkan peran yang sama pentingnya dalam mendeteksi ancaman cyber. Selain melakukan triase dan menyelidiki peringatan yang dihasilkan sistem, analis menggunakan teknik perburuan ancaman cyber untuk secara proaktif mencari indikasi penyusupan, atau mereka mencari taktik, teknik, dan prosedur yang menyarankan potensi ancaman. Pendekatan ini membantu SOC dengan cepat mengungkap dan menghentikan serangan yang canggih dan sulit dideteksi