Threat Intelligence Sharing: Kolaborasi untuk Keamanan yang Lebih Baik
Minggu ini, organisasi A menjadi korban serangan siber. Minggu depan, bisa jadi organisasi B terkena serangan siber yang sama.
Sayangnya, setiap organisasi hanya memiliki visibilitas terbatas terhadap ancaman yang terjadi di lingkungan internalnya sendiri. Padahal, pelaku ancaman sering menggunakan teknik dan pola serangan yang sama untuk menargetkan berbagai organisasi.
Informasi mengenai insiden yang terjadi di suatu organisasi sering kali tidak dimanfaatkan dengan baik oleh organisasi lain. Bagaimana jika informasi itu dibagikan antarorganisasi? Organisasi dapat belajar dari pengalaman satu sama lain.
Inilah peran threat intelligence sharing. Pendekatan ini membantu organisasi memperluas visibilitas terhadap ancaman, mempercepat deteksi dan respons, serta membangun pertahanan siber yang lebih proaktif.
Apa itu threat intelligence sharing?
Cyberthreat intelligence (CTI) adalah kumpulan dan analisis data tentang pelaku kejahatan siber, tipe kejahatan yang dilakukannya, pola serangan, dan vulnerability. Kumpulan informasi yang disertai dengan konteks ini bermanfaat bagi tim IT security untuk membuat keputusan dan merespons ancaman dengan tepat.
Sementara itu, threat intelligence sharing adalah praktik perkumpulan informasi tentang ancaman siber antara dua atau lebih organisasi, komunitas, atau sektor industri. Tujuannya agar semua pihak bisa mendeteksi, mencegah, dan merespons ancaman lebih cepat.
Ada berbagai tempat di mana organisasi bisa mendapatkan threat intelligence, seperti open-source intelligence (OSINT), commercial threat intelligence platform, information sharing and analysis centers (ISAC), dan internal telemetry. Organisasi bisa melihat threat intelligence dalam berbagai format, seperti STIX/TAXII, JSON, CSV, dan proprietary schema.
Mengapa threat intelligence sharing penting?
Threat intelligence sharing membantu tim SOC di organisasi beralih dari respons yang reaktif menjadi lebih proaktif. Melalui threat intelligence sharing, organisasi bisa saling bertukar informasi tentang ancaman siber. Pihak-pihak yang terlibat memiliki peluang untuk mendeteksi dan menghentikan serangan lebih awal.
Berikut beberapa alasan mengapa information sharing untuk threat intelligence menjadi bagian penting dari strategi keamanan siber modern.
Mempercepat deteksi dan respons terhadap ancaman
Salah satu manfaat terbesar dari threat intelligence sharing adalah mempercepat proses deteksi ancaman. Ketika ada organisasi yang menemukan IoC atau teknik serangan baru, informasi itu bisa dimanfaatkan oleh organisasi lain untuk memperbarui mekanisme deteksinya.
Meningkatkan kemampuan organisasi dalam menghadapi ancaman baru
Threat intelligence sharing memberikan organisasi informasi tentang ancaman yang sedang berkembang. Informasi ini memungkinkan organisasi mengambil langkah mitigasi sebelum ancaman mencapai sistem. Organisasi juga bisa bersiap menghadpai ancaman siber yang terus berkembang.
Memberikan konteks yang mempercepat investigasi
Security alert sering kali hanya menunjukkan terjadinya aktivitas mencurigakan, tetapi tidak menjelaskan penyebab maupun tingkat risikonya.
Threat intelligence membantu memperkaya alert dengan informasi tambahan, seperti malware yang digunakan, teknik serangan berdasarkan framework MITRE ATT&CK, tingkat keparahan ancaman, dan rekomendasi mitigasi.
Memperkuat postur keamanan organisasi
Threat intelligence bisa meningkatkan postur keamanan organisasi secara keseluruhan. Insight yang diperoleh bisa dimanfaatkan untuk memperbarui kebijakan keamanan, memperkuat kontrol akses, ataupun meningkatkan efektivitas proses threat hunting.
Membangun pertahanan siber secara kolektif
Prinsip threat intelligence sharing adalah collaboration dalam keamanan siber, bahwa ini semua adalah tanggung jawab bersama. Ketika satu organisasi membagikan informasi mengenai ancaman yang berhasil mereka identifikasi, organisasi lain dapat memanfaatkan informasi tersebut untuk memperkuat pertahanan mereka.
Informasi apa saja yang dibagikan dalam threat intelligence sharing?
Threat intelligence mencakup berbagai jenis informasi yang dapat digunakan untuk meningkatkan kemampuan deteksi dan respons. Biasanya, informasi yang dibagikan dalam threat intelligence adalah sebagai berikut.
Indicators of Compromise (IOC)
IOC merupakan indikator teknis yang menunjukkan kemungkinan sebuah sistem telah dikompromikan. Contohnya IP address berbahaya, domain phishing, URL malware, hash file, alamat email pengirim phishing, dan registry key tertentu.
IOC biasanya digunakan oleh SIEM, firewall, IDS/IPS, maupun XDR untuk mendeteksi aktivitas yang mencurigakan.
Indicators of Attack (IOA)
Indicators of Attack (IOA) fokus pada perilaku yang mengarah pada serangan. Contohnya eskalasi hak akses yang tidak lazim atau akun pengguna yang melakukan autentikasi ke banyak server dalam waktu singkat.
IOA memungkinkan organisasi mendeteksi serangan pada tahap lebih awal, bahkan sebelum malware berhasil menginfeksi sistem.
Tactics, Techniques, and Procedures (TTP)
TTP menjelaskan bagaimana pelaku ancaman menjalankan operasinya. Dengan memahami TTP, organisasi tidak hanya memblokir satu indikator, tetapi juga mampu mengenali pola serangan yang lebih luas.
Informasi ini umumnya dipetakan menggunakan framework MITRE ATT&CK, sehingga organisasi dapat memahami teknik initial access, privilege escalation, persistence, credential access, lateral movement, dan data exfiltration.
Vulnerability intelligence
Threat intelligence juga mencakup informasi mengenai kerentanan (vulnerability) yang sedang aktif dieksploitasi. Contohnya seperti nomor CVE, tingkat keparahan, sistem yang terdampak, exploit yang tersedia, status patch, dan rekomendasi mitigasi.
Informasi ini membantu organisasi memprioritaskan proses patch management berdasarkan risiko nyata.
Malware intelligence
Malware intelligence berisi informasi karakteristik malware, seperti nama malware, metode persistence, mekanisme komunikasi command-and-control, teknik enkripsi, metode penyebaran, dan indikator deteksi.
Dengan informasi ini, organisasi dapat memperbarui konfigurasi keamanan berdasarkan jenis malware yang terdeteksi.
Threat campaign
Threat intelligence juga mengandung informasi tentang threat campaign secara menyeluruh. Misalnya, sektor industri yang menjadi target, negara yang disasar, metode penyebaran, timeline aktivitas, pelaku serangan, dan tujuan akhir serangan.
Informasi ini membantu organisasi memahami apakah mereka memiliki profil risiko serupa dengan korban sebelumnya sehingga dapat meningkatkan kewaspadaan.
Jenis-jenis threat intelligence
Threat intelligence dibagi menjadi beberapa jenis, yaitu:
Strategic threat intelligence
Strategic threat intelligence adalah informasi non-teknis yang biasanya berkaitan dengan dampak keamanan siber secara lebih luas. Informasi yang dikategorikan sebagai strategic threat intelligence misalnya tren attacker, motivasi, atau faktor geopolitik.
Informasi ini umumnya digunakan oleh tim executive dan decision-maker dalam membuat keputusan strategis. Misalnya, ketika sedang membuat rencana keamanan siber jangka panjang.
Operational threat intelligence
Operational threat intelligence mencakup informasi spesifik tentang suatu campaign atau serangan. Informasinya berupa attack vector, aset yang menjadi target, tool yang digunakan attacker, dan metode eksploitasinya.
Umumnya, informasi operational threat intelligence dimanfaatkan oleh tim incident response. Biasanya, mereka akan menggunakan informasi yang ada untuk memahami ancaman yang terjadi dan menyiapkan mekanisme pertahanan yang sesuai untuk jenis ancaman tersebut.
Tactical threat intelligence
Tactical threat intelligence berisi informasi teknis dan detail tentang suatu ancaman. Hal-hal yang dicantumkan seperti IP address, URL berbahaya, file hash, dan signature malware.
Pihak yang biasa memanfaatkan tactical threat intelligence adalah tim SOC. Mereka umumnya mengintegrasikan informasi ini ke tool SIEM untuk mendapatkan deteksi otomatis ketika ada ancaman serupa masuk ke jaringan.
Technical threat intelligence
Jika tactical threat intelligence sudah cukup teknis, ternyata technical threat intelligence jauh lebih teknis lagi. Informasi yang dikategorikan sebagai technical threat intelligence mencakup analisis kode malware, exploit kit, C2 infrastructure, dan adversary toolkit.
Informasi ini sangat mendetail, sehingga biasanya digunakan oleh tim security researcher, reverse engineer, atau forensic. Mereka menggunakan informasi yang ada untuk merancang patch atau strategi untuk menghalau serangan serupa secara jangka panjang.
Tantangan dalam threat intelligence sharing
Ketika menerapkan threat intelligence sharing, organisasi mungkin menghadapi beberapa hambatan seperti:
Volume data terlalu besar: Organisasi menerima ribuan hingga jutaan indikator ancaman dari berbagai sumber setiap hari. Tak semua indikator tersebut mengandung informasi penting yang bisa dibagikan ke organisasi lain.
Kompleksitas integrasi: Threat intelligence dapat berasal dari berbagai sumber dengan format yang berbeda. Perbedaan ini mungkin menyulitkan organisasi dalam menormalisasi dan mengintegrasikan data ke tool keamanan seperti SIEM.
Keterbatasan keahlian tim: Menganalisis threat intelligence membutuhkan keahlian khusus, seperti malware analysis, threat hunting, atau reverse engineering. Sayangnya, tidak semua organisasi memiliki SDM dengan kompetensi tersebut.
Keterlambatan threat intelligence: Informasi dalam threat intelligence baru bisa memberi manfaat jika datang secara tepat waktu. Jika proses pengumpulan, validasi, dan distribusi berlangsung terlalu lama, organisasi mungkin menerima informasi setelah serangan terjadi.
Kekhawatiran terhadap privasi dan tanggung jawab hukum: Organisasi sering ragu membagikan threat intelligence karena khawatir informasi tersebut mengandung data sensitif yang dapat menimbulkan konsekuensi hukum.
Kurangnya kepercayaan antarorganisasi: Kepercayaan adalah fondasi utama dalam information sharing. Organisasi perlu yakin bahwa informasi yang dibagikan akan digunakan secara bertanggung jawab dan dijaga kerahasiannya.
Kekhawatiran mengungkap insiden keamanan: Sebagian organisasi takut dianggap gagal menjaga keamanan sistem. Itulah mengapa mereka tidak mau membagikan threat intelligence.
Kualitas informasi yang tidak konsisten: Informasi yang dibagikan tidak selalu akurat, relevan, atau masih berlaku. Bisa jadi informasi yang salah ini menghasilkan false positive dan membebani organisais penerima.
Best practice dalam menerapkan threat intelligence sharing
Threat intelligence sharing akan memberikan hasil yang optimal apabila dilakukan secara terstruktur, aman, dan konsisten. Berikut beberapa best practice yang dapat diterapkan.
1. Pilih komunitas dan saluran berbagi yang tepat
Organisasi dapat memulai threat intelligence sharing melalui channel sederhana seperti email atau forum internal, kemudian berkembang ke komunitas yang lebih terstruktur.
Komunitas yang dimaksud misalnya asosiasi industri, mitra bisnis dan vendor, komunitas keamanan lokal, serta platform berbagi threat intelligence.
2. Terapkan kebijakan berbagi informasi
Organisasi perlu mengatur batasan yang jelas mengenai bagaimana proses berbagi informasi akan dilakukan. Misalnya, seperti apa jenis informasi yang boleh dibagikan, pihak yang berwenang memberikan persetujuan, tingkat kerahasiaan data, batas distribusi informasi, serta kewajiban penyimpanan dan penghapusan data.
Kewajiban tersebut membantu memastikan bahwa aktivitas threat intelligence sharing tetap sesuai dengan kebutuhan bisnis, regulasi, serta kebijakan privasi organisasi.
3. Bagikan informasi yang akurat, relevan, dan tepat waktu
Threat intelligence tidak memiliki arti jika informasi yang dibagikan tidak tepat dan relevan. Selain IoC, sertakan pula konteks seperti waktu ditemukannya ancaman, teknik serangan yang digunakan, tingkat kepercayaan, dan rekomendasi mitigasi agar organisasi lain dapat mengambil tindakan yang tepat.
4. Gunakan format standar untuk memudahkan integrasi
Menggunakan standar seperti STIX dan TAXII membantu organisasi bertukar threat intelligence secara lebih konsisten dan mudah diintegrasikan dengan berbagai solusi keamanan, seperti tool SIEM, SOAR, EDR, maupun firewall. Standarisasi juga mengurangi kebutuhan konversi data secara manual.
5. Manfaatkan automasi untuk mempercepat distribusi
Seiring bertambahnya volume threat intelligence, proses berbagi secara manual menjadi kurang efisien. Dengan memanfaatkan platform atau tool yang mendukung automasi, organisasi dapat mempercepat distribusi threat intelligence, mengurangi kesalahan manusia, dan memastikan informasi terbaru segera digunakan untuk memperbarui mekanisme deteksi.
6. Evaluasi dan perbarui proses berbagi secara berkala
Ancaman siber terus berkembang, sehingga proses threat intelligence sharing juga perlu dievaluasi secara rutin. Tinjau kualitas informasi yang dibagikan, kecepatan distribusi, efektivitas komunitas yang diikuti, serta kontribusi intelligence terhadap proses deteksi dan respons insiden.
Evaluasi ini membantu organisasi memastikan bahwa aktivitas threat intelligence sharing tetap relevan dan memberikan nilai bagi seluruh anggota komunitas.
Maksimalkan threat intelligence sharing dengan ManageEngine Log360
Threat intelligence sharing akan memberikan manfaat maksimal apabila didukung oleh platform yang mampu mengumpulkan, menganalisis, dan menghubungkan informasi ancaman dengan aktivitas yang terjadi di lingkungan IT organisasi.
Sebagai solusi SIEM terpadu, ManageEngine Log360 membantu organisasi memanfaatkan threat intelligence secara lebih efektif melalui beberapa kapabilitas berikut:
1. Integrasi dengan berbagai sumber threat intelligence
Log360 mengumpulkan threat intelligence dari berbagai sumber tepercaya, termasuk Webroot, VirusTotal, AlienVault OTX, Constella Intelligence, serta feed berbasis STIX/TAXII.
2. Korelasi threat intelligence dengan aktivitas internal
Log360 secara otomatis mencocokkan IOC dari threat feed dengan log dan security event di lingkungan organisasi. Misalnya, Log360 dapat mendeteksi permintaan dari IP mencurigakan ke web server atau file yang berbahaya.
3. Alert dengan konteks
Log360 tidak hanya mengeluarkan alert, tetapi juga memberikan konteks tambahan untuk alert tersebut. Konteks yang dimaksud berupa reputation score, riwayat ancaman, geolokasi, file terkait, URL yang di-host, serta taktik dan teknik berdasarkan MITRE ATT&CK.
4. Prioritas alert
Volume alert yang besar membuat tim security kesulitan menentukan insiden mana yang harus ditangani lebih dahulu. Log360 menggunakan threat intelligence untuk memvalidasi dan mengategorikan alert berdasarkan tingkat prioritas, seperti Critical, Trouble, atau Attention.
5. Incident Workbench dan Zia Insights
Melalui Incident Workbench, Log360 menyatukan alert, event terkait, dan threat intelligence dalam satu tampilan. Sementara itu, Zia Insights membantu merangkum log dan alert, mengategorikan security event, mengidentifikasi entitas yang berkaitan dengan threat actor, serta memetakan pola serangan ke MITRE ATT&CK.
Kesimpulan
Menghadapi ancaman siber tidak dapat dilakukan hanya dengan mengandalkan visibilitas dari satu organisasi. Informasi mengenai ancaman yang ditemukan oleh satu pihak dapat menjadi peringatan dini bagi organisasi lainnya.
Melalui threat intelligence sharing, organisasi dapat mempercepat deteksi, memperkaya investigasi, mengurangi blind spot, dan meningkatkan respons terhadap insiden. Agar efektif, informasi yang dibagikan harus akurat, relevan, dan tepat waktu.
Untuk memaksimalkan manfaat threat intelligence, organisasi memerlukan solusi yang mampu menghubungkan threat feed dengan aktivitas internal secara real-time. ManageEngine Log360 membantu mengintegrasikan berbagai sumber threat intelligence, mengorelasikannya dengan log keamanan, memperkaya alert dengan konteks ancaman, dan mengotomatisasi respons sehingga tim keamanan dapat bertindak lebih cepat dan tepat.
Pelajari lebih lengkap tentang Log360 melalui demo dengan tim kami!