Dalam dunia keamanan siber, pemahaman mendalam tentang protokol jaringan merupakan keahlian esensial bagi analis Security Operations Center (SOC). Protokol jaringan adalah bahasa komunikasi yang memungkinkan perangkat untuk berinteraksi dalam sebuah jaringan. Bagi analis SOC, menguasai protokol ini bukan hanya tentang mengetahui fungsinya, tetapi juga bagaimana protokol tersebut dapat disalahgunakan oleh penyerang untuk melakukan aktivitas berbahaya seperti eksfiltrasi data, pergerakan lateral, atau serangan command-and-control (C2). Artikel ini akan membahas 20 protokol jaringan penting yang wajib dikuasai oleh analis SOC, lengkap dengan penjelasan fungsi, potensi ancaman, dan fokus analisis untuk mendeteksi aktivitas mencurigakan.

Artikel ini disusun berdasarkan dokumen “20 Essential Protocols for SOC Analysts” oleh Harsh Kadu, yang merupakan bagian dari tantangan belajar 30 hari untuk analis SOC. Penjelasan di bawah ini akan disusun secara terstruktur, mencakup protokol inti, protokol direktori dan otentikasi, protokol infrastruktur dan pemantauan, protokol email, serta protokol yang kurang umum namun tetap kritis. Tujuannya adalah untuk memberikan panduan komprehensif yang dapat digunakan sebagai referensi pembelajaran keamanan siber.

Mengapa Protokol Jaringan Penting bagi Analis SOC?

Protokol jaringan adalah fondasi komunikasi dalam sistem jaringan. Mereka menentukan aturan dan format yang memungkinkan perangkat untuk bertukar data. Namun, penyerang sering kali memanfaatkan protokol ini untuk menyembunyikan aktivitas mereka, mencuri data, atau mendapatkan akses tanpa izin. Seorang analis SOC harus mampu:

1. Mendeteksi Perilaku Abnormal: Mengidentifikasi pola lalu lintas jaringan yang tidak biasa yang mungkin mengindikasikan serangan.
2. Menyelidiki Insiden dengan Efektif: Memahami protokol membantu analis melacak sumber ancaman dan dampaknya.
3. Membuat Aturan Deteksi Berkualitas: Pengetahuan tentang protokol memungkinkan pembuatan aturan deteksi yang akurat untuk mengurangi false positives.

Berikut adalah 20 protokol yang wajib dipahami oleh analis SOC, dikelompokkan berdasarkan fungsi dan penggunaannya.

Protokol Inti (Core Protocols)

1. HTTP (Port 80)

Apa itu?
HTTP (HyperText Transfer Protocol) adalah protokol untuk komunikasi tanpa enkripsi antara klien web (seperti browser) dan server. Ini adalah tulang punggung lalu lintas web yang tidak dienkripsi.

Apa yang bisa dilakukan penyerang?

• Mengirimkan payload berbahaya melalui situs web.
• Mengarahkan korban ke halaman phishing.

Fokus Analis SOC:

• Memantau URL yang tidak biasa atau mencurigakan.
• Memperhatikan user-agent yang aneh atau tidak dikenal.
• Mendeteksi permintaan POST besar dari IP yang tidak dikenal, yang bisa mengindikasikan eksfiltrasi data atau serangan.

2. HTTPS (Port 443)

Apa itu?
HTTPS adalah versi aman dari HTTP yang menggunakan TLS/SSL untuk enkripsi. Ini adalah standar untuk lalu lintas web yang aman.

Apa yang bisa dilakukan penyerang?

• Menyembunyikan lalu lintas berbahaya, seperti komunikasi C2 atau eksfiltrasi data.
• Membuat situs phishing dengan HTTPS untuk tampak sah.

Fokus Analis SOC:

• Memeriksa anomali sertifikat, seperti sertifikat yang kedaluwarsa atau tidak sah.
• Mengidentifikasi domain baru dengan umur pendek (short-lived domains).
• Memantau lalu lintas ke IP atau domain yang dikenal sebagai berbahaya.

3. DNS (Port 53)

Apa itu?
DNS (Domain Name System) menerjemahkan nama domain menjadi alamat IP, memungkinkan perangkat menemukan sumber daya di internet.

Apa yang bisa dilakukan penyerang?

• Menggunakan DNS tunneling untuk eksfiltrasi data.
• Menghubungi server C2 menggunakan domain yang dihasilkan algoritme (DGA domains).

Fokus Analis SOC:

• Memantau permintaan DNS yang berlebihan dari satu host.
• Mencari kueri untuk domain yang tidak umum atau mencurigakan.
• Memeriksa catatan DNS tipe TXT yang tidak biasa, yang sering digunakan untuk tunneling.

4. FTP (Port 21)

Apa itu?
FTP (File Transfer Protocol) digunakan untuk mentransfer file melalui internet. Ini adalah protokol yang sederhana namun tidak aman karena kurangnya enkripsi.

Apa yang bisa dilakukan penyerang?

• Mengunggah atau mengunduh malware.
• Mengeksfiltrasi data sensitif.

Fokus Analis SOC:

• Mendeteksi upaya login anonim atau gagal berulang.
• Memantau transfer data keluar dalam jumlah besar.
• Mengidentifikasi penggunaan alat FTP non-standar.

5. SMB (Port 445)

Apa itu?
SMB (Server Message Block) memungkinkan berbagi file dan printer di sistem Windows. Ini adalah protokol yang umum di lingkungan perusahaan.

Apa yang bisa dilakukan penyerang?

• Melakukan pergerakan lateral di dalam jaringan.
• Mengeksploitasi kerentanan seperti EternalBlue (contoh: WannaCry).

Fokus Analis SOC:

• Memantau akses file yang tidak sah.
• Mendeteksi koneksi ke share berisiko tinggi.
• Mengidentifikasi pemindaian SMB internal yang tidak biasa.

6. RDP (Port 3389)

Apa itu?
RDP (Remote Desktop Protocol) memungkinkan akses desktop jarak jauh ke sistem Windows.

Apa yang bisa dilakukan penyerang?

• Melakukan brute-force pada kredensial.
• Mengakses sistem internal dari jarak jauh.

Fokus Analis SOC:

• Memantau koneksi RDP dari IP eksternal.
• Mencatat waktu login yang tidak biasa.
• Mendeteksi login dari lokasi geografis yang jauh.

7. SSH (Port 22)

Apa itu?
SSH (Secure Shell) digunakan untuk login jarak jauh yang aman, terutama untuk administrasi server.

Apa yang bisa dilakukan penyerang?

• Melakukan brute-force pada login SSH.
• Membuat tunnel untuk komunikasi C2 atau eksfiltrasi data.

Fokus Analis SOC:

• Mendeteksi upaya brute-force berulang.
• Memantau login dari IP baru atau tidak tepercaya.
• Mengidentifikasi sesi SSH yang berlangsung lama.

8. Telnet (Port 23)

Apa itu?
Telnet adalah protokol login jarak jauh yang tidak dienkripsi, sering digunakan pada perangkat lama.

Apa yang bisa dilakukan penyerang?

• Menyadap kredensial yang dikirim dalam teks biasa.
• Mendapatkan akses ke perangkat IoT atau sistem warisan.

Fokus Analis SOC:

• Mengidentifikasi penggunaan Telnet, yang seharusnya sudah tidak digunakan.
• Memantau kredensial teks biasa yang dikirim melalui Telnet.

9. ICMP

Apa itu?
ICMP (Internet Control Message Protocol) digunakan untuk diagnostik jaringan, seperti ping dan traceroute.

Apa yang bisa dilakukan penyerang?

• Melakukan rekognisi untuk memetakan jaringan.
• Menggunakan ICMP tunneling untuk komunikasi terselubung.
• Meluncurkan serangan DDoS melalui banjir ICMP.

Fokus Analis SOC:

• Memantau volume ICMP yang tidak biasa.
• Mendeteksi permintaan echo ICMP ke host internal.

Protokol Direktori dan Otentikasi

10. LDAP (Port 389 / LDAPS 636)

Apa itu?
LDAP (Lightweight Directory Access Protocol) digunakan untuk mengakses layanan direktori, seperti Active Directory.

Apa yang bisa dilakukan penyerang?

• Melakukan enumerasi pengguna untuk mengidentifikasi akun.
• Mengkueri informasi pengguna atau grup.

Fokus Analis SOC:

• Memantau kueri LDAP yang berlebihan.
• Mendeteksi upaya bind anonim.
• Mengidentifikasi enumerasi akun dengan hak istimewa.

11. Kerberos (Port 88)

Apa itu?
Kerberos adalah protokol otentikasi yang digunakan di lingkungan Active Directory untuk memverifikasi identitas pengguna dan layanan.

Apa yang bisa dilakukan penyerang?

• Melakukan serangan Kerberoasting untuk mencuri kredensial.
• Memanipulasi tiket otentikasi.

Fokus Analis SOC:

• Memantau permintaan tiket untuk pengguna dengan hak istimewa tinggi.
• Mendeteksi anomali berulang pada tiket TGT atau layanan.

12. NetBIOS (Port 137-139)

Apa itu?
NetBIOS adalah protokol warisan untuk berbagi file dan printer, sering digunakan di sistem Windows lama.

Apa yang bisa dilakukan penyerang?

• Melakukan enumerasi share dan pengguna.
• Mengeksploitasi kerentanan Windows lama.

Fokus Analis SOC:

• Memantau lalu lintas NetBIOS yang tinggi.
• Mendeteksi lalu lintas dari perangkat yang tidak diharapkan.

Protokol Infrastruktur dan Pemantauan

13. SNMP (Port 161/162)

Apa itu?
SNMP (Simple Network Management Protocol) digunakan untuk memantau dan mengelola perangkat jaringan.

Apa yang bisa dilakukan penyerang?

• Mengakses informasi konfigurasi sensitif.
• Mengeksploitasi kredensial default (seperti “public” atau “private”).

Fokus Analis SOC:

• Mendeteksi penggunaan SNMP v1/v2 yang tidak aman.
• Memantau perangkap SNMP dari perangkat yang tidak dikenal.

14. Syslog (Port 514)

Apa itu?
Syslog adalah protokol untuk pengumpulan log terpusat dari perangkat jaringan.

Apa yang bisa dilakukan penyerang?

• Menyembunyikan log untuk menghapus jejak aktivitas.
• Membanjiri log untuk menyembunyikan aktivitas berbahaya.

Fokus Analis SOC:

• Mendeteksi manipulasi atau celah pada log yang diharapkan.
• Memantau lonjakan log dalam jumlah besar.

15. NTP (Port 123)

Apa itu?
NTP (Network Time Protocol) digunakan untuk sinkronisasi waktu antar perangkat.

Apa yang bisa dilakukan penyerang?

• Meluncurkan serangan amplifikasi DDoS.
• Memanipulasi timestamp untuk mengacaukan log.

Fokus Analis SOC:

• Memantau lalu lintas NTP dari atau ke IP yang tidak biasa.
• Mendeteksi tanda-tanda serangan amplifikasi atau refleksi.

Protokol Email

16. SMTP (Port 25/587)

Apa itu?
SMTP (Simple Mail Transfer Protocol) digunakan untuk mengirim email.

Apa yang bisa dilakukan penyerang?

• Meluncurkan kampanye spam atau phishing.
• Mengeksfiltrasi data melalui email.

Fokus Analis SOC:

• Memantau email keluar dalam jumlah besar.
• Mendeteksi alamat “From” yang dipalsukan.

17. IMAP (Port 143/993)

Apa itu?
IMAP (Internet Message Access Protocol) digunakan untuk mengambil email dari server.

Apa yang bisa dilakukan penyerang?

• Mencuri data email.
• Melakukan brute-force pada kredensial.

Fokus Analis SOC:

• Mendeteksi akses kotak surat dari IP yang tidak biasa.
• Memantau kegagalan login berulang.

18. POP3 (Port 110/995)

Apa itu?
POP3 (Post Office Protocol) adalah protokol lain untuk mengambil email, biasanya dengan mengunduhnya ke perangkat lokal.

Apa yang bisa dilakukan penyerang?

• Membaca email yang tersimpan.
• Melakukan pengambilalihan akun.

Fokus Analis SOC:

• Memantau aktivitas pengunduhan yang tidak normal.
• Mendeteksi akses berulang dari lokasi yang tidak dikenal.

Protokol Kurang Umum

19. TFTP (Port 69)

Apa itu?
TFTP (Trivial File Transfer Protocol) adalah protokol transfer file ringan tanpa autentikasi.

Apa yang bisa dilakukan penyerang?

• Mentransfer firmware atau konfigurasi berbahaya.
• Mengunggah atau mengunduh skrip berbahaya.

Fokus Analis SOC:

• Memantau lalu lintas TFTP, yang seharusnya jarang terjadi.
• Mencatat semua nama file yang ditransfer.

20. Protokol VPN (OpenVPN, IKEv2, dll.)

Apa itu?
Protokol VPN seperti OpenVPN atau IKEv2 menyediakan akses jarak jauh yang dienkripsi.

Apa yang bisa dilakukan penyerang?

• Menyembunyikan komunikasi C2.
• Mendapatkan akses jarak jauh yang aman.

Fokus Analis SOC:

• Memantau login VPN dari lokasi geografis yang tidak biasa.
• Mendeteksi upaya pembajakan sesi.
• Mengidentifikasi penggunaan bandwidth yang berlebihan.

Kesimpulan

Menguasai 20 protokol jaringan ini adalah langkah penting bagi analis SOC untuk meningkatkan kemampuan deteksi, investigasi, dan respons terhadap ancaman siber. Setiap protokol memiliki fungsi spesifik, tetapi juga potensi untuk disalahgunakan oleh penyerang. Dengan memahami karakteristik protokol, pola lalu lintas normal, dan tanda-tanda aktivitas berbahaya, analis SOC dapat membangun pertahanan yang lebih kuat dan respons yang lebih cepat terhadap insiden keamanan.

Sebagai bagian dari pembelajaran keamanan siber, penting untuk terus memperbarui pengetahuan tentang protokol baru dan ancaman yang berkembang. Dokumen ini, yang diadaptasi dari karya Harsh Kadu, memberikan fondasi yang kokoh untuk memulai. Untuk langkah selanjutnya, analis SOC dapat mempraktikkan analisis log, simulasi serangan, dan pengembangan aturan deteksi berbasis protokol untuk memperdalam pemahaman mereka. Dengan dedikasi dan latihan, Anda akan siap menghadapi tantangan dunia keamanan siber yang dinamis.