Apa Itu MITRE ATT&CK Framework?

MITRE ATT&CK Framework adalah basis pengetahuan terstruktur yang mendokumentasikan perilaku penyerang (adversaries) di dunia nyata. Framework ini membantu SOC (Security Operations Center) Analyst dalam mendeteksi, mencegah, dan merespons serangan dengan lebih efektif.

ATT&CK membagi serangan menjadi tiga komponen utama:

1. Tactics (Taktik) – Tujuan utama penyerang (misalnya, mendapatkan akses awal).
2. Techniques (Teknik) – Cara penyerang mencapai tujuan tersebut.
3. Procedures (Prosedur) – Implementasi nyata dari teknik yang digunakan.

12 Taktik Utama dalam MITRE ATT&CK

Berikut adalah penjelasan singkat dari 12 taktik utama dalam MITRE ATT&CK beserta contoh teknik dan cara mitigasinya:

1. Initial Access (Akses Awal)

Apa itu? Bagaimana penyerang mendapatkan akses pertama ke sistem.
Contoh Teknik:

• Phishing (T1566) – Email palsu untuk menipu pengguna.
  • Spear Phishing Attachment (T1566.001) – Lampiran berbahaya.
  • Spear Phishing Link (T1566.002) – Tautan jebakan.
• Exploit Public-Facing Application (T1190) – Menyerang aplikasi web yang rentan.

Mitigasi:

• Terapkan email filtering dan simulasi phishing.
• Patch rutin aplikasi yang terpapar internet.
• Pantau upaya eksploitasi dan login mencurigakan.

2. Execution (Eksekusi)

Apa itu? Bagaimana penyerang menjalankan kode berbahaya.
Contoh Teknik:

• PowerShell (T1059.001) – Mengeksekusi skrip berbahaya via PowerShell.
• Command and Scripting Interpreter (T1059) – Menggunakan Bash, Python, atau JavaScript.

Mitigasi:

• Pantau penggunaan script interpreter.
• Gunakan EDR (Endpoint Detection and Response) dengan visibilitas command-line.
• Batasi penggunaan PowerShell dan log semua aktivitas.

3. Persistence (Persistence)

Apa itu? Bagaimana penyerang tetap berada di sistem meski setelah reboot.
Contoh Teknik:

• Scheduled Task/Job (T1053) – Menjadwalkan tugas untuk menjalankan kode berbahaya.
• Boot or Logon AutoStart Execution (T1547) – Mengeksekusi kode saat sistem startup.

Mitigasi:

• Pantau perubahan sistem dan scheduled tasks.
• Batasi hak admin.
• Gunakan aturan deteksi persistence di SIEM.

4. Privilege Escalation (Eskalasi Hak Akses)

Apa itu? Bagaimana penyerang meningkatkan hak akses.
Contoh Teknik:

• Exploitation for Privilege Escalation (T1068) – Mengeksploitasi kerentanan.
• Valid Accounts (T1078) – Menggunakan akun sah untuk eskalasi.

Mitigasi:

• Terapkan patch keamanan.
• Pantau pola eskalasi hak akses.
• Buat alert untuk aktivitas akun tidak biasa.

5. Defense Evasion (Penghindaran Pertahanan)

Apa itu? Bagaimana penyerang menyembunyikan aktivitas mereka.
Contoh Teknik:

• Obfuscated Files or Information (T1027) – Menyembunyikan kode dengan enkripsi.
• Disabling Security Tools (T1562) – Mematikan antivirus/EDR.

Mitigasi:

• Alert saat layanan AV/EDR dimatikan.
• Deteksi teknik obfuscation.
• Harden sistem untuk mencegah modifikasi.

6. Credential Access (Akses Kredensial)

Apa itu? Bagaimana penyerang mencuri kredensial.
Contoh Teknik:

• Credential Dumping (T1003) – Mengekstrak kredensial dari sistem.
• Keylogging (T1056.001) – Mencatat ketikan pengguna.

Mitigasi:

• Pantau akses ke LSASS (Local Security Authority Subsystem Service).
• Gunakan Credential Guard dan Secure Boot.
• Deteksi perilaku login anomali.

7. Discovery (Penemuan)

Apa itu? Bagaimana penyerang mengumpulkan informasi sistem.
Contoh Teknik:

• Network Service Scanning (T1046) – Memindai port dan layanan.
• System Information Discovery (T1082) – Mengumpulkan info OS dan hardware.

Mitigasi:

• Log dan analisis upaya scanning.
• Batasi akses protokol tidak perlu.

8. Lateral Movement (Pergerakan Lateral)

Apa itu? Bagaimana penyerang bergerak di dalam jaringan.
Contoh Teknik:

• Remote Desktop Protocol (RDP) (T1021.001) – Menggunakan RDP untuk bergerak.

Mitigasi:

• Pantau penggunaan RDP dan failed login.
• Gunakan network segmentation.
• Alert pada akses remote tidak sah.

9. Collection (Pengumpulan Data)

Apa itu? Bagaimana penyerang mengumpulkan data.
Contoh Teknik:

• Data from Local System (T1005) – Mengambil file lokal.
• Input Capture (T1056) – Merekam ketikan atau layar.

Mitigasi:

• Deteksi akses file besar.
• Gunakan DLP (Data Loss Prevention).
• Pantau clipboard dan keystroke behavior.

10. Command and Control (C2)

Apa itu? Bagaimana penyerang berkomunikasi dengan sistem yang dikompromikan.
Contoh Teknik:

• Application Layer Protocol (T1071) – Menggunakan HTTP/HTTPS.
• Remote Access Software (T1219) – Menggunakan alat remote sah.

Mitigasi:

• Analisis lalu lintas jaringan anomali.
• Pantau koneksi keluar dan DNS tunneling.
• Blokir remote software tidak sah.

11. Exfiltration (Eksfiltrasi)

Apa itu? Bagaimana penyerang mencuri data.
Contoh Teknik:

• Exfiltration Over C2 Channel (T1041) – Menggunakan saluran C2.
• Exfiltration Over Web Service (T1567) – Mengunggah data ke layanan web.

Mitigasi:

• Gunakan DLP.
• Pantau lalu lintas keluar tidak biasa.

12. Impact (Dampak)

Apa itu? Bagaimana penyerang menyebabkan kerusakan.
Contoh Teknik:

• Data Encrypted for Impact (T1486) – Ransomware mengenkripsi data.
• Data Destruction (T1485) – Menghapus atau merusak data.

Mitigasi:

• Implementasikan backup dan versioning.
• Pantau enkripsi massal atau penghapusan.
• Siapkan incident response plan.

Mengapa MITRE ATT&CK Penting untuk SOC Analyst?

✅ Membantu mendeteksi pola serangan di seluruh kill chain.
✅ Membangun strategi pertahanan berbasis ancaman (threat-informed defense).
✅ Meningkatkan kemampuan threat hunting dan incident response.