SanzSkuy: Created page with "''Pyramid of Pain'' adalah konsep yang diciptakan oleh David J. Bianco tahun 2013. Konsep ini menunjukan bahwa mendeteksi dan memblokir beberapa ''indicator of compromise'' (IoC) bisa buat hidup hacker jadi lebih susah. Tapi tidak semua indikator itu menyusahkan mereka dengan level yang sama. Semakin tinggi indikator dalam piramida, semakin ''pain'' untuk hacker. Karena mereka harus kerja lebih keras, ubah taktik, bahkan mungkin rombak ulang strategi mereka. File:Py..."

2025-05-12T05:02:38Z

Created page with "''Pyramid of Pain'' adalah konsep yang diciptakan oleh David J. Bianco tahun 2013. Konsep ini menunjukan bahwa mendeteksi dan memblokir beberapa ''indicator of compromise'' (IoC) bisa buat hidup hacker jadi lebih susah. Tapi tidak semua indikator itu menyusahkan mereka dengan level yang sama. Semakin tinggi indikator dalam piramida, semakin ''pain'' untuk hacker. Karena mereka harus kerja lebih keras, ubah taktik, bahkan mungkin rombak ulang strategi mereka. File:Py..."

New page

''Pyramid of Pain'' adalah konsep yang diciptakan oleh David J. Bianco tahun 2013. Konsep ini menunjukan bahwa
mendeteksi dan memblokir beberapa ''indicator of compromise'' (IoC) bisa buat hidup hacker jadi lebih susah.
Tapi tidak semua indikator itu menyusahkan mereka dengan level yang sama. Semakin tinggi indikator dalam piramida, semakin
''pain'' untuk hacker. Karena mereka harus kerja lebih keras, ubah taktik, bahkan mungkin rombak ulang strategi mereka.

[[File:Pyramid-of-pain.jpg]]

== Hash Value ==
'''Hash''' itu seperti sidik jari digital dari sebuah file atau data. Ketika kita memasukan sebuah data ke dalam ''hashing algorithm'',
maka akan keluar angka unik dengan panjang tetap yang disebut ''hash Value''. Think of it like: Apapun isinya, hasilnya pasti
jadi satu angka unik. Tapi kalau isiannya diganti dikit aja, hasilnya langsung beda total. Contoh algoritma hash: MD5, SHA-1, SHA-2

Beberapa kegunaan Hash:
*Buat indentifikasi file (terutama malware)
*Jadi referensi untuk mencocokan file mencurigakan
*Untuk verifikasi integritas file. Contoh ketika download file, kita check hashnya untuk memastikan kalau file nya tidak diubah ditengah jalan

Cara untuk liat Hash
<syntaxhighlight lang=bash>
touch my_file.txt
md5sum my_file.txt

# Output
d41d8cd98f00b204e9800998ecf8427e my_file.txt
</syntaxhighlight>
kalau misal kita tambah satu huruf saja, hasilnya udah beda total
<syntaxhighlight lang=bash>
echo "a" >> my_file.txt
md5sum my_file.txt

# Output
60b725f10c9c85c70d97880dfe8191b3 my_file.txt
</syntaxhighlight>

Untuk cek Hash file:
*https://www.virustotal.com
*https://metadefender.opswat.com/

Moral of the story:
*File masih bisa kelihatan "sama" secara fungsi, tapi hash-nya udah beda; biar gak ketangkep IOC.
*Maka dari itu, hacker bisa bikin banyak variant dari malware yang technically "baru" secara hash, tapi sebenernya isi dan fungsinya tetap jahat.

== IP Address ==
Di Pyramid of Pain, IP Address dikasih warna hijau. Kenapa hijau? Karena kalau kita blok IP jahat,
efeknya tuh “boleh lah, ngerepotin dikit” — tapi bukan kayak ngerobek strategi si hacker sampai ke akar.

Sebagai defender, kalau kita bisa tahu IP yang dipakai Hacker, kita bisa:
*Blok koneksi masuk dari IP itu
*Drop request-nya di firewall
*Deny aksesnya langsung dari perimeter
Tapi masalahnya, IP itu gampang diganti, cukup ganti pakai IP baru dan mereka udah bisa nyerang lagi.

Teknik Fast Flux <br>
Fast Flux adalah teknik DNS yang dipake sama botnet buat ngumpetin server jahat mereka (kayak phishing site, malware delivery, C2 server, dsb).
Caranya:
*Satu domain punya banyak IP
*IP-nya berubah-ubah terus dalam waktu singkat
*Kompromised host dijadiin proxy buat nutupin jejak
Jadi waktu kita coba blok IP A, domain-nya udah keganti ke IP B, C, D, dst

== Domain Names ==
DNS dalam Pyramid of Pain

Dalam Pyramid of Pain, DNS (Domain Name System) masuk ke dalam kategori tingkat menengah yang berwarna kuning. DNS, seperti IP Address, adalah salah satu indikator yang digunakan untuk mendeteksi serangan atau kompromi dalam sebuah jaringan. Namun, DNS lebih "berbahaya" bagi penyerang dibandingkan IP Address karena terkait dengan domain name yang lebih sulit untuk diubah.
Kenapa DNS penting untuk penyerang?
*Mengalihkan Lalu Lintas: Penyerang biasanya menggunakan DNS untuk mengalihkan lalu lintas web menuju server yang mereka kontrol, misalnya untuk mengeksekusi malware atau mengakses data yang dicuri.
*C2 (Command and Control): Salah satu cara malware berkomunikasi dengan server C2 adalah melalui DNS requests. Dengan mengontrol DNS, penyerang dapat memanipulasi domain untuk berkomunikasi tanpa harus menggunakan IP yang statis, membuat deteksi lebih sulit.

Mengapa DNS lebih sulit untuk diubah daripada IP?
*Punycode dan Obfuscation: Seperti yang telah dibahas sebelumnya, penyerang dapat menggunakan teknik seperti Punycode untuk menyembunyikan alamat domain yang sebenarnya. Ini memungkinkan mereka untuk membuat domain yang tampak sah atau mirip dengan domain yang populer, padahal sebenarnya itu adalah domain berbahaya.
*Fast Flux: Teknik ini memungkinkan domain yang sama untuk terus berganti alamat IP dengan sangat cepat, menyembunyikan server C2 mereka di balik banyak alamat IP. Hal ini sangat efektif untuk menghindari pemblokiran oleh firewall atau penyaring domain.
*Kesulitan Blokir DNS: Meskipun DNS dapat diblokir atau dipantau, melakukan blokir DNS yang efektif memerlukan pengetahuan lebih mendalam dan pemeliharaan berkelanjutan. Penyerang bisa dengan mudah mengganti DNS server atau menggunakan DNS over HTTPS (DoH) untuk menghindari pemblokiran tradisional.

Taktik Pertahanan terhadap DNS
*Pemantauan DNS: Memantau query DNS di jaringan adalah langkah pertama yang penting dalam mendeteksi komunikasi yang mencurigakan. Penggunaan alat seperti DNS sinkholes atau domain blacklists bisa efektif untuk mengidentifikasi domain berbahaya yang digunakan oleh malware.
*Blokir Domain Berbahaya: Pemblokiran domain berbahaya pada DNS resolver dapat mempersulit penyerang untuk mencapai server C2 mereka. Namun, penyerang yang lebih canggih dapat menggunakan teknik untuk menghindari blokir ini.
*Penyaringan DNS dengan Threat Intelligence: Dengan menggunakan intelijen ancaman yang diperbarui secara real-time, kita dapat memblokir domain yang diketahui digunakan untuk aktivitas berbahaya sebelum mereka dapat mengakses jaringan.

Contoh Penggunaan DNS dalam Serangan
*Malware Callbacks: Malware sering menggunakan DNS untuk memanggil server C2, mengirimkan data curian, atau menerima perintah baru.
*DNS Tunneling: Teknik ini memungkinkan penyerang mengirim data melalui query DNS, menghindari deteksi karena sebagian besar firewall dan IDS tidak memantau lalu lintas DNS secara mendalam.

Penyerang cenderung menghindari penggunaan IP langsung karena lebih mudah untuk dipantau dan diblokir. Menggunakan DNS memungkinkan penyerang untuk memanfaatkan teknik seperti Fast Flux dan obfuscation, yang memperumit upaya pemblokiran dan deteksi oleh pihak pembela. Karena itulah DNS berada di tengah-tengah Pyramid of Pain: tidak terlalu mudah diubah seperti file hash, tetapi cukup mudah untuk dimodifikasi oleh penyerang yang berpengalaman.

Pyramid of Pain - Revision history