CTI: Intro

Cyber Threat Intelligence adalah knowledge untuk mengetahui siapa yang menyerang kitaa, pakai cara apa, dan bagaiman kita bisa menyiapkan pertahana sebelum dia menyerang

Ada beberapa istilah di CTI yaitu:

• Data: seperti potongan kecil puzzle
• Information: potongan-potongan yang disusun menjadi sebuah bentuk
• Intelligence: kita lihat bentuknya dan kita ngerti, "oh ini dinosaurus 🦕"

Contoh

• Data: Ada IP 185.23.128.1 kena block
• Information: IP itu akses login ke 15 akun dalam 1 menit
• Intelligence: Itu brute-force attack pake botnet dari Rusia. Harus blacklist subnet-nya & audit auth system sekarang

Tujuan Utama CTI adalah untuk menjawab pertanyaan-pertanyaan ini:

• Siapa yang nyerang?
• Motifnya apa? bisa duit, politik, balas dendam, atau cari pengakuan
• Senjatanya apa? bisa tools, malware, exploit, dll
• Gimana bukti dan jejaknya? bisa IP, hash, domain, dll

Sumber data CTI:

• Internal: Dalam tim kita sendiri seperti log server, laporan insiden, hasil training awareness user, dll
• Community: Forum hacker
• External: Feed dari perusahaan (kayak Mandiant, RecordedFuture), OSINT, bahkan laporan dari badan pemerintah/industri.

Klasifikasi CTI:

• Strategic: Buat bos-bos; analisa ancaman besar, tren global, dampaknya ke bisnis.
• Technical: Artifact attack; hash malware, domain jahat, signature serangan.
• Tactical: Fokus ke cara nyerangnya; teknik hacker, command & control pattern.
• Operational: Tau niat & misi si musuh; “eh ini grup APT mau nyerang minggu depan nih.”

Cyber Threat Intelligence Lifecycle

Direction

Di sini kita harus bisa jawab "mau ngapain sih sebenernya?". Setiap thret intel program harus punya tujuan, jadi kita harus tau dulu:

• Apa yang mau dilindungi? (server? database?)
• kalau ilang atau rusak, impact-nya ke bisnis apa?
• Mau ngumpulin data darimana?
• Tools yang mau dipake?

Collection

Setelah tujuan udah clear, baru ngumpulin data. Data bisa diambil dari:

• Logs dari firewall, endpoint, SIEM, dll
• Threat intel feeds (ContosoFeed™, AlienVault, dll)
• Dark web, forum hacker, github, dll

Processing

Data mentah itu berantakan. Mirip di dunia data science kita juga perlu cleaning data seperti:

• Extract data
• Sorting dan dikategorikan
• Dikasih tag (contoh: phishing, C2, APT29, dll)
• Ditampilkan biar gampang dimengerti (dashboard, heatmap, dsb)

Analysis

Analysis data yang sudah ready seperti:

• Apakah ini beneran serangan atau false positive?
• Ada pattern TTP yang mirip sama APT mana?
• Apa rencana buat defense? Perlu patch? Block IP? Reset user?
• Perlu ngajuin budget buat EDR baru?

Dissemination

Dissemination adalah tahap kita mengkomunikasikan hasil kepada stakeholder. Gaya komunikasinya harus beda-beda: CISO butuh ringkasan elegan, SOC butuh teknikal detail.

Feedback

terus review dan improve

• apa yang berhasil?
• apa yang kurang tepat?
• stakeholder kasih insight sehingga next cycle bisa lebih matang