CTI: Intro
Cyber Threat Intelligence adalah knowledge untuk mengetahui siapa yang menyerang kitaa, pakai cara apa, dan bagaiman kita bisa menyiapkan pertahana sebelum dia menyerang
Ada beberapa istilah di CTI yaitu:
- Data: seperti potongan kecil puzzle
- Information: potongan-potongan yang disusun menjadi sebuah bentuk
- Intelligence: kita lihat bentuknya dan kita ngerti, "oh ini dinosaurus 🦕"
Contoh
- Data: Ada IP 185.23.128.1 kena block
- Information: IP itu akses login ke 15 akun dalam 1 menit
- Intelligence: Itu brute-force attack pake botnet dari Rusia. Harus blacklist subnet-nya & audit auth system sekarang
Tujuan Utama CTI adalah untuk menjawab pertanyaan-pertanyaan ini:
- Siapa yang nyerang?
- Motifnya apa? bisa duit, politik, balas dendam, atau cari pengakuan
- Senjatanya apa? bisa tools, malware, exploit, dll
- Gimana bukti dan jejaknya? bisa IP, hash, domain, dll
Sumber data CTI:
- Internal: Dalam tim kita sendiri seperti log server, laporan insiden, hasil training awareness user, dll
- Community: Forum hacker
- External: Feed dari perusahaan (kayak Mandiant, RecordedFuture), OSINT, bahkan laporan dari badan pemerintah/industri.
Klasifikasi CTI:
- Strategic: Buat bos-bos; analisa ancaman besar, tren global, dampaknya ke bisnis.
- Technical: Artifact attack; hash malware, domain jahat, signature serangan.
- Tactical: Fokus ke cara nyerangnya; teknik hacker, command & control pattern.
- Operational: Tau niat & misi si musuh; “eh ini grup APT mau nyerang minggu depan nih.”