Ringkasan Juli 2024: Pemburu ancaman kami mencatat peningkatan serangan September 2024: Hunters International memposting informasi tentang serangan di situs kebocoran data Kami menemukan bukti serangan dengan titik masuk di server web Oracle, dan: Pergerakan lateral Eksfiltrasi data sensitif Enkripsi file Penonaktifan pemulihan data Panduan Tinjau berbagi pengetahuan kami dalam briefing ancaman lengkap untuk: Taktik, Teknik, dan Prosedur (TTP) Peluang deteksi Indikator Kompromi (IoC) Ikuti praktik terbaik dalam deteksi dan respons terhadap ancaman Gunakan aturan deteksi ancaman khusus—termasuk log telemetri EDR untuk membantu mengidentifikasi dan mengotomatiskan respons insiden Hunters International adalah operasi ransomware-as-a-service (RaaS) yang pertama kali muncul pada Oktober 2023, dengan lebih dari 200 korban sejak awal kemunculannya. Pada November 2024 saja, grup ini mengklaim 24 organisasi korban, rata-rata hampir satu per hari: 10 di AS 2 di Inggris 12 secara global: 7 di Uni Eropa 3 di Amerika Selatan 2 di Asia Dari membocorkan data US Marshals dan FBI hingga memeras bank China, ICBC, di London, Hunters International adalah layanan ransomware yang sangat aktif dan menguntungkan. Dikenal karena desainnya yang dapat disesuaikan, ransomware Hunters International ditulis dalam bahasa Rust, yang memungkinkannya untuk melewati deteksi, mempercepat enkripsi, dan memastikan kompatibilitas lintas platform. Malware ini memiliki kesamaan kode dengan ransomware Hive, tetapi memperbaiki desain Hive dengan menyederhanakan opsi baris perintah dan mengoptimalkan manajemen kunci. Yang mencolok, ransomware ini menyematkan kunci enkripsi dalam file yang ter-enkripsi, sebuah teknik yang menyulitkan dekripsi namun mempermudah proses pemulihan bagi korban yang membayar tebusan. Dalam briefing ancaman terbaru, kami menganalisis insiden di mana penyerang mengeksploitasi Oracle Web Server yang terhubung ke publik untuk mendapatkan akses awal ke jaringan korban. Setelah itu, mereka melakukan rekognisi dan pergerakan lateral menggunakan alat komoditas, mengekstrak data sensitif, menonaktifkan opsi pemulihan data, dan akhirnya mengenkripsi file menggunakan enkriptor Hunters International. Briefing ancaman lengkap juga memberikan analisis malware serta rekomendasi untuk mendeteksi, mengurangi, dan berburu aktivitas jenis ini. Berikut ini, kami merangkum insiden tersebut dan bagaimana Forescout dapat membantu mengurangi ancaman jenis ini. Deskripsi Insiden: Ransomware Hunters International Pada Juli 2024, kami mengamati peningkatan pemberitahuan keamanan di jaringan yang kami pantau, yang menandakan potensi aktivitas jahat. Kami hanya memiliki visibilitas endpoint parsial pada akun tersebut sebagai bagian dari keterlibatan proof-of-concept, sehingga pemberitahuan tersebut tidak dapat disimpulkan saat itu. Pemberitahuan tersebut kemudian terhubung dengan kampanye serangan yang lebih luas. Pada September 2024, para penyerang memposting informasi tentang aktivitas mereka di situs kebocoran data, mengonfirmasi kecurigaan kami. Selama penyelidikan, kami menemukan bukti upaya eksploitasi yang menargetkan berbagai kerentanannya, pembuangan kredensial, dan penggunaan SMB serta RDP untuk pergerakan lateral di jaringan. Setelah penyelidikan mendalam, kami merekonstruksi urutan kejadian yang mengarah pada insiden ini dengan beberapa keterbatasan karena visibilitas parsial. Proses ini dirangkum dalam gambar di bawah: Akses Awal Penyelidikan mengidentifikasi dua metode potensial di mana penyerang mungkin telah mendapatkan akses ke lingkungan. Malware AutoIt yang Diganti Namanya Para penyerang menyebarkan malware AutoIt yang telah diganti namanya, diikuti dengan aktivitas pemindaian jaringan. Mereka juga berusaha untuk mengkompromikan pengontrol domain menggunakan Zerologon dan SECRETSDUMP DCSYNC, yang menunjukkan niat mereka untuk meningkatkan hak akses dan menguasai domain. Oracle WebLogic Server Para penyerang terhubung ke port debug 8453 dari server Oracle WebLogic yang memungkinkan mereka mengeksekusi perintah sebagai java.exe dan menginstal China Chopper web shell. Metode pasti dari kompromi mesin Oracle ini masih belum diketahui, apakah melalui kerentanannya atau vektor lain. Reconnaissance dan Pergerakan Lateral Setelah mendapatkan akses, para penyerang melakukan rekognisi dan pergerakan lateral untuk memetakan jaringan dan meningkatkan hak akses. Mereka membuat folder untuk menyimpan alat dan informasi tentang lingkungan, seperti lokasi jaringan, hubungan kepercayaan domain, dan rincian pengguna. Para penyerang memperoleh akun dengan hak administratif dan mengumpulkan kredensial sistem lokal menggunakan dump SAM dan SYSTEM hive untuk melakukan pergerakan lateral. Untuk mendapatkan kontrol penuh atas domain, para penyerang mengeksploitasi layanan domain, kemungkinan menggunakan DFSCoerce untuk memanipulasi pengontrol domain. Ini memungkinkan mereka mengakses basis data Active Directory, yang kemudian mereka dump. Para penyerang menggunakan berbagai alat administratif umum dan alat red teaming untuk pergerakan lateral, termasuk: Plink Impacket AnyDesk TeamViewer RDP dengan memanfaatkan akun Administrator yang terpapar, serta akun domain admin. Mereka juga menambahkan akun ke grup Administrator atau RDP untuk mempertahankan akses. Selain menargetkan sistem Windows, para penyerang juga menyelidiki mesin Linux dengan menjalankan perintah untuk mengumpulkan informasi tentang hak akses pengguna dan pengaturan sistem. Dampak: Pengumpulan Data, Eksfiltrasi, dan Enkripsi Para penyerang meningkatkan kampanye mereka dengan menargetkan server basis data, dari mana mereka melakukan dump isi data yang kemudian dieksfiltrasi ke layanan berbagi file MEGA, menunjukkan strategi eksfiltrasi data yang sengaja dan efisien. Setelah itu, para penyerang membuka dan mengeksekusi payload ransomware terakhir, encrypter_windows_x64.exe. Setelah diterapkan, ransomware ini secara sistematis menonaktifkan opsi cadangan dan pemulihan dengan menghapus salinan bayangan dan menonaktifkan Data Execution Prevention (DEP). Ransomware ini kemudian menenumerasi file di seluruh sistem, mengenkripsinya, dan menyebarkan aktivitasnya ke seluruh jaringan. Ransomware ini meninggalkan catatan tebusan di sistem yang terpengaruh. Technique Artifact Detection Opportunity Exploit Public-Facing Application Debug ports (8453) on WebLogic servers Monitor for connections to debug ports and subsequent java.exe spawning cmd.exe (or other unusual parent-child relationships) Web Shell China Chopper deployment in WebLogic Track web shell command patterns. Correlate with network traffic or endpoint reconnaissance commands. Command and Scripting Interpreter Usage of cmd.exe 1. Monitor parent child relationships. 2. Pair observations with command line arguments and length analysis. User Execution Users downloading and executing malicious files Perform long tail analysis, identify new executables, track their prevalence and user’s context External Remote Services Unauthorized deployment of Remote Monitoring and Management (RMM) tools (e.g. AnyDesk, TeamViewer) Monitor for RMM installation and associated network connections. Start with LOLRMM and establish a baseline of known RMM tools in the environment to detect anomalies. Remote Desktop Protocol RDP abuse for lateral movement Build baseline of RDP connections and authentication patterns. Detect deviations, new connections, or changes in RDP configurations on the host. Scheduled Task Execution of batch file using schtasks Monitor: 1. Windows events 4698 – 4702 in “Microsoft-Windows-Security-Auditing” channel. 2. “Microsoft-Windows-TaskScheduler/Operational” logs 3. File creations in C:\Windows\System32\Tasks folder (Sysmon Event 11) with svchost.exe as the creation process 4. Registry changes (CreateKey, DeleteKey, SetValue)…
Tag: forescout
5 Tren Keamanan Siber Federal yang Perlu Diperhatikan pada 2025
Lanskap keamanan siber diperkirakan akan mengalami perubahan signifikan tahun ini seiring dengan upaya AS menghadapi ancaman yang semakin meningkat terhadap infrastruktur kritis—termasuk sistem yang beroperasi di luar angkasa. Salah satu perkembangan paling berdampak? Pembentukan Cyber Force independen, yang berpotensi mendefinisikan ulang bagaimana Departemen Pertahanan AS (DoD) melindungi dan menjalankan operasi siber dengan lebih efektif. Perubahan ini menuntut pemikiran baru mengenai kemitraan publik-swasta, kerangka hukum, serta integrasi talenta baru dari berbagai latar belakang. Berikut lima tren keamanan siber yang diperkirakan akan memberikan dampak nyata bagi pemerintah federal AS dan DoD pada tahun 2025. Tren #1: Melindungi Infrastruktur Kritis AS Dengan semakin canggihnya serangan terhadap sistem Operational Technology (OT) yang mendukung infrastruktur kritis, pemerintahan Trump 47 yang akan datang tampaknya akan mengambil pendekatan yang lebih langsung. Alih-alih hanya mengandalkan serangkaian peraturan yang terfragmentasi, pemerintahan ini mungkin akan meninjau ulang kebijakan yang memungkinkan unit siber militer dikerahkan ke jaringan domestik untuk tujuan pertahanan. Langkah ini sejalan dengan meningkatnya dorongan untuk mengklasifikasikan luar angkasa sebagai infrastruktur kritis, mengingat ketergantungan yang semakin besar pada teknologi Space-as-a-Service (SPaaS) untuk operasi publik dan pemerintahan. Melindungi satelit komersial dan sistem darat memerlukan komitmen serius terhadap pertahanan siber, menjadikan aset luar angkasa komersial sebagai fokus utama bagi komunitas keamanan nasional yang lebih luas. Tren #2: Munculnya Cyber Force “Sistem pembentukan Cyber Force Amerika jelas bermasalah,” demikian temuan laporan yang diterbitkan oleh Foundation for Defense of Democracies. “Memperbaikinya memerlukan langkah besar, yaitu pembentukan layanan siber independen.” Berbeda dengan unit militer konvensional, Cyber Force yang baru akan memanfaatkan beragam talenta. Unit ini akan membuka peluang bagi individu dengan bakat dan keahlian teknis khusus, meskipun mereka tidak memenuhi persyaratan layanan militer tradisional. Penekanan baru pada keahlian teknis dibandingkan kehadiran fisik mencerminkan perubahan paradigma dalam cara keamanan nasional dipahami dan dijalankan. Dengan bermitra dengan industri, layanan baru ini akan menciptakan kumpulan talenta yang lebih luas dan beragam, siap untuk berkontribusi dalam pertahanan nasional. Tren #3: Transformasi dan Harmonisasi Keamanan Siber Federal CISA perlu berkembang lebih jauh dari akar pendiriannya pada tahun 2018 untuk menghadapi ancaman digital paling serius terhadap domain ‘.gov’ saat ini. Mereka harus lebih fokus pada threat hunting di seluruh jaringan federal—terutama pada sistem operasional jarak jauh yang sering terabaikan dibandingkan dengan keamanan jaringan TI tradisional. Mengatasi kerentanan ini sangat penting untuk memperkuat ekosistem ‘.gov’. Peningkatan jumlah perangkat IoT yang tidak aman dan tidak terkelola harus menjadi perhatian utama lembaga ini, termasuk jaringan OT dan TI dalam infrastruktur kritis. Di tingkat eksekutif, harmonisasi kewenangan Title 10, 50, dan 32 yang mengatur operasi militer, intelijen, dan Garda Nasional dapat menciptakan kerangka kerja yang lebih jelas dalam menangani risiko siber. Sinkronisasi hukum ini akan memberi kewenangan lebih besar bagi Gedung Putih untuk bertindak secara tegas dan terpadu dalam melindungi infrastruktur digital nasional, sekaligus mempercepat respons terhadap ancaman siber. Pada saat yang sama, memprioritaskan anggaran Sector Risk Management Agencies (SRMAs) dan mengadakan latihan siber berskala nasional akan memperkuat kesiapan dan ketahanan terhadap ancaman dari negara-negara musuh seperti China. Tren #4: Merespons Eskalasi Ancaman Siber Seiring dengan semakin maraknya kampanye siber dari pihak lawan, AS harus menggandakan atau bahkan melipatgandakan upaya dalam membangun ketahanan terhadap kelompok seperti Volt Typhoon, Flax Typhoon, Salt Typhoon, dan lainnya. Latihan siber nasional—mirip dengan simulasi perang militer—akan membantu mengidentifikasi kelemahan serta menyempurnakan strategi respons terhadap ancaman siber yang terus berkembang. Memastikan dukungan fiskal bagi Sector Risk Management Agencies (SRMAs) juga akan memungkinkan investasi yang terarah di sektor-sektor paling rentan, sehingga memperkuat pertahanan mereka terhadap ancaman yang terus berkembang. Sebagai contoh, Israel baru-baru ini mengadakan latihan siber nasional yang melibatkan 26 lembaga pemerintah dan 40.000 pegawai sipil. Dalam skenario tersebut, sebuah ‘serangan siber’ secara simultan memengaruhi infrastruktur kritis utama di sektor transportasi, kesehatan, keuangan, pemerintahan, rantai pasokan, dan energi. Tren #5: Menjembatani Kesenjangan Talenta Pembentukan Cyber Force menghadirkan peluang unik untuk memperluas kumpulan talenta potensial. Dengan melepaskan keahlian teknis dari peran militer tradisional, Departemen Pertahanan (DoD) dapat menjangkau tenaga kerja yang lebih luas, termasuk spesialis siber sipil, veteran industri, dan inovator teknologi baru. Pendekatan ini dirancang untuk memaksimalkan kontribusi individu berdasarkan keterampilan mereka, tanpa bergantung pada kualifikasi untuk peran tempur atau tugas fisik yang berat. Negara akan lebih siap menghadapi ancaman digital yang kompleks dengan cara berikut: Mengintegrasikan kemampuan siber militer dengan pertahanan infrastruktur domestik Mendirikan Cyber Force Membangun kolaborasi publik-swasta yang kuat Kemajuan ini akan membantu mendefinisikan kembali peran individu dan organisasi dalam pertahanan kolektif terhadap sistem kritis, sekaligus membuka jalan menuju masa depan yang lebih aman dan tangguh bagi Amerika serta mitra-mitranya. Untuk mendapatkan keamanan terbaik hubungi Forescout Indonesia, untuk POC dan lainnya kami selalu siap support untuk Perusahaan anda.
Mencapai Mandat Keamanan Zero Trust dengan Pendekatan Adaptif
Lembaga Pemerintah dan Perusahaan Besar di Bawah Tekanan untuk Beralih ke Zero Trust Architecture (ZTA) Lembaga pemerintah dan perusahaan besar kini menghadapi mandat regulasi untuk beralih ke Zero Trust Architecture (ZTA). Namun, mengamankan jaringan yang mencakup ratusan ribu—bahkan jutaan—perangkat yang terhubung merupakan tantangan besar. Desakan untuk menerapkan ZTA dari ujung jaringan hingga ke cloud yang terhubung semakin meningkat dengan adopsi teknologi baru, bersamaan dengan serangan siber yang menargetkan firewall perimeter, VPN, dan area lainnya. Pertumbuhan perangkat OT/IoT yang tidak dikelola (unmanaged) menambah kerentanan di luar perimeter tradisional. Kerentanan ini sering kali menyebabkan kegagalan audit, pelanggaran keamanan, dan hilangnya data sensitif. Pendekatan Adaptif Menuju Zero Trust oleh Forescout Untuk membantu organisasi menghadapi tantangan ini, Forescout mengembangkan pendekatan bertahap menuju implementasi Zero Trust yang efektif. Kami menyebutnya “Pendekatan Adaptif untuk Zero Trust”, yang dirancang untuk menyederhanakan proses transisi ini sekaligus mempercepat pencapaian mandat regulasi. Pendekatan ini tidak hanya berfokus pada autentikasi, tetapi juga mencakup langkah-langkah strategis untuk melindungi seluruh ekosistem digital, termasuk: Identifikasi Semua Perangkat yang Terhubung: Memastikan visibilitas penuh atas semua perangkat, baik yang dikelola maupun yang tidak dikelola, di dalam jaringan. Segmentasi Dinamis: Membagi jaringan ke dalam segmen-segmen kecil untuk membatasi pergerakan lateral dan mencegah penyebaran ancaman. Pemantauan Berkelanjutan: Menggunakan alat otomatisasi dan analitik berbasis AI untuk mendeteksi dan merespons ancaman secara real-time. Integrasi Solusi Keamanan yang Ada: Menggunakan infrastruktur keamanan yang telah dimiliki organisasi untuk membangun arsitektur Zero Trust secara efisien. Dengan pendekatan adaptif ini, organisasi dapat mengatasi hambatan utama seperti skala jaringan yang besar, keterbatasan sumber daya, dan kompleksitas teknologi. Hal ini memungkinkan transisi ke Zero Trust yang lebih mulus dan sesuai dengan kebutuhan operasional masing-masing organisasi. Menangani Permukaan Serangan Fase pertama berfokus pada penanganan permukaan serangan dengan menciptakan visibilitas penuh terhadap semua sumber daya jaringan melalui penemuan dan klasifikasi aset. Ini mencakup pemahaman mendalam tentang cara perangkat terhubung ke jaringan dan pengelompokan perangkat berdasarkan karakteristik uniknya. Klasifikasi data berbasis konteks membantu dalam pemetaan topologi jaringan dengan menetapkan tingkat sensitivitas pada setiap aset. Pendekatan ini memastikan bahwa hanya pengguna yang memiliki otorisasi yang dapat mengakses area paling sensitif dalam jaringan. Hal ini menjadi langkah awal penting untuk memperkuat postur keamanan dan mengurangi risiko yang muncul dari permukaan serangan yang luas. Merancang Permukaan Perlindungan Langkah berikutnya adalah merancang permukaan perlindungan yang aman. Fase ini menitikberatkan pada pengembangan kebijakan akses dengan hak istimewa minimum (least-privileged access) dalam praktik kontrol akses Anda. Pendekatan ini melampaui penerapan autentikasi multi-faktor (MFA) saja. Proses ini mencakup evaluasi keamanan endpoint dan firewall, otomatisasi kepatuhan perangkat, pemberian akses dengan hak minimum, serta memastikan autentikasi dan otorisasi berkelanjutan selama sesi pengguna berlangsung. Autentikasi dan otorisasi berkelanjutan terhadap semua aset dalam model Zero Trust Assurance sangat penting untuk mencegah akses tidak sah akibat pencurian kredensial dan pembajakan sesi. Sebelum administrator jaringan dan analis keamanan siber mulai mengembangkan kebijakan akses berbasis hak minimum, mereka perlu mengetahui apa yang menjadi aktivitas normal dalam jaringan. Representasi visual dari lalu lintas jaringan membantu memahami komunikasi jaringan dan menetapkan baseline perilaku lalu lintas, sehingga penyimpangan dan anomali dapat terlihat dengan jelas. Setelah perilaku lalu lintas dipahami dengan baik, administrator jaringan dapat menerapkan segmentasi secara sesuai. Pada tahap ini, banyak implementasi arsitektur Zero Trust mengalami kegagalan. Menerapkan kebijakan segmentasi sebelum memahami perilaku lalu lintas normal dapat secara tidak sengaja memblokir akses yang sah atau bahkan memungkinkan akses tidak sah ke sumber daya sensitif—yang tentunya merugikan. Dengan menggunakan alat simulasi kebijakan, hasil dari segmentasi dan kebijakan kontrol akses dapat diuji tanpa risiko memengaruhi aset dan pengguna secara langsung. Hal ini memungkinkan implementasi kebijakan yang lebih aman dan efektif. Menyelaraskan Strategi Otomasi dengan Kebijakan dan Penegakan Zero Trust Langkah berikutnya adalah menerapkan otomatisasi. Selaraskan strategi otomatisasi dengan menyertakan kesadaran kontekstual. Evaluasi risiko berdasarkan lokasi, perilaku, dan koneksi historis. Kebijakan akses dinamis berbasis aturan memungkinkan fleksibilitas dalam menyesuaikan kebijakan keamanan dengan kondisi yang berubah—serta memastikan penegakan yang konsisten dan pengurangan kesalahan manual. Kontrol akses berbasis risiko mengevaluasi konteks dari setiap permintaan akses untuk menentukan tindakan yang tepat. Tata kelola yang terotomasi memastikan bahwa langkah-langkah keamanan diterapkan dan diperbarui secara konsisten sesuai dengan intelijen ancaman terkini. Pendekatan ini memperkuat perlindungan keamanan dengan memadukan otomatisasi dan kebijakan berbasis risiko, sehingga organisasi dapat dengan lebih efektif mengurangi risiko dan meningkatkan efisiensi operasional dalam menerapkan arsitektur Zero Trust. Melindungi Kebijakan di Seluruh Organisasi dan Cloud dengan Kontrol Terpusat Tahap Protect berfokus pada penggunaan deteksi ancaman canggih dan respons yang terintegrasi di seluruh tumpukan teknologi Anda. Langkah-langkah keamanan dengan kapabilitas Zero Trust (ZT) memungkinkan respons proaktif yang meningkatkan pertahanan terhadap ancaman sekaligus mempertahankan kepatuhan dan efisiensi operasional melalui sistem keamanan yang terpusat. Pendekatan ini selaras dengan prinsip inti ZT, yaitu memastikan keamanan terintegrasi dan tertanam dalam setiap aspek teknologi organisasi. Integrasi ini memungkinkan berbagi data secara real-time di seluruh domain TI dan OT, sekaligus menyederhanakan proses pengelolaan layanan dan mempertahankan inventaris aset yang diperkaya di semua sistem yang terintegrasi. Dengan kontrol yang terpusat, organisasi dapat lebih efektif mengelola kebijakan keamanan lintas organisasi dan lingkungan cloud, meningkatkan ketahanan terhadap ancaman tanpa mengorbankan efisiensi operasional. Menyempurnakan dengan Menggunakan Analitik Lanjutan, Otomasi, dan Deteksi Anomali Proaktif Fase Tune adalah fase matang di mana lembaga pemerintah dan organisasi mencapai visibilitas penuh dan otomasi dalam proses keamanan mereka. Pada fase ini, lembaga dan organisasi memanfaatkan analitik lanjutan untuk deteksi anomali secara real-time, memungkinkan identifikasi perilaku tidak biasa dan potensi ancaman secara proaktif. Mereka mengimplementasikan alur kerja respons insiden adaptif yang menyesuaikan berdasarkan konteks insiden, sehingga meningkatkan waktu respons dengan perbaikan otomatis. Sistem perlindungan titik akhir adaptif mampu mengisolasi perangkat yang terkompromi dan secara otomatis memberlakukan kontrol keamanan yang lebih ketat saat terdeteksi perilaku mencurigakan. Kebijakan segmentasi jaringan adaptif secara dinamis menyesuaikan kebijakan keamanan berdasarkan risiko real-time, memastikan hanya lalu lintas yang sah yang dapat mengakses area sensitif jaringan. Pemantauan kepatuhan berkelanjutan menjadi elemen integral pada fase ini. Hal ini membantu memastikan kepatuhan terhadap standar regulasi sekaligus memberikan wawasan yang dimasukkan kembali ke dalam model Zero Trust Assurance untuk meningkatkan kemampuan deteksi ancaman dan respons secara berkelanjutan. Pendekatan Adaptif Akan Mengubah Program Keamanan Siber Anda Menerapkan Adaptive Approach bukan hanya…
Analisis Ancaman ICS: Malware Baru dan Eksperimental Dapat Membunuh Proses Teknik
Ringkasan Analisis kami terhadap repositori malware publik menunjukkan terus meningkatnya malware yang menargetkan OT/ICS. Lebih dari 20% serangan OT/ICS menargetkan workstation teknik, jadi kami fokus pada hal ini. Kami melihat dua insiden dengan workstation teknik Mitsubishi yang terinfeksi worm Ramnit. Kami menganalisis tiga sampel malware baru yang dapat menghentikan proses teknik Siemens — kami menamakannya Chaya_003. Panduan Perkuat workstation teknik. Segmentasi jaringan. Monitor untuk ancaman. Analisis lengkap dan rekomendasi mitigasi ada di bawah. Malware spesifik OT seperti FrostyGoop/BUSTLEBERM masih jauh lebih jarang dibandingkan dengan malware yang menargetkan perangkat lunak perusahaan atau sistem operasi seluler berdasarkan volume. Namun, tidak ada ruang untuk tidur tenang bagi operator keamanan di OT atau mereka yang mengelola keamanan sistem kontrol industri. Malware di OT/ICS lebih umum daripada yang Anda kira — dan workstation teknik yang terhubung ke internet adalah target. Kami baru-baru ini menganalisis keluarga botnet otomatis seperti Aisuru, Kaiten, dan Gafgyt, yang dapat ditemukan di repositori malware publik VirusTotal pada waktu yang sama dengan FrostyGoop/BUSTLEBERM. Yang kami temukan termasuk kredensial default perangkat OT untuk infeksi awal atau instruksi untuk menghapus direktori data sensitif. Botnet tersebut biasanya menyusup ke jaringan melalui perangkat yang dapat diakses melalui internet. Menurut survei terbaru dari SANS Institute mengenai “State of ICS/OT Cybersecurity”, perangkat yang terhubung merupakan salah satu vektor serangan awal yang paling umum terlibat dalam insiden OT/sistem kontrol dunia nyata. Survei SANS yang sama mengidentifikasi kompromi workstation teknik sebagai vektor serangan awal yang paling umum keempat, yang menyumbang lebih dari 20% insiden OT/sistem kontrol. Sebagai tanggapan, kami menganalisis jenis malware yang menargetkan workstation teknik yang tersedia di repositori VirusTotal selama periode 90 hari yang bertepatan dengan publikasi survei SANS. Penelitian kami mengungkapkan dua klaster aktivitas yang signifikan: Klaster 1: Software eksekutabel workstation teknik Mitsubishi yang sah terinfeksi worm Ramnit dalam dua insiden terpisah. Klaster 2: Tiga sampel malware eksperimental baru, yang kami namakan Chaya_003, yang dapat menghentikan proses teknik Siemens. Pencarian: Malware Menargetkan Perangkat Lunak Teknik OT/ICS Workstation teknik terletak pada tingkat 2 dan 3 dari model Purdue, seperti yang ditunjukkan dalam diagram arsitektur OT standar di bawah ini. Pencarian: Malware Menargetkan Perangkat Lunak Teknik OT/ICS Workstation teknik adalah komputer standar yang menjalankan sistem operasi tradisional, seperti Windows, bersama dengan perangkat lunak teknik khusus yang disediakan oleh produsen peralatan, seperti Siemens TIA Portal atau Mitsubishi GX Works. Perangkat lunak ini sangat penting untuk pengaturan dan pemrograman perangkat lapangan seperti programmable logic controller (PLC) yang beroperasi di tingkat bawah Model Purdue. Untuk menyelidiki potensi ancaman, kami fokus pada identifikasi dua kategori artefak yang diunggah ke VirusTotal: Eksekusi perangkat lunak teknik yang terdeteksi terinfeksi oleh alat deteksi malware umum. File yang berpotensi berbahaya yang dirancang untuk berinteraksi dengan perangkat lunak teknik. Untuk menangani kedua kasus ini, kami mengembangkan aturan YARA yang menggabungkan tanda tangan eksekutabel biner yang merujuk pada artefak OT khusus, termasuk nama eksekutabel, panggilan API dari DLL, dan sumber ikon. Tujuannya adalah untuk mengidentifikasi eksekutabel berbahaya yang menunjukkan perilaku, termasuk: Menyematkan nama perangkat lunak teknik sebagai string Menghubungkan atau mengekspor fungsi yang biasanya ditemukan dalam DLL perangkat lunak teknik Atau menyamar sebagai perangkat lunak teknik yang sah dengan menggunakan ikon yang terlihat asli Aturan YARA yang kami kembangkan mencakup tanda tangan untuk perangkat lunak teknik berikut: Siemens TIA Portal CODESYS v2 Mitsubishi GX Works Rockwell Automation RSLogix500 Phoenix Contact PC Worx Kami menerapkan aturan ini selama periode 90 hari, dari Agustus hingga November 2024 dan memperoleh hasil berikut: Rockwell Automation dan CODESYS: Tidak ada kecocokan yang terdeteksi. Phoenix Contact: 20 kecocokan teridentifikasi, semuanya adalah DLL benign. Mitsubishi: 10 kecocokan terkait dengan file sah yang terinfeksi oleh worm Ramnit. Siemens: 3 kecocokan dikonfirmasi sebagai eksekutabel berbahaya, sementara 1 kecocokan ditandai sebagai berbahaya namun akhirnya diidentifikasi sebagai positif palsu. Pada bagian berikutnya, kami menganalisis sampel berbahaya ini secara rinci. Ramnit: Infektor PE Kembali Menyerang Investigasi kami mengungkapkan dua klaster Ramnit yang menginfeksi workstation teknik: Klaster 1: Klaster ini berisi satu eksekutabel Mitsubishi GX Works dengan hash SHA-256: 703f0aac78d388f1fbe3800697015d092fa70cea2c01f22f456c8b1aa20a2334 Sampel ini dikirim dari Kanada pada 7 Juli 2024 dengan waktu pembuatan 16 April 2014. Klaster 2: Klaster ini terdiri dari 9 DLL yang terkait dengan eksekutabel yang sama. Semua dikirim dari Amerika Serikat pada 18 Oktober 2024 dan memiliki waktu pembuatan 28 Mei 2018: 1b8957804dfa7324d10bf6d7ca22fc038951ab57ab1e6838da9c63ad057c1d20 5b63ca75f95dc549729bb6261e9dc22f6425547584366188770507bd964221b4 5ec05f903cc94d559b8eb23aa749805b78de2845bd2317017bc8e50cdceb613f 69eb2b940ba1fc7bc46699eeb3ff11d921683609f636efae05c0cb796b588a38 8b585155cdc7fcbe3d2fa169b307756557ef0d69afb392726f577a73f11d5a97 a1d721db0583eed0077bb8ab542ff15a806d24e2dbf13557b12842bd49995354 ad5922bcc740e5761a708c526d023450ca278168ebcefaaf80f85815d6d6d24e c1826e0d310a6a02f2ee1b5d88b6c0dd48baa8fe1dd99447e98e42c4ca023c96 fd8558b8a4165ebb47f120fa237c2ada306c430ae4cb2109eb644fd8b0b82b15 Perbedaan lokasi, waktu, dan versi pengiriman yang dikompilasi untuk bahasa yang berbeda menunjukkan bahwa ini adalah dua infeksi terpisah. Ramnit adalah jenis malware yang pertama kali muncul pada tahun 2010 sebagai trojan perbankan yang dirancang untuk mencuri kredensial dari korban yang kemudian dijual di forum bawah tanah. Seiring waktu, Ramnit berkembang menjadi platform modular yang dapat mengunduh plugin dari server command and control (C2). Plugin ini memungkinkan fungsionalitas canggih, seperti desktop jarak jauh dan pengambilan screenshot. Pada tahun 2021, Ramnit telah menjadi trojan perbankan yang paling aktif. Itu menggabungkan kode sumber yang disalin dari malware sebelumnya yang dikenal sebagai Zeus dan akhirnya mengarah pada pengembangan strain malware lainnya yang disebut Bumblebee pada tahun 2022. Mandiant melaporkan pada tahun 2021 bahwa infeksi Ramnit pada perangkat lunak OT adalah bagian dari tren yang berkembang, bersama dengan infektor PE serupa lainnya – malware yang menyisipkan kode berbahaya ke dalam eksekutabel Windows yang sah. Contoh lainnya termasuk Sality, Virut, Expiro, DirtCleaner, Jeefo, Neshta, LockLoad, Parite, dan Floxif. Kami tidak dapat memastikan apakah dua klaster Ramnit yang kami identifikasi secara langsung menargetkan sistem OT – yang mana – atau bagaimana workstation teknik terinfeksi. Jenis malware ini dapat menyebar melalui perangkat fisik yang terinfeksi, seperti USB, atau melalui jaringan yang terkompromi oleh sistem TI yang kurang tersegmentasi dengan baik. Namun, temuan kami menunjukkan bahwa tren yang diidentifikasi pada tahun 2021 tetap ada. Setidaknya satu dari infektor yang sama yang diamati tiga tahun lalu terus mempengaruhi jaringan OT di seluruh dunia. DLL yang terinfeksi menjatuhkan eksekutabel, file yang dibungkus dengan UPX, ke C:\Program Files (x86)\Microsoft\DesktopLayer.exe. File ini, dengan hash SHA-256 fd6c69c345f1e32924f0a5bb7393e191b393a78d58e2c6413b03ced7482f2320, telah diamati ribuan kali dengan berbagai nama file sejak 2010. Ini telah diunduh dari ratusan URL, termasuk contoh terbaru berikut: 432i[.]com pada 2024-09-11 az-security[.]info pada 2024-10-08 0g0d[.]com pada 2024-10-10 grpaper[.]com pada 2024-11-19…
Router DrayTek Dieksploitasi dalam Kampanye Ransomware Besar-Besaran: Analisis dan Rekomendasi
Ringkasan Laporan Dray:Break 2024 kami mengungkapkan 14 kerentanan baru pada perangkat DrayTek. Lihat presentasi kami yang akan datang di Black Hat Europe untuk informasi lebih lanjut. PRODAFT membagikan intelijen ancaman dari tahun 2023 tentang kampanye ransomware yang mengeksploitasi perangkat DrayTek. Ini adalah pertama kalinya kampanye ini dibahas secara publik. Analisis kami menunjukkan alur serangan canggih untuk menyebarkan ransomware, termasuk kemungkinan: Kerentanan zero-day Pencurian kredensial dan pembobolan kata sandi Penyalahgunaan VPN dan tunneling Panduan Pastikan visibilitas terhadap semua perangkat jaringan, terutama yang berada di perimeter. Terapkan praktik terbaik dalam pengelolaan kredensial untuk perangkat tersebut. Perbarui perangkat perimeter yang rentan sesegera mungkin. Segmentasi jaringan Anda untuk mencegah penyebaran pelanggaran. Perangkat jaringan perimeter telah menjadi target akses awal yang kritis bagi aktor ancaman tingkat lanjut. Operator ransomware semakin sering mengeksploitasi kerentanan pada router dan perangkat VPN. Analisis ini mengungkapkan kampanye terkoordinasi yang menargetkan perangkat DrayTek Vigor. Temuan kami menunjukkan ekosistem kolaborasi kriminal siber yang kompleks dan infiltrasi jaringan yang sistematis. Pada tahun 2022, Forescout Research – Vedere Labs melaporkan insiden di mana ransomware ALPHV digunakan setelah akses awal diperoleh melalui perangkat SonicWall SRA yang rentan. Berdasarkan temuan tersebut, penelitian kami menemukan kerentanan baru pada perangkat perimeter, termasuk router DrayTek, yang menyoroti potensi eksploitasi dalam kampanye ransomware mendatang. Saat kami bersiap mempresentasikan temuan kami tentang DrayTek di Black Hat Europe 2024, kami didekati oleh PRODAFT, penyedia intelijen ancaman, dengan wawasan unik tentang kampanye eksploitasi aktif terhadap DrayTek. Antara Agustus dan September 2023, PRODAFT mengidentifikasi kampanye terkoordinasi yang menargetkan lebih dari 000 perangkat DrayTek Vigor di seluruh dunia. Operasi ini mengeksploitasi kerentanan yang diduga sebagai zero-day, memungkinkan penyerang untuk menyusup ke jaringan, mencuri kredensial, dan menyebarkan ransomware. Beberapa insiden besar terkait dengan kampanye eksploitasi ini, termasuk serangan rantai pasokan Polisi Manchester. PRODAFT bekerja sama dengan beberapa Tim Tanggap Darurat Komputer (CERT) – termasuk CISA dan lembaga penegak hukum – untuk memberi tahu organisasi yang terdampak dan menilai cakupan kampanye ini secara menyeluruh. Dalam laporan ini, kami mengungkapkan aktivitas ini secara publik untuk pertama kalinya. Fokus kami adalah pada koordinasi di antara aktor ancaman dan implikasinya yang lebih luas terhadap keamanan siber. Aktivitas Aktor Ancaman yang Teramati: Wawasan tentang Operasi Ransomware Canggih yang Mengeksploitasi Perangkat DrayTek Kampanye yang dianalisis melibatkan tiga aktor ancaman yang berbeda—Monstrous Mantis (Ragnar Locker), Ruthless Mantis (PTI-288), dan LARVA-15 (Wazawaka)—yang mengikuti alur kerja yang terstruktur dan efisien sebagaimana ditunjukkan dalam gambar berikut: Eksploitasi Monstrous Mantis Monstrous Mantis memainkan peran sentral dalam kampanye ini, bertindak sebagai fasilitator alih-alih terlibat langsung dalam penyebaran ransomware. Mereka mengidentifikasi dan mengeksploitasi kerentanan, secara sistematis mengekstraksi kredensial, lalu mendekripsinya menjadi format teks biasa. Dengan membagikan kredensial yang sudah didekripsi secara selektif kepada mitra tepercaya, Monstrous Mantis menjaga kendali ketat atas alokasi korban dan memastikan kerahasiaan operasional. Strategi ini memungkinkan mereka untuk mendapatkan keuntungan secara tidak langsung dari serangan ransomware yang dilakukan oleh mitra mereka, sekaligus meminimalkan risiko bagi diri mereka sendiri. Model yang sangat terspesialisasi dan transaksional ini mencerminkan kompleksitas ekosistem siber modern, di mana kelompok-kelompok berbeda bekerja sama untuk memaksimalkan efisiensi operasional dan meminimalkan risiko individu. Gambar di bawah ini diperoleh dari percakapan antar penyerang. Gambar tersebut menunjukkan cuplikan dari “manual” yang dibuat oleh Monstrous Mantis dan dibagikan kepada kelompok mitra, berisi instruksi tentang cara menggunakan kredensial yang dibagikan untuk membuat profil VPN baru dan membangun saluran koneksi. Pengamatan PRODAFT: Strategi dan Kolaborasi Monstrous Mantis PRODAFT juga mengamati cuplikan percakapan di mana kelompok tersebut menyebut kerentanan sebagai zero-day dan secara eksplisit menginstruksikan orang lain untuk tidak membagikannya. Namun, kami belum dapat mengonfirmasi apakah kerentanan tersebut benar-benar merupakan eksploitasi zero-day, karena banyak masalah serupa memengaruhi endpoint “mainfunction.cgi” yang rentan, dan kami tidak memiliki akses penuh ke seluruh payload eksploitasi. Beberapa kerentanan berulang ini akan dibahas pada bagian berikutnya. Monstrous Mantis menyediakan kredensial yang sudah didekripsi kepada kolaborator tepercaya mereka, memungkinkan kelompok lain seperti Ruthless Mantis (PTI-288) dan LARVA-15 (Wazawaka) untuk menyusup ke lingkungan korban. Namun, Monstrous Mantis menahan eksploitasi itu sendiri, mempertahankan kendali eksklusif atas fase akses awal. Struktur yang terencana ini memungkinkan mereka untuk meraih keuntungan secara tidak langsung, karena operator ransomware yang berhasil memonetisasi intrusi diwajibkan berbagi sebagian hasil mereka. Aktivitas kampanye yang berlangsung bersamaan menunjukkan bahwa Monstrous Mantis mungkin telah menyediakan kredensial kepada kelompok lain di luar Ruthless Mantis dan LARVA-15. Meskipun identitas kelompok tambahan ini belum dikonfirmasi, penyebaran yang lebih luas ini mengindikasikan kemungkinan adanya jaringan kolaborator yang lebih besar. Operasi Ruthless Mantis Ruthless Mantis, sebuah kelompok ransomware yang sangat canggih dengan akar dari operasi REvil sebelumnya, menggunakan kredensial yang disediakan oleh Monstrous Mantis untuk menargetkan korban secara independen. Fokus mereka terutama pada organisasi di Inggris dan Belanda. Berdasarkan data atribusi PRODAFT, mereka berhasil menyerang setidaknya 337 organisasi. Kelompok ini menunjukkan pendekatan yang sistematis dan metodis dengan memanfaatkan kredensial curian untuk mendapatkan akses awal, meningkatkan hak akses di dalam jaringan yang dikompromikan, dan menyebarkan varian ransomware seperti Nokoyawa dan Qilin. Profil korban mereka mencakup mulai dari perusahaan besar hingga UKM, yang mengindikasikan eksploitasi jaringan yang terpapar secara sembarangan untuk memaksimalkan dampak. Serangan Serentak oleh LARVA-15 DrayTek Routers Exploited in Massive Ransomware Campaign – Forescout LARVA-15 menjalankan aktivitas eksploitasi paralel menggunakan kredensial yang disediakan oleh Monstrous Mantis, dengan target korban yang tersebar secara geografis. Operasi mereka mencakup Inggris, Belanda, Australia, Taiwan, Italia, Polandia, Prancis, Jerman, dan Türkiye. Berbeda dengan Ruthless Mantis, LARVA-15 mengkhususkan diri sebagai Initial Access Broker (IAB), menghasilkan uang dengan menjual akses yang dikompromikan kepada aktor ancaman lainnya. Model operasional ini menegaskan peran mereka dalam memfasilitasi jaringan serangan yang lebih luas, sekaligus menggambarkan sifat saling terhubung dari ekosistem kejahatan siber. Kerentanan yang Dieksploitasi: Menelusuri Masalah Baru dan Berulang pada Perangkat DrayTek Kampanye yang diamati memanfaatkan kerentanan pada router DrayTek untuk mendapatkan akses awal, dengan secara spesifik menargetkan halaman web “mainfunction.cgi” di antarmuka WebUI. WebUI adalah antarmuka administratif berbasis peramban yang digunakan untuk mengonfigurasi router DrayTek, dan sering kali terekspos ke internet meskipun ada panduan dari vendor untuk membatasi akses tersebut. Sesuai laporan Dray:Break, aplikasi web DrayTek telah menghadapi berbagai masalah keamanan selama empat tahun terakhir, termasuk setidaknya 18 kerentanan yang memungkinkan Remote Code Execution (RCE). Beberapa masalah ini memengaruhi halaman web yang…
7 Prediksi Keamanan Siber untuk 2025: Bersiaplah untuk Perjalanan yang Tidak Mulus
Menjelang tahun baru, lanskap ancaman dunia maya terus berkembang. Di sini, kami membagikan prediksi keamanan siber yang paling mendesak di berbagai sektor seperti infrastruktur kritis, teknologi operasional (OT), ransomware, kecerdasan buatan, rantai pasokan, dan lainnya. Berdasarkan riset dan intelijen ancaman kami, organisasi dapat menggunakan wawasan ini untuk mempersiapkan diri menghadapi risiko yang akan datang dan tetap waspada terhadap potensi ancaman. Pada 2025, lanskap keamanan siber akan ditentukan oleh ancaman canggih yang berlapis, mulai dari peretasan yang dibantu AI hingga ransomware yang terus-menerus dan serangan yang ditargetkan pada OT. Seiring dengan berkembangnya taktik aktor ancaman, organisasi harus tetap proaktif dan memanfaatkan teknologi serta strategi terbaru untuk melindungi infrastruktur dan aset kritis mereka. Prediksi Keamanan Siber #1: Penjahat Siber Akan Mengembangkan Serangan Kustom Baru pada Router dan Perangkat Perimeter Pada tahun 2024, kami melihat aktor ancaman semakin menargetkan perangkat perimeter jaringan, seperti router, firewall, dan VPN. Pada paruh pertama tahun ini saja, 20% dari kerentanannya yang baru dieksploitasi berfokus pada perangkat ini, sebuah tren yang kami prediksi akan terus berkembang dengan semakin canggih. Terutama, ancaman persisten canggih dari China telah mengembangkan malware kustom untuk kegiatan spionase pada perangkat perimeter baru-baru ini – seperti ZuoRAT, HiatusRAT, dan COATHANGER – dan menyebarkannya ke ribuan perangkat di seluruh dunia, yang diduga sebagai bagian dari kegiatan penempatan sebelumnya. Penargetan canggih terhadap perangkat perimeter melalui malware kustom dan metode lainnya dapat memberikan akses istimewa ke jaringan, menjadikannya target bernilai tinggi bagi aktor yang didukung negara seperti China, dengan negara-negara lain seperti Iran mungkin mengikuti langkah tersebut pada tahun 2025. Berdasarkan penelitian kami pada tahun 2024, berikut adalah perangkat paling berisiko dalam jaringan saat ini: Prediksi Keamanan Siber #2: Sistem OT Legacy Akan Menjadi Sasaran Utama Kejahatan Siber Sebagai Titik Masuk ke Infrastruktur Kritis Dengan semakin meningkatnya integrasi antara perangkat IT, IoT, dan OT, malware kustom akan meningkatkan ancaman terhadap infrastruktur kritis, mirip dengan apa yang terjadi pada perangkat perimeter. Botnet dan malware IoT oportunistik kini sudah menyertakan kemampuan, seperti infeksi melalui kredensial OT yang dikenal. Pada tahun 2025, kami memprediksi peningkatan serangan yang memanfaatkan malware oportunistik yang dapat mengganggu operasi. Sistem OT legacy tetap rentan. Seperti yang telah terlihat pada sektor air tahun lalu, terlalu banyak aset dan perangkat yang tidak dikelola dan terekspos. Jika diserang, sistem-sistem ini dapat menjadi titik masuk ke sistem infrastruktur kritis. Seperti yang ditunjukkan oleh konflik Rusia-Ukraina yang sedang berlangsung, infrastruktur kritis berada dalam bahaya, menyoroti bahwa manajemen kerentanannya yang proaktif menjadi prioritas mendesak. Prediksi Keamanan Siber #3: Negara-Negara Akan Menggunakan Serangan Siber ‘Hacktivist’ ‘Grassroots’ untuk Melakukan Perang Diam-Diam Sejak 2022, taktik hacktivism semakin banyak digunakan dalam konflik regional seperti Rusia-Ukraina dan Timur Tengah. Pada tahun 2025, diprediksi lebih banyak negara akan mengadopsi identitas hacktivist untuk melancarkan serangan siber yang lebih canggih—beralih dari defacement dan DDoS menjadi pelanggaran data besar-besaran dan gangguan siber-fisik. Dengan meningkatnya ketegangan, seperti konflik antara China dan Taiwan, kami mengantisipasi lebih banyak negara yang akan menggunakan kelompok hacktivist sebagai kedok untuk menjalankan operasi siber secara diam-diam. Serangan ini memungkinkan negara untuk menjalankan operasi siber tanpa langsung teridentifikasi, memanfaatkan teknik hacktivism untuk memperburuk ketegangan internasional dan melancarkan serangan yang tidak dapat dilacak langsung ke pihak yang berwenang. Prediksi Keamanan Siber #4: Ancaman Ransomware Bertahan dengan Inovasi yang Lebih Sedikit, Tapi Dampak Finansial yang Lebih Besar Meski evolusi ransomware mungkin melambat, bahayanya lebih nyata dari sebelumnya. Para pelaku ancaman tidak memperbaiki hal-hal yang tidak rusak. Era emas inovasi ransomware tampaknya telah berakhir karena banyak kode sumber dari enkripsi yang telah bocor atau dibagikan, namun jumlah tebusan terus meningkat dengan cepat. Dengan organisasi besar yang menjadi target, kami memprediksi tuntutan tebusan akan melampaui rata-rata $2,73 juta pada tahun 2024, karena para penjahat dunia maya menargetkan korban dengan nilai tinggi untuk mendapatkan pembayaran lebih besar. Metode pemerasan baru, seperti pemerasan ganda dengan kebocoran data dan pemerasan triple dengan serangan DDoS, serta inovasi teknis lain seperti enkripsi yang dipercepat dan serangan terhadap server virtualisasi, sudah menjadi hal yang umum hingga 2022. Meski demikian, serangan ransomware masih meningkat jumlahnya setiap tahun, dan yang lebih mengkhawatirkan adalah peningkatan jumlah kelompok yang meluncurkan serangan ini. Hal ini tetap terjadi meskipun operasi penegakan hukum internasional yang telah menghancurkan kartel kriminal besar. Meskipun kami tidak melihat banyak perubahan dalam strategi ransomware pada tahun depan, kami memperkirakan lebih banyak kasus dan lebih banyak organisasi yang mengungkapkan korban mereka di halaman kebocoran data. Prediksi Keamanan Siber #5: Pelaku Ancaman Akan Membajak Rantai Pasokan dengan Ancaman Firmware ‘Tak Terlihat’ Aktornya negara semakin mengubah serangan rantai pasokan firmware menjadi senjata, menyematkan kode jahat selama proses manufaktur yang menghubungkan perang siber dan fisik. Kompromi perangkat komunikasi baru-baru ini oleh Israel menunjukkan bagaimana ancaman di tingkat firmware dapat memiliki dampak di dunia nyata. Pertahanan tradisional dan dokumentasi, termasuk Software Bill of Materials (SBOM), hanya bersifat reaktif dan tidak memberikan visibilitas serta deteksi yang sebenarnya terhadap risiko ini dan implan canggih. Seiring dengan meningkatnya adopsi IoT, risiko rantai pasokan juga semakin meningkat, sehingga sangat penting bagi organisasi untuk mengamankan setiap langkah dalam proses produksi dan distribusi. Prediksi Keamanan Siber #6: Kompromi Bisnis Otonom Akan Memungkinkan Penjahat Siber Mencuri Uang Saat Anda Tidur Business Email Compromise (BEC) dapat berkembang menjadi Autonomous Business Compromise (ABC), di mana kecerdasan buatan (AI) akan mengotomatiskan penipuan dengan interaksi manusia yang minimal. Penjahat siber akan menargetkan proses-proses yang didorong oleh AI, seperti manajemen rantai pasokan dan perencanaan keuangan, untuk melakukan penipuan dengan risiko tinggi tanpa pernah memasuki kotak masuk korban. Hal ini memungkinkan penjahat siber untuk melakukan serangan tanpa bergantung pada metode rekayasa sosial untuk menipu individu agar melakukan pembayaran. Prediksi Keamanan Siber #7: Penerapan AI Canggih Akan Mendorong Generasi Serangan Siber Berikutnya’ Kecerdasan buatan (AI) akan menjadi pembeda utama bagi penjahat siber. Pada tahun 2025, para pelaku serangan akan memanfaatkan AI untuk mengotomatisasi dan mempercepat kampanye mereka, beradaptasi dengan pertahanan secara real-time, dan membuat serangan semakin efektif serta lebih sulit dideteksi daripada sebelumnya. Seiring AI diintegrasikan ke dalam sistem pengambilan keputusan yang kompleks seperti manajemen rantai pasokan dan perencanaan keuangan, hal ini juga membuka peluang baru bagi…
Platform Keamanan IT dan OT Terbaru Menawarkan Ketahanan Siber yang Sesungguhnya
Dalam lanskap industri yang berkembang pesat saat ini—di mana kompleksitas operasional yang meningkat meningkatkan risiko—hanya memiliki visibilitas tidak lagi cukup. Ketika batas antara keamanan IT dan OT semakin kabur, kemampuan Anda untuk melihat gambaran secara keseluruhan dan mengambil kendali dapat menjadi perbedaan antara operasi yang lancar dan gangguan besar. “Organisasi menghabiskan jutaan untuk teknologi visibilitas dan deteksi terbaru namun tetap mengalami downtime atau terkompromi oleh ransomware, eksploitasi, kerentanan yang dikenal, dan Zero Days,” kata Barry Mainz, CEO Forescout. “Mereka tidak butuh lebih banyak visibilitas. Mereka butuh intelijen yang dapat ditindaklanjuti dan kontrol.” Platform keamanan Forescout untuk OT baru ini melampaui visibilitas—ini adalah solusi SaaS pertama yang dirancang untuk memberikan Intelijen Aset di seluruh perusahaan, Manajemen Paparan Risiko (REM), dan Deteksi dan Respon Ancaman (TDR) yang canggih untuk lingkungan industri yang kompleks. Baik saat bertransisi ke cloud, mempertahankan sistem yang terputus (air-gapped), atau mengelola infrastruktur hybrid, Forescout untuk Keamanan OT beradaptasi dengan mulus sesuai kebutuhan spesifik Anda, menawarkan penyebaran yang dapat diskalakan di seluruh sistem OT, IoT/IoMT, dan IT tanpa batasan. Apa yang Membuat Forescout untuk Keamanan OT Berbeda dari yang Lain? Forescout menawarkan platform keamanan IT dan OT yang komprehensif dan menyeluruh yang tidak hanya mendukung berbagai kasus penggunaan—baik itu memperluas kontrol keamanan IT ke lingkungan industri atau mengkonsolidasikan risiko dan kepatuhan ke dalam strategi yang terpadu—tetapi juga memungkinkan Anda untuk mengambil tindakan. Kami tidak hanya mendeteksi masalah dan membiarkan Anda menebak langkah selanjutnya. Platform ini terintegrasi dengan mulus ke dalam ekosistem IT dan keamanan Anda sehingga Anda dapat secara proaktif membuat, mengoptimalkan, dan mengotomatiskan perbaikan serta alur kerja operasional. Bagaimana Forescout untuk Keamanan OT Mengatasi Keamanan Siber Industri untuk Memastikan Ketahanan Opsi Penerapan yang Lebih Banyak: Baik dalam penerapan di cloud, menggunakan kontainer Docker pada sensor perangkat keras kustom, atau memanfaatkan peralatan jaringan Anda, platform keamanan IT dan OT ini terintegrasi dengan mulus di berbagai lapisan infrastruktur yang sudah ada, meminimalkan gangguan dan menghindari perubahan yang tidak perlu. Kemampuan Penemuan yang Diperluas: Forescout untuk Keamanan OT mendukung lebih dari 350 protokol industri dengan kombinasi metode aktif dan pasif untuk menemukan dan mengklasifikasikan aset IT, OT, dan IoT. Baik Anda menarik data dari API, saklar, atau adaptor nirkabel, platform ini menangani skenario di mana pemantauan SPAN bukanlah pilihan atau metode pasif tidak memadai. Intelijen Aset yang Ditingkatkan dengan AI: Mengetahui aset apa yang Anda miliki hanyalah langkah awal. Nilai sesungguhnya terletak pada pemahaman tentang bagaimana aset tersebut dikonfigurasi, bagaimana mereka beroperasi, dan bagaimana mereka berinteraksi dengan sistem lainnya. Forescout untuk keamanan OT memberikan wawasan yang dapat ditindaklanjuti untuk secara efektif mengelola dan mengoptimalkan proses perubahan, kerentanan, risiko, dan kepatuhan. Bagaimana Forescout untuk Keamanan OT Mengatasi Keamanan Siber Industri untuk Memastikan Ketahanan Opsi Penerapan yang Lebih Banyak: Baik dalam penerapan di cloud, menggunakan kontainer Docker pada sensor perangkat keras kustom, atau memanfaatkan peralatan jaringan Anda, platform keamanan IT dan OT ini terintegrasi dengan mulus di berbagai lapisan infrastruktur yang sudah ada, meminimalkan gangguan dan menghindari perubahan yang tidak perlu. Kemampuan Penemuan yang Diperluas: Forescout untuk Keamanan OT mendukung lebih dari 350 protokol industri dengan kombinasi metode aktif dan pasif untuk menemukan dan mengklasifikasikan aset IT, OT, dan IoT. Baik Anda menarik data dari API, saklar, atau adaptor nirkabel, platform ini menangani skenario di mana pemantauan SPAN bukanlah pilihan atau metode pasif tidak memadai. Intelijen Aset yang Ditingkatkan dengan AI: Mengetahui aset apa yang Anda miliki hanyalah langkah awal. Nilai sesungguhnya terletak pada pemahaman tentang bagaimana aset tersebut dikonfigurasi, bagaimana mereka beroperasi, dan bagaimana mereka berinteraksi dengan sistem lainnya. Forescout untuk keamanan OT memberikan wawasan yang dapat ditindaklanjuti untuk secara efektif mengelola dan mengoptimalkan proses perubahan, kerentanan, risiko, dan kepatuhan. Deteksi yang Dipandu Intelijen: Deteksi ancaman yang komprehensif, disesuaikan untuk lingkungan hybrid OT, IoT, dan IT, didukung oleh penelitian FS Vedere Labs. Dengan klasifikasi peristiwa yang canggih dan manajemen kasus, Anda dapat mengelola peringatan dengan efisien, melacak penyelesaian insiden, dan memantau KPI untuk memastikan waktu respons yang lebih cepat dan penanganan peristiwa yang lebih baik. Laporan AI Forescout: Dasbor berbasis persona dan tampilan yang disesuaikan memastikan bahwa data yang tepat mencapai orang yang tepat. Anda dapat membuat tampilan khusus untuk operasi IT dan keamanan, analis SOC, serta eksekutif, dan mengubahnya menjadi laporan yang disesuaikan yang memberikan wawasan kontekstual tentang perangkat, peringatan, potensi penyebab insiden, dan langkah-langkah perbaikan yang direkomendasikan. Apa Kata Analis dan Pelanggan Tentang Forescout dan Keamanan OT GigaOm Radar untuk Keamanan Teknologi Operasional (OT) “Forescout telah mencapai status Pemimpin karena kemampuannya yang luar biasa untuk beradaptasi dengan tuntutan yang berkembang di pasar keamanan OT,” ungkap Chris Ray, analis di GigaOm, dalam laporan “GigaOm Radar untuk Keamanan Teknologi Operasional (OT)” 2024. “Sebagai Pemain Cepat, Forescout telah menunjukkan peningkatan yang signifikan dalam memperluas fitur kepatuhan dan manajemen perangkatnya selama setahun terakhir, memastikan bahwa ia tetap berada di garis depan kemajuan teknologi dalam keamanan jaringan.” https://www.forescout.com/analyst-report-gigaom-radar-ot-security-2024 Forescout Diakui dalam Panduan Pasar Gartner® untuk Keamanan OT Menurut laporan ini, pada tahun 2025, 75% solusi keamanan OT akan dapat berinteroperasi dengan solusi keamanan IT dan disampaikan melalui platform multifungsi. Panduan Pasar Gartner untuk Keamanan OT memberikan penilaian holistik tentang kondisi terkini pasar yang berubah ini untuk membantu mempersiapkan strategi keamanan siber OT Anda di masa depan. https://www.forescout.com/gartner-market-guide-for-operational-technology-ot-cybersecurity Bagaimana AES Corporation Menghubungkan Perbedaan Keamanan IT dan OT dengan Forescout AES adalah perusahaan energi generasi berikutnya dengan 70 pabrik internasional yang tersebar di 15 negara berbeda dan merupakan pelanggan Forescout. Pastikan untuk membaca blog wawancara Q&A dengan Christina Hoefer, Wakil Presiden Strategi OT & xIoT dari Forescout. “Salah satu hal yang dilakukan platform Forescout dengan sangat baik adalah membuat peta jaringan dari apa yang dibicarakan setiap sistem dan dalam arah mana,” jelas para pemimpin keamanan, Kyle Oetken, Direktur Cyber Defense, dan Andrew Plunket, Insinyur Keamanan Siber Sr. (OT) di AES Corporation. “Ini menyoroti sistem yang menghubungkan OT ke IT yang dapat dipantau lebih baik oleh beberapa pabrik. Kami juga telah mampu mendeteksi aktivitas pemindaian jaringan (uji penetrasi atau pemeliharaan vendor) di jaringan OT, mengidentifikasi kredensial default, dan kemudian bekerja sama dengan tim operasi OT untuk mengubah kredensial tersebut. Semua temuan ini membantu meningkatkan nilai program keamanan…
Unified Defense: Pentingnya Integrasi Pusat Operasi Keamanan
Saat ancaman cyber terus berkembang, para peretas sedang menyempurnakan taktik serangan mereka dan meningkatkan frekuensi serangan. Selama beberapa tahun terakhir, 63% analis Pusat Operasi Keamanan (SOC) melaporkan bahwa ukuran permukaan serangan mereka meningkat, menurut Security Magazine. Demikian juga, penelitian Threat Roundup kami tahun 2023 menemukan bahwa perusahaan mengalami 13 serangan setiap detik. Para penyerang memanfaatkan celah visibilitas – titik buta – antara alat-alat keamanan cyber, teknologi, dan proses operasi keamanan. Meskipun beberapa organisasi percaya bahwa merekrut lebih banyak personel dan membeli lebih banyak alat adalah jawaban, pendekatan ini tidak mencukupi. Perangkat dan perangkat yang tidak dikelola adalah celah visibilitas besar. Alat-alat sering tidak terintegrasi atau tidak berkomunikasi dengan baik satu sama lain, sehingga data di satu alat tidak terlihat oleh alat lainnya. Agregasi dan korelasi data yang menciptakan konteks adalah yang dibutuhkan organisasi untuk menutup celah-celah visibilitas tersebut. Untuk mengelola ancaman, perusahaan memerlukan pendekatan terintegrasi yang mengonsolidasikan semua data yang relevan dan memberikan visibilitas mendalam di seluruh lanskap ancaman. Untuk mempertahankan diri dari ancaman yang terus berkembang, organisasi harus membangun pertahanan yang terpadu dengan mengintegrasikan orang, proses, dan teknologi di dalam SOC untuk meningkatkan posisi keamanan mereka. Analis SOC membutuhkan: – Visibilitas jaringan penuh – termasuk semua perangkat yang terhubung – Konteks ancaman siber dan jaringan yang cepat dan akurat dengan data yang tepat – Kesadaran situasional untuk mengidentifikasi dan mengisolasi ancaman nyata dari yang tidak berarti Mengapa Integrasi SOC Penting Integrasi SOC menghubungkan alat, teknologi, dan proses keamanan bersama-sama untuk menciptakan posisi pertahanan yang terpadu. Pandangan holistik memberdayakan analis SOC untuk mendeteksi pola, tren, dan anomali yang menandakan risiko keamanan. Tujuannya? Deteksi dini untuk langkah-langkah pencegahan proaktif yang cepat. Namun tanpa pendekatan terintegrasi, ini bisa sulit untuk mengelola volume serangan dan memisahkan kebisingan serangan dari ancaman nyata. Integrasi SOC memudahkan kolaborasi melalui otomatisasi dengan alur kerja yang disempurnakan sehingga waktu deteksi dan respons lebih cepat. Dengan mengintegrasikan alat keamanan dan sumber data, seperti solusi deteksi dan respons endpoint (EDR), sistem deteksi intrusi jaringan (NIDS), dan platform manajemen log, SOC dapat mengonsolidasikan data keamanan untuk analisis. Selain visibilitas, integrasi SOC dapat mengotomatisasi dan mengorchestrasi proses keamanan yang mengurangi kelelahan dari alert dan tugas manajemen kasus yang seringkali manual dan repetitif. SOC dapat merespons insiden keamanan lebih cepat dan lebih efektif dengan menggunakan playbook dan alur kerja untuk mengotomatisasi proses triase, pengayaan, dan respons insiden. Otomatisasi juga mengurangi potensi kesalahan manusia dan membebaskan analis untuk fokus pada tugas-tugas yang lebih strategis, seperti perburuan ancaman dan penilaian risiko. Kurangnya Integrasi SOC Berakibat pada Postur Pertahanan yang Tidak Efektif Sebuah kumpulan alat keamanan mandiri yang terfragmentasi sering kali mengakibatkan tanggapan yang terpecah belah terhadap serangan cyber. Meskipun alat-alat individual ini mungkin memberikan tingkat perlindungan tertentu, kurangnya integrasi di antara mereka menciptakan silo informasi. Hal ini menghambat kemampuan untuk mendeteksi, merespons, dan mengurangi insiden keamanan secara efektif. Ketidakintegrasian tidak hanya berlaku pada teknologi. Manusia (tim) dan proses juga menderita. Tanpa kolaborasi dan keselarasan yang kohesif dalam tim dan proses, organisasi dapat kesulitan untuk mempertahankan posisi pertahanan yang terpadu. Pendekatan yang terpecah belah ini seringkali menyebabkan stres pada analis SOC juga. Analis SOC terlalu sering harus berurusan dengan data yang tidak lengkap, proses manual, dan waktu respons yang terlambat. Hal ini menyebabkan kelelahan di kalangan mereka, yang pada akhirnya berujung pada pergantian personel dan kekurangan keterampilan. Sebuah studi kinerja SOC pada tahun 2022 menemukan bahwa 71% responden menilai tingkat kesulitan staf SOC mereka berkisar antara 6 hingga 9 dari skala 10, menurut SANS Institute. “Ini mengkonfirmasi bahwa sebagian besar manajer SOC dan pemimpin perusahaan perlu melakukan penyesuaian signifikan dalam cara mereka beroperasi dan mengelola orang-orang mereka untuk membuat pekerjaan SOC menjadi kurang menyakitkan,” tulis SANS Institute. Pendekatan SOC yang terintegrasi akan meringankan beban pada analis karena akan secara otomatis membantu mengidentifikasi dan memisahkan ancaman nyata dari yang dirancang untuk mengalihkan dan menghancurkan tim SOC. Manfaat Sebenarnya dari Integrasi SOC Manfaat dari integrasi SOC melampaui efisiensi dan efektivitas operasional. Dengan mengintegrasikan alat keamanan, sumber data, dan proses di dalam SOC, organisasi dapat mencapai manajemen risiko keamanan siber yang holistik dan proaktif. Pemanfaatan sumber daya yang dioptimalkan. Kolaborasi yang lebih baik antara tim keamanan, risiko, dan kepatuhan. Alur kerja yang disederhanakan untuk respons yang lebih cepat dan mengurangi kebisingan. Pandangan keamanan organisasi yang bersatu dan lengkap memberdayakan analis SOC untuk membuat keputusan yang terinformasi. Integrasi SOC meningkatkan ketahanan dan fleksibilitas keseluruhan menghadapi tantangan keamanan yang terus berkembang. Tim SOC memperoleh: – Posisi keamanan yang lebih kuat – Memberikan pendekatan yang lebih proaktif dalam deteksi ancaman dan respons terhadap insiden. – Deteksi dan respons ancaman yang efisien – Meminimalkan waktu tinggal (dwell time) dan membantu mengurangi dampak insiden keamanan. – Kolaborasi dan komunikasi yang lebih baik – Menghasilkan pengambilan keputusan yang lebih cepat dan respons insiden yang lebih efektif. – Pemanfaatan sumber daya yang dioptimalkan – Memungkinkan organisasi untuk mengalokasikan sumber daya berdasarkan tingkat keparahan dan prioritas insiden keamanan. “Dengan menyelaraskan SOC dalam proses bisnis dan mengelola risiko siber secara proaktif, organisasi dapat mengurangi biaya operasional sambil memperkuat pertahanan terhadap ancaman,” tulis Jason Hart, CTO dari Rapid7, di Forbes. “Perubahan ini membutuhkan komitmen, investasi, dan perubahan budaya, namun manfaatnya dapat signifikan.” Integrasi SOC adalah Imperatif Strategis Integrasi SOC tidak hanya tentang efisiensi dan efektivitas operasional. Ini adalah kebutuhan strategis bagi organisasi yang bertahan dari lanskap ancaman yang terus berkembang. Dengan menghubungkan orang, proses, dan teknologi, organisasi dapat membentuk posisi pertahanan yang bersatu dan terpadu. Pendekatan ini, ditambah dengan visibilitas komprehensif dan integrasi yang lancar yang ditawarkan oleh Forescout Threat Detection and Response (TDR), memungkinkan deteksi, respons, dan mitigasi yang efektif terhadap ancaman siber. Seiring dengan meningkatnya kompleksitas ancaman siber, integrasi SOC menjadi semakin penting bagi organisasi yang bertujuan untuk tetap proaktif dan melindungi data sensitif, aset, dan reputasi mereka dari ancaman siber. Cari tau dan konsultasikan dengan kami, hubungi forescout@ilogoindonesia.id
Mengelola Peringatan Keamanan Siber yang Berisik di Pusat Operasi Keamanan (SOC)
Inovasi terobosan biasanya muncul sebagai respons terhadap dua kondisi utama. Pertama, ketika teknologi baru menciptakan permintaan dengan memenuhi kebutuhan yang sebelumnya tidak disadari oleh pelanggan. Contohnya adalah smartphone—dulu, orang tidak menyadari kebutuhan akan perangkat kecil yang juga berfungsi sebagai kamera, bank, ensiklopedia, dan pusat perbelanjaan. Kedua, inovasi muncul untuk mengatasi tantangan baru. Misalnya, mobil listrik dan energi terbarukan yang diperlukan untuk menghadapi perubahan iklim. Sebelum kemunculan kecerdasan buatan (AI) dan pembelajaran mesin (ML), inovasi dalam keamanan siber umumnya bersifat inkremental. Kini, pelaku kejahatan siber menggunakan AI dan ML untuk melancarkan serangan yang semakin canggih, memanfaatkan permukaan serangan yang luas, dan menciptakan kebisingan serta alarm palsu di pusat operasi keamanan (SOC). Oleh karena itu, organisasi perlu mengadopsi pertahanan siber otomatis berbasis data yang dapat mendeteksi dan mengatasi ancaman sebelum menimbulkan kerusakan. Pada konferensi RSA tahun ini, FBI memperingatkan tentang ancaman yang dibawa oleh AI dan kenyataannya saat ini. “Penyerang memanfaatkan AI untuk membuat pesan suara atau video serta email yang sangat meyakinkan guna melancarkan skema penipuan terhadap individu dan bisnis,” kata Agen Khusus FBI Robert Tripp. “Taktik canggih ini dapat mengakibatkan kerugian finansial yang besar, kerusakan reputasi, dan kompromi data sensitif.” Selama beberapa tahun terakhir, hampir dua pertiga (63%) analis SOC melaporkan bahwa ukuran permukaan serangan mereka telah meningkat, menurut Security Magazine. Selain itu, penelitian Forescout’s 2023 Threat Roundup mengungkapkan bahwa perusahaan mengalami 13 serangan setiap detiknya. Meskipun tidak semua serangan memiliki tingkat keparahan tinggi atau kritis, semuanya perlu dikelola dengan hati-hati. Efisiensi dalam deteksi ancaman dan respons insiden siber sangat penting. Kemampuan untuk mendeteksi dan merespons ancaman dengan cepat dan akurat membantu mengurangi risiko serta biaya keamanan perusahaan. Orang-oranglah yang harus menghadapi semua alarm yang berbunyi. Jika Anda ingin menghindari kelelahan pada analis SOC dan perputaran karyawan yang disebabkan olehnya, Anda memerlukan alat yang tepat untuk menangani masalah ini. Berikut adalah salah satu tantangan paling umum dan tidak efisien dalam SOC serta bagaimana Anda dapat membantu analis SOC Anda mengatasi perasaan kewalahan. Tingkatkan Efektivitas Pusat Operasi Keamanan Anda di Tengah Banyaknya Peringatan Keamanan Siber Deteksi dan respons terhadap ancaman siber kini menjadi semakin krusial. Dampak finansial dari pelanggaran data semakin meningkat, dan semakin lama waktu yang dibutuhkan untuk mendeteksi atau menemukan pelanggaran, semakin tinggi biayanya. Menurut IBM, biaya rata-rata pelanggaran data pada tahun 2024 mencapai $4,88 juta, meningkat 10% dibandingkan tahun 2023. Biaya ini juga lebih tinggi di industri tertentu, dengan sektor kesehatan menjadi yang paling mahal, sementara layanan keuangan mencatatkan biaya sebesar $6,08 juta—22% lebih tinggi dari rata-rata global. Dengan alasan ini, keamanan siber kini menjadi fokus utama di tingkat eksekutif dan dewan direksi. Pusat Operasi Keamanan (SOC) berada di garis depan dalam mengatasi masalah ini dan kini menghadapi lebih banyak peringatan daripada sebelumnya: Permukaan Serangan yang Meningkat: Permukaan serangan telah berkembang pesat dalam beberapa tahun terakhir. Kini, ancaman tidak hanya berasal dari lingkungan TI tradisional, tetapi juga dari perangkat OT, IoT, dan IoMT yang memiliki kerentanan masing-masing. Ditambah lagi, banyak orang yang bekerja dari lokasi yang berbeda, penggunaan cloud, aplikasi SaaS yang melimpah, serta rantai pasokan global yang semakin terhubung. Data yang Melimpah: Modernisasi aplikasi telah menyebabkan lonjakan volume dan kecepatan data yang dihasilkan. Cloud, kontainer, aplikasi serverless—semua ini menghasilkan data dalam jumlah besar yang dapat memberikan sinyal adanya serangan serta konteks penting untuk investigasi. Meskipun sebagian data mungkin hanya berupa noise, semuanya perlu dipertimbangkan dan dikelola untuk alasan keamanan. Ancaman yang Semakin Kompleks: Lanskap ancaman telah berkembang pesat dan terus berubah. Pelaku ancaman kini menggunakan teknik yang lebih canggih, meluncurkan serangan kompleks, otomatis, dan multi-tahap dengan cepat dan akurat, serta mampu beradaptasi dengan cepat. Kompleksitas Alat: Tim SOC harus mengelola berbagai alat kompleks yang sering kali tidak terintegrasi atau otomatis. Alat penting SOC meliputi sistem manajemen informasi dan acara keamanan (SIEM), sistem orkestrasi keamanan, otomatisasi, dan respons (SOAR), serta analitik perilaku pengguna dan entitas (UEBA). Untuk menyelesaikan investigasi, analis sering harus berpindah dari satu aplikasi ke aplikasi lain, yang dapat mengakibatkan kehilangan konteks dan pemborosan waktu. Semua faktor ini berkontribusi pada tingginya volume peringatan dan kebisingan berlebih di SOC. Mengapa Kelelahan Akibat Peringatan Keamanan Siber Menjadi Kenyataan di SOC Saat Ini Berdasarkan studi Forrester tahun 2020 yang melibatkan lebih dari 300 Security Operations Centers (SOC), rata-rata tim SecOps harus menangani sekitar 450 peringatan per jam, atau 11.000 peringatan per hari. Dengan keterbatasan staf dan alat, lebih dari seperempat peringatan tersebut tidak pernah ditangani. Sekitar setengah dari peringatan tersebut kemungkinan besar merupakan false positive, sehingga mungkin tidak terlalu merugikan jika tidak ditangani. Namun, masalahnya adalah Anda tidak bisa langsung mengetahui peringatan mana yang bisa diabaikan. Ini adalah tantangan besar, karena perusahaan sering kali menghabiskan lebih banyak waktu untuk menangani false positive daripada mengatasi serangan yang sebenarnya. Empat tahun telah berlalu sejak studi tersebut. Saat ini, anggaran keamanan sering dibagi antara aktivitas reaktif (respon insiden) dan aktivitas proaktif (pencarian ancaman, manajemen risiko, dan kepatuhan). Jika sebagian besar waktu dihabiskan untuk merespons peringatan yang belum diverifikasi, dampaknya adalah pengurangan waktu dan anggaran yang tersedia untuk langkah-langkah proaktif serta aspek-aspek penting seperti tata kelola, risiko, dan kepatuhan. Mengapa Pendekatan Deteksi dan Respons Ancaman yang Ada Saat Ini Tidak Memadai Ada empat pendekatan dasar untuk deteksi dan respons ancaman: Banyak SIEM yang Berisik atau Memerlukan Banyak Pembuatan Aturan Anda bisa menjalankan SOC internal dengan tumpukan teknologi yang berfokus pada SIEM tradisional. Namun, banyak SIEM dirancang terutama untuk penyimpanan dan pencarian log; mesin ancaman baru ditambahkan kemudian. Kadang-kadang, SIEM datang tanpa aturan bawaan, sehingga Anda harus mencarikannya sendiri. Ini memerlukan pembentukan tim dengan keahlian khusus dalam pembuatan dan penyesuaian aturan serta integrasi log. Meskipun begitu, SIEM sering kali menghasilkan terlalu banyak peringatan dengan akurasi rendah karena model pembelajarannya yang satu tahap. Danau Data Kustom Itu Kompleks Anda mungkin memilih untuk membangun danau data kustom di SOC internal Anda. Meskipun ini memberikan kontrol dan kepemilikan yang lebih besar karena penyesuaian sesuai kebutuhan spesifik, danau data sendiri tidak memberikan nilai secara langsung. Memiliki danau data memerlukan keahlian khusus tambahan, serta proses yang memakan waktu, tenaga, dan biaya yang signifikan. Untuk mendapatkan manfaat dari danau data, Anda tetap memerlukan mesin deteksi ancaman dan aturan yang…
11 Pertanyaan yang Perlu Diajukan Saat Mengubah Strategi SOC Anda
Tidak ada yang merasakan dampak dari serangan ransomware dan ancaman digital lainnya lebih berat daripada mereka yang mengelola operasional sehari-hari di SOC (Security Operations Center) Anda. Dengan frekuensi serangan mencapai 13 kali per detik pada tahun 2023, para penjahat siber, penipu, dan hacktivist dari negara-negara besar membanjiri para analis SOC. Hampir dua pertiga (63%) analis SOC melaporkan bahwa ukuran permukaan serangan telah meningkat. Pada saat yang sama, CISO dan manajer SOC menghadapi tantangan dalam menangani kelelahan dan perputaran staf analis. Semakin banyak serangan berarti semakin banyak peringatan dari SIEM dan volume ‘kejadian’ yang harus dikelola oleh para analis. Menurut analisis data kinerja SOC oleh SANS Institute, “Pekerja SOC melaporkan beberapa faktor yang berkontribusi terhadap ketidakpuasan mereka. Faktor-faktor tersebut meliputi informasi yang berlebihan, beban kerja yang melebihi kapasitas, kesulitan dalam menemukan dan mempertahankan ahli SOC, waktu istirahat yang tidak memadai, terlalu banyak alat (dan kurangnya integrasi antar alat), serta jumlah peringatan yang terlalu banyak.” CISO menghadapi tantangan signifikan dalam hal ini. Mereka harus mencegah kelelahan dan perputaran staf analis sambil mencari efisiensi dalam penggunaan alat keamanan siber. Selain itu, mereka perlu mengurangi kebisingan dan kelelahan akibat peringatan yang tinggi sambil mengelola serangan yang kompleks dan sulit diprediksi. Apakah saatnya untuk merombak strategi SOC Anda? Pertanyaan Utama untuk Meningkatkan Strategi SOC Anda Menambah jumlah staf bukanlah solusi untuk mengatasi masalah ganda yang disebabkan oleh meningkatnya serangan dan kelelahan analis keamanan. Anda memerlukan pendekatan strategis untuk mengelola tim dan teknologi SOC Anda. Memiliki alat yang tepat dengan integrasi yang mulus sangat penting, namun itu saja tidak cukup untuk menghadapi peretas masa kini. Tim yang tepat dan proses yang efisien juga merupakan aspek yang tidak kalah penting. Menangani masalah sumber daya dengan efektif adalah salah satu tantangan terbesar. Gunakan 11 pertanyaan berikut untuk mengevaluasi strategi SOC Anda secara menyeluruh: Apakah Anda memiliki personel yang tepat? Evaluasi apakah tim Anda memiliki keterampilan dan keahlian yang diperlukan. Bisakah tim Anda menangani volume ancaman saat ini? Pastikan tim Anda mampu mengelola lanskap ancaman yang ada. Apakah tim Anda mendapatkan pelatihan yang memadai? Pelatihan berkelanjutan sangat penting untuk menghadapi ancaman yang terus berkembang. Apakah proses yang Anda terapkan sudah memadai? Tetapkan protokol yang jelas untuk deteksi dan respons terhadap insiden. Apakah tim Anda tahu apa yang harus dilakukan jika terjadi pelanggaran? Pastikan setiap anggota tim memahami peran dan tanggung jawab mereka. Apa saja kesepakatan tingkat layanan (SLA) yang Anda miliki? Definisikan harapan untuk waktu respons insiden dan kinerja yang diinginkan. Apa rencana respons insiden Anda? Buatlah rencana komprehensif yang menguraikan langkah-langkah yang harus diambil selama insiden keamanan. Bisakah Anda memperbesar tim jika diperlukan? Siapkan strategi untuk memperluas tim Anda guna menghadapi tuntutan yang berkembang. Apakah Anda memiliki akses ke umpan intelijen ancaman? Umpan intelijen dari pihak ketiga dapat membantu Anda mengantisipasi ancaman baru dan yang sedang berkembang. Apakah Anda perlu melibatkan bantuan eksternal? Pertimbangkan apakah keahlian tambahan dari luar dapat memperkuat kemampuan SOC Anda. Apakah Anda perlu mengalihdayakan SOC Anda? Beberapa organisasi menemukan bahwa mengalihdayakan SOC memungkinkan mereka untuk fokus pada inisiatif strategis dan fungsi bisnis inti. Menjawab pertanyaan-pertanyaan ini sangat penting untuk menentukan pendekatan terbaik bagi organisasi Anda berdasarkan kebutuhan bisnis, anggaran, dan tujuan keamanan. Setiap organisasi perlu menilai situasi uniknya untuk memutuskan apakah akan mempertahankan SOC internal, mengalihdayakan, atau mengadopsi pendekatan hibrid. Misalnya, mengalihdayakan SOC dapat membebaskan sumber daya internal, memungkinkan tim Anda untuk fokus pada tugas-tugas strategis dan pertumbuhan bisnis secara keseluruhan. Bagaimana Kami Mengurangi Beban Kerja SOC Kami Hingga 75% Selama evolusi Forescout, perusahaan telah memanfaatkan produk-produk mereka sendiri untuk menyediakan manajemen aset dan kontrol akses jaringan yang otomatis dan berkelanjutan di seluruh lingkungan mereka, serta untuk mengorkestrasi remediasi aset dan respons insiden di antara produk keamanan multi-vendor. Dahulu, proses deteksi dan respons ancaman sebagian besar dilakukan secara manual—menghadapi banyak kendala. Sistem SIEM yang digunakan tim selama hampir dua tahun cukup baik untuk penyimpanan log, tetapi kurang dalam hal informasi yang dapat ditindaklanjuti. Produk SIEM menghasilkan terlalu banyak gangguan dan positif palsu—sehingga analis tidak bisa fokus pada peristiwa prioritas tinggi. Tim kami sebelumnya menerima antara 100 hingga 300 peringatan setiap hari. Selain itu, alat tersebut memerlukan keterampilan khusus untuk membuat kueri, peringatan, dan laporan. SIEM pihak ketiga hampir sepenuhnya tidak berguna. CISO kami harus mendedikasikan hampir dua FTE untuk merawatnya, termasuk dalam respons insiden, konfigurasi, dan pemeliharaan. Selain itu, tim SecOps harus terus-menerus mempekerjakan insinyur dari vendor untuk menangani masalah kecil. Metrik Utama yang Diperoleh dengan Forescout Threat Detection and Response: – 316 deteksi dari 10 miliar log per bulan – 17 eskalasi dari 254 kasus per bulan – 0,5 FTE untuk respons terhadap ancaman nyata dibandingkan dengan 2 FTE Strategi SOC yang efektif memerlukan pemilihan kombinasi teknologi, tim, dan proses yang tepat. Teknologi Anda harus mendukung deteksi ancaman secara real-time, respons insiden yang cepat, visibilitas menyeluruh, skalabilitas, serta otomatisasi dan integrasi yang mulus. Dengan memahami kebutuhan dasar ini dan menilai teknologi yang relevan secara hati-hati, organisasi dapat membangun SecOps yang tangguh untuk menghadapi ancaman siber modern yang semakin canggih. Ingin tahu lebih banyak mengenai forescout, silahkan hubungi forescout@ilogoindonesia.id