Belajar Cyber Security - Konsep Dasar & Arsitektur Utama

#Pendahuluan

Setelah di episode 1 kita memahami mengapa cyber security dibutuhkan — industri triliunan dengan ancaman yang terus berevolusi — pada episode ini kita membangun fondasi konseptual yang akan dipakai di semua episode berikutnya. Tanpa konsep ini, kalian hanya akan hafal perintah tanpa paham apa yang sebenarnya sedang dilindungi atau diserang.

Konsep-konsep ini adalah "bahasa" industri: ketika red team menyebut "privilege escalation via MITRE ATT&CK T1548", dan blue team merespons "mendeteksi teknik T1548", keduanya berbicara hal yang sama. Menguasai bahasa ini sejak awal akan membuat kalian terdengar dan berpikir seperti profesional, bukan sekadar pengguna tool.

#CIA Triad: Tujuan Utama Keamanan

CIA triad adalah tiga pilar yang menentukan apa yang kita lindungi. Hampir setiap kontrol keamanan dirancang untuk menjaga satu atau lebih pilar ini:

Confidentiality (Kerahasiaan): hanya pihak yang berhak yang bisa membaca data. Kontrolnya: enkripsi, permission file, access control.
Integrity (Integritas): data tidak berubah tanpa izin. Kontrolnya: hash, signature digital, audit log.
Availability (Ketersediaan): data dan sistem tersedia saat dibutuhkan. Serangan yang menarget pilar ini adalah DDoS dan ransomware (yang menahan data).

Contoh nyata: password disimpan dalam bentuk hash (integrity + confidentiality), HTTPS mengenkripsi lalu lintas (confidentiality), dan backup menjaga data tetap ada saat server diserang ransomware (availability). Di episode 5 kita bedah cryptography sebagai implementasi konkret dari pilar ini.

Note

Dalam praktik, tiga pilar CIA sering bertentangan: enkripsi penuh (confidentiality) bisa memperlambat akses (availability). Tugas security engineer adalah menemukan keseimbangan yang tepat berdasarkan kebutuhan bisnis — ini masuk ke dalam risk management di bawah.

#AAA: Authentication, Authorization, Accounting

CIA menjawab "apa yang dilindungi"; AAA menjawab "siapa yang boleh dan apa yang mereka lakukan":

Authentication: membuktikan identitas ("siapa kamu?") — password, MFA, sertifikat, biometric.
Authorization: menentukan hak akses setelah identitas terbukti ("apa yang boleh kamu lakukan?") — RBAC, ACL, least privilege.
Accounting: mencatat aktivitas untuk audit ("apa yang kamu lakukan?") — log, session tracking.

Alur ini adalah jantung aplikasi web. Di episode 14, ketika kita menyerang IDOR dan broken access control, kalian akan melihat apa yang terjadi ketika Authorization gagal diterapkan dengan benar — yaitu lapisan kedua AAA (authn) lolos, tetapi lapisan ketiga (authz) tidak ada sama sekali.

#Risk Management

Keamanan tidak bisa mencapai risiko nol. Risk adalah fungsi dari kemungkinan ancaman dan dampak jika terjadi. Formula praktis:

Risk = Likelihood x Impact

Strategi penanganan risiko yang umum:

Mitigate: kurangi kemungkinan atau dampak (patch, firewall, backup).
Transfer: pindahkan risiko ke pihak lain (asuransi cyber).
Accept: terima risiko karena biaya penanganan lebih besar dari dampaknya.
Avoid: hindari aktivitas yang menimbulkan risiko (tidak memakai layanan tertentu).

Praktik ini membentuk prioritas: tim pentest tidak menembak semua target secara acak, melainkan menyesuaikan scope dengan apa yang paling berisiko bagi organisasi.

#Attack Surface dan Threat Modeling STRIDE

Attack surface adalah seluruh titik yang bisa disentuh penyerang: port yang terbuka, API endpoint, form login, file upload, email, dan orang (social engineering). Semakin luas attack surface, semakin banyak pintu masuk.

Threat modeling adalah proses sistematis menemukan dan mengatasi kelemahan sejak desain. STRIDE (dari Microsoft) adalah salah satu pendekatan paling populer:

Huruf	Ancaman	Contoh
S	Spoofing	Login palsu, IP spoofing
T	Tampering	Mengubah data transaksi
R	Repudiation	Menolak telah melakukan aksi
I	Information disclosure	Data bocor
D	Denial of Service	Menghabiskan resource
E	Elevation of privilege	Mendapat akses lebih tinggi

Saat kalian menguji sebuah aplikasi di episode 10-15, bayangkan STRIDE: apakah ada spoofing (episode 12, 15), tampering (episode 11, 13), information disclosure (episode 13, 6-7), dan elevation of privilege (episode 14, 17-18)?

#Cyber Kill Chain

Dikembangkan Lockheed Martin, Cyber Kill Chain memodelkan tahapan serangan yang dilakukan penyerang — berguna untuk memahami di mana pertahanan bisa mencegah atau mendeteksi:

100%

Serangan yang dihentikan lebih awal lebih murah dampaknya: mencegah reconnaissance (blokir port scanning di firewall) jauh lebih murah daripada merespons data breach di tahap akhir. Pola ini menjadi dasar urutan fase series ini: kalian akan berlatih recon (episode 6-9), exploitation (episode 11-15), sampai post-exploitation (episode 17-19).

#MITRE ATT&CK: Bahasa Bersama Industri

MITRE ATT&CK adalah knowledge base yang mengkatalog taktik (mengapa) dan teknik (bagaimana) penyerang nyata di dunia. Ini menggantikan pendekatan ad-hoc dengan struktur yang bisa dikonsumsi mesin dan manusia.

Taktik adalah tujuan antara: Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Lateral Movement, Collection, Command and Control, Exfiltration, Impact.
Teknik adalah cara spesifik mencapai taktik, dengan ID unik. Contoh: T1548 (Abuse Elevation Control Mechanism) untuk privilege escalation.

Contoh penggunaan: temuan di episode 17 (misalnya SUID misconfig) bisa dipetakan ke MITRE ATT&CK sebagai T1548.001 — ini format laporan yang diterima industri. MITRE juga punya ATLAS khusus serangan terhadap AI, yang kita bahas di episode 24.

Pemetaan temuan ke MITRE ATT&CK

Taktik   : Privilege Escalation
Teknik   : T1548 - Abuse Elevation Control Mechanism
Sub-teknik: T1548.001 - Setuid and Setgid
Temuan   : Binary dengan SUID bit milik root di target

Tip

MITRE ATT&CK bukan teori yang harus dihapal, melainkan alat yang dipakai saat bekerja. Simpan situs attack.mitre.org sebagai referensi; setiap kali menemukan kerentanan baru, coba petakan ke taktik/teknik terkait. Kebiasaan kecil ini yang membedakan laporan profesional dari laporan amatir.

#Penutup

Pada episode 2 ini, kalian telah membangun empat fondasi konseptual: tujuan keamanan (CIA), identitas & akses (AAA), pengambilan keputusan (risk management), dan bahasa pemodelan serangan (STRIDE, Cyber Kill Chain, MITRE ATT&CK).

Inti yang harus dibawa pulang:

CIA triad menentukan apa yang dilindungi; AAA menentukan siapa yang diizinkan.
Risk management menjadikan keamanan sebagai keputusan bisnis, bukan paranoia.
STRIDE dan Cyber Kill Chain membantu menemukan dan menghentikan serangan sejak awal.
MITRE ATT&CK adalah bahasa bersama yang memetakan temuan ke taktik & teknik dengan ID standar.

Di episode 3 selanjutnya kita akan membahas setup lab & toolchain — membangun arsitektur lab (attacker box, target Metasploitable/DVWA, jaringan terisolasi), menginstall toolchain inti (Metasploit, Nmap, Burp Suite, Wireshark), dan memahami workflow pentest dari reconnaissance hingga post-exploitation. Sampai jumpa di episode 3!