Belajar Security Analyst - Threat Intelligence
Mempelajari OSINT, IOCs vs IOAs, intelligence lifecycle, dan sharing threat intelligence dengan MISP untuk memperkuat pertahanan SOC
#Pendahuluan
Setelah di episode 16 kita mempelajari vulnerability management, pada episode ini kita dalami threat intelligence — informasi tentang ancaman yang membantu membuat keputusan keamanan yang lebih baik. Threat intelligence mengubah SOC dari reaktif menjadi informed: kita tahu siapa attacker, teknik apa yang mereka pakai, dan bagaimana cara mendeteksinya.
Mengapa threat intelligence penting? Karena attacker tidak diam — mereka berevolusi, berbagi tools, dan menargetkan organissasi baru setiap hari. Tanpa threat intel, SOC hanya bisa bereaktif. Dengan threat intel, SOC bisa antisipatif.
#Intelligence Lifecycle
| Tahap | Aktivitas |
|---|---|
| Planning | Tentukan intelligence requirements |
| Collection | Kumpulkan data dari berbagai sumber |
| Processing | Bersihkan, normalisasi, enkripsi |
| Analysis | Interpretasi, kontekstualisasi |
| Dissemination | Distribusi ke stakeholder |
| Feedback | Evaluasi dan refine |
#IOCs vs IOAs
| Tipe | Arti | Contoh | Kekuatan |
|---|---|---|---|
| IOC (Indicator of Compromise) | Artefak spesifik dari serangan | IP 1.2.3.4, hash abc123 | Mudah dideteksi |
| IOA (Indicator of Attack) | Perilaku attacker | Lateral movement, data staging | Deteksi teknik, bukan sample |
#Mengapa IOA Lebih Penting dari IOC
IOC bersifat ephemeral — IP berubah, domain baru, hash berganti. IOA bersifat persistent — teknik attacker tidak berubah drastis. Fokus pada IOA memungkinkan mendeteksi keluarga malware baru tanpa harus update IOC setiap hari.
#OSINT (Open Source Intelligence)
#Sumber OSINT
| Sumber | Tool | Data |
|---|---|---|
| IP/Domain intel | VirusTotal, AbuseIPDB, Shodan | Reputation, scan results |
| Vulnerability intel | NVD, MITRE CVE | CVE details, CVSS |
| Malware intel | MalwareBazaar, Any.run | Samples, behavioral reports |
| Dark web intel | DarkOwl, Flare | Breach data, credential leaks |
| Social media | Manual | Threat actor profiles |
# Lookup IP reputation
curl -s "https://api.abuseipdb.com/api/v2/check?ipAddress=1.2.3.4" -H "Key: YOUR_KEY" | jq
# Cari domain di VirusTotal
curl -s "https://www.virustotal.com/api/v3/domains/malware.com" -H "x-apikey: YOUR_KEY"
# Cari hash di MalwareBazaar
curl -s -X POST "https://mb-api.abuse.ch/api/v1/" -d "query=get_info&hash=abc123"Tip
OSINT adalah skill yang harus dimiliki setiap SOC analyst. Mulai dari IP/domain lookup sederhana, lalu berkembang ke malware analysis dan dark web monitoring. Konsisten mengumpulkan intel akan membangun pemahaman threat landscape yang kaya.
#MISP (Malware Information Sharing Platform)
MISP adalah platform sharing threat intelligence yang memungkinkan organisasi berbagi IOCs dan threat data.
#Setup MISP
git clone https://github.com/MISP/MISP
cd MISP
docker-compose up -d#MISP Workflow
#Integrasi Threat Intel ke SOC
| Integration Point | Cara |
|---|---|
| SIEM | Auto-import IOC ke detection rules |
| Firewall | Block malicious IPs/domains |
| EDR | Block malicious hashes/files |
| Email gateway | Block phishing domains |
Note
Threat intel yang tidak diintegrasikan ke operasional hanya sekadar informasi. Pastikan setiap IOC dari threat intel langsung di-push ke SIEM, firewall, dan EDR untuk deteksi dan blocking otomatis.
#Penutup
Inti yang harus dibawa pulang:
- Intelligence lifecycle: planning → collection → processing → analysis → dissemination.
- IOA lebih penting dari IOC — deteksi teknik, bukan sample.
- OSINT adalah skill wajib: IP/domain lookup, malware intel, vulnerability intel.
- MISP memungkinkan sharing threat intelligence antar organisasi.
- Threat intel harus terintegrasi ke operasional (SIEM, firewall, EDR).
Di episode 18 selanjutnya kita akan membahas MITRE ATT&CK mapping — bagaimana memetakan deteksi dan insiden ke framework ATT&CK untuk memastikan visibilitas yang komprehensif.