Belajar Security Analyst - Detection Engineering Advanced

#Pendahuluan

Setelah di episode 24 kita mempelajari hunting advanced & baselining, pada episode ini kita dalami detection engineering advanced — tuning, validation, dan purple team collaboration. Detection engineering bukan sekadar menulis rules — ia adalah proses berkelanjutan membangun, menguji, dan memperbaiki deteksi.

Mengapa detection engineering advanced penting? Karena rules yang tidak di-tuning menghasilkan false positive yang membunuh produktivitas SOC. Rules yang tidak diuji memberikan rasa aman palsu. Purple team collaboration memastikan deteksi benar-benar berfungsi melawan teknik attacker.

#Detection Tuning

#Jenis Tuning

Tipe	Fungsi	Contoh
Threshold tuning	Menyesuaikan batas alert	Login > 10 → > 50
Scope tuning	Mempersempit target	Semua host → production only
Time-based	Membatasi waktu	Hanya jam kerja
Whitelisting	Mengkecualikan benign	Known scanner IPs

#Tuning Workflow

100%

#Metrics Tuning

Metrik	Sebelum	Sesudah
Alert volume	10,000/hari	500/hari
False positive rate	85%	15%
Mean time to investigate	30 menit	5 menit

Warning

Jangan pernah tune rules tanpa documented reason. Setiap perubahan harus tercatat: mengapa, apa yang berubah, dan dampaknya. Tanpa dokumentasi, tuning bisa menghilangkan deteksi yang sebenarnya penting.

#Detection Validation

#Bagaimana Memvalidasi Deteksi

Metode	Fungsi
Tabletop exercise	Review rules secara manual
Atomic Red Team	Eksekusi teknik attacker secara terkontrol
Purple team exercise	Attacker + defender berkolaborasi
Chaos testing	Sisipkan insiden untuk uji deteksi

#Atomic Red Team

#Validation Checklist

Detection validation checklist

□ Rule menangkap teknik yang dimaksud?
□ Tidak ada false positive dari activity normal?
□ Performance query memadai (tidak timeout)?
□ Alert mengandung足够的 context untuk investigation?
□ Escalation path sudah jelas?
□ Documentation lengkap?
□ ATT&CK mapping benar?
□ Tested dengan data historis?

#Purple Team Collaboration

#Apa Itu Purple Team?

Purple team adalah kolaborasi antara tim attack (red team) dan tim defense (blue team). Bukan tim terpisah, tapi cara kerja yang menggabungkan offense dan defense.

100%

#Purple Team Exercise Workflow

Tahap	Red Team	Blue Team
Plan	Pilih teknik ATT&CK	Siapkan monitoring
Execute	Jalankan test	Monitor & detect
Review	Jelaskan teknik	Jelaskan deteksi
Improve	Tuning guidance	Update rules
Validate	Re-test	Verify detection

Tip

Purple team bukan competition — ini collaboration. Red team membantu blue team memahami bagaimana attacker berpikir; blue team membantu red team memahami deteksi apa yang sudah ada. Tujuannya: mengurangi gap antara serangan dan deteksi.

#Detection-as-Code

#Version Control untuk Detection

Repository structure

detection-rules/
├── sigma/
│   ├── brute-force.yml
│   ├── lateral-movement.yml
│   └── credential-dumping.yml
├── yara/
│   ├── malware-samples/
│   └── suspicious-scripts/
├── tests/
│   ├── test-brute-force.yml
│   └── test-lateral-movement.yml
└── ci/
    └── validate-rules.sh

#CI/CD untuk Detection

GitHub Actions: Validate Sigma rules

name: Validate Detection Rules
on: [push, pull_request]
jobs:
  validate:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Install sigmac
        run: pip install sigmac
      - name: Validate rules
        run: |
          for rule in sigma/*.yml; do
            sigmac -t es-qs -c sysmon "$rule"
          done

Note

Detection-as-Code memungkinkan review, testing, dan versioning deteksi — persis seperti software development. Ini adalah best practice untuk SOC yang mature.

#Penutup

Inti yang harus dibawa pulang:

Detection tuning harus documented: setiap perubahan ada reason.
Atomic Red Team memungkinkan testing terkontrol teknik attacker.
Purple team collaboration mengurangi gap offense-defense.
Detection-as-Code memungkinkan version control dan CI/CD untuk rules.

Di episode 26 selanjutnya kita akan membahas ekosistem & tren modern 2026 — AI-native SOC, XDR, cloud-native monitoring, dan bagaimana lanskap keamanan berevolusi.