Belajar Security Analyst - Detection Engineering Dasar

#Pendahuluan

Setelah di episode 4 kita memahami SIEM fundamentals dan cara membangun dashboard, pada episode ini kita masuk ke detection engineering — disiplin merancang, menulis, dan memelihara deteksi keamanan yang efektif. Detection engineering adalah keterampilan yang membedakan SOC analyst biasa dari yang luar biasa.

Mengapa detection engineering penting? Karena SIEM tanpa deteksi yang baik hanyalah database log raksasa. Deteksi yang buruk menghasilkan false positive yang membuat SOC tenggelam, sementara deteksi yang baik menangkap serangan nyata dengan presisi tinggi.

#Apa Itu Sigma Rules?

Sigma adalah format universal untuk menulis deteksi SIEM. Seperti Snort untuk IDS, Sigma memungkinkan deteksi ditulis sekali dan diekspor ke berbagai SIEM (Wazuh, Splunk, Elastic, Microsoft Sentinel).

Contoh Sigma rule: Brute Force SSH

title: Brute Force SSH Login Attempts
id: a1b2c3d4-1234-5678-9abc-def012345678
status: experimental
description: Mendeteksi lebih dari 10 percobaan login SSH gagal dalam 5 menit
references:
  - https://attack.mitre.org/techniques/T1110/
author: AI Agent
date: 2026/08/16
tags:
  - attack.credential_access
  - attack.t1110.001
logsource:
  category: authentication
  product: linux
detection:
  selection:
    event_type: sshd_auth
    status: failed
  condition: selection | count() by src_ip > 10 within 5m
level: high
falsepositives:
  - Legitimate user forgot password

#Komponen Sigma Rule

Field	Fungsi
`title`	Judul deskriptif deteksi
`id`	UUID unik untuk tracking
`status`	experimental/stable/deprecated
`logsource`	Sumber log yang dibutuhkan
`detection`	Logika deteksi (selection + condition)
`level`	Severity: info/low/medium/high/critical
`falsepositives`	Kemungkinan false positive

#Detection Logic Patterns

#Pattern 1: Threshold Detection

Mendeteksi jumlah kejadian yang melebihi batas normal dalam periode waktu tertentu.

Threshold: Multiple failed logons

detection:
  selection:
    event_id: 4625
  condition: selection | count() by target_user > 5 within 10m

#Pattern 2: Sequence Detection

Mendeteksi urutan kejadian yang mencurigakan — misalnya logon diikuti oleh privilege escalation.

Sequence: Logon followed by service creation

detection:
  selection1:
    event_id: 4624
    logon_type: 10
  selection2:
    event_id: 7045
  condition: selection1 | near selection2 within 5m

#Pattern 3: Anomaly Detection

Mendeteksi penyimpangan dari baseline — misalnya login dari lokasi tidak biasa.

Anomaly: Login from unusual country

detection:
  selection:
    event_id: 4624
    src_country: "*"
  filter:
    src_country: "expected_country"
  condition: selection and not filter

Tip

Mulai dengan threshold detection — paling sederhana dan paling sedikit false positive. Sequence detection membutuhkan log yang lebih kaya. Anomaly detection membutuhkan baseline yang matang.

#Correlation Rules

Correlation menghubungkan beberapa event dari sumber berbeda untuk membentuk gambaran lengkap sebuah serangan.

#Contoh: Brute Force + Successful Logon

Correlation: Brute force diikuti logon berhasil

detection:
  brute_force:
    event_id: 4625
    | count() by src_ip > 10 within 5m
  success:
    event_id: 4624
    src_ip: src_ip from brute_force
  condition: brute_force followed by success within 10m

Kombinasi ini mendeteksi skenario di mana attacker berhasil setelah brute force — yang lebih berbahaya daripada brute force gagal.

#MITRE ATT&CK Mapping

Setiap deteksi harus dipetakan ke MITRE ATT&CK untuk memastikan cakupan deteksi yang komprehensif.

ATT&CK Technique	Contoh Deteksi
T1110 (Brute Force)	Threshold failed logons
T1059 (Command & Scripting)	PowerShell encoded execution
T1078 (Valid Accounts)	Login dari IP unusual
T1547 (Boot/Logon Autostart)	Service creation, registry run key
T1071 (Application Layer Protocol)	Unusual DNS queries

Note

Peta setiap deteksi ke ATT&CK technique. Jika ada gap (technique tanpa deteksi), itu area yang perlu dibangun. ATT&CK mapping membantu memastikan SOC memiliki visibilitas yang komprehensif terhadap threat landscape.

#Common Pitfalls

Over-tuning — mengurangi sensitivity terlalu banyak sehingga serangan lolos
Under-tuning — terlalu sensitif sehingga SOC tenggelam false positive
Log dependency — menulis deteksi untuk log yang tidak tersedia
No baseline — menulis anomali detection tanpa mengetahui apa yang normal
No ATT&CK mapping — deteksi tanpa konteks threat landscape

#Penutup

Inti yang harus dibawa pulang:

Sigma adalah format universal deteksi — tulis sekali, ekspor ke semua SIEM.
Tiga pola utama: threshold, sequence, dan anomaly detection.
Correlation menghubungkan event lintas sumber untuk gambaran lengkap.
Setiap deteksi harus dipetakan ke MITRE ATT&CK.
Tuning berkelanjutan adalah kunci: sensitif tapi tidak overhelming.

Di episode 6 selanjutnya kita akan membahas network analysis — IDS/IPS dengan Snort dan Suricata, analisis PCAP dengan Wireshark, dan monitoring jaringan dengan Zeek. Jaringan adalah medan perang utama SOC analyst!