Threat Hunting
Threat hunting adalah pencarian proaktif terhadap indikator compromise dan aktivitas malicious yang tidak tertangkap oleh deteksi otomatis. Berbeda dengan alert-driven response yang reaktif, hunting bertujuan memperkecil dwell time - waktu antara compromise dan deteksi.
Proactive vs Reactive
| Pendekatan | Pemicu | Tujuan |
|---|---|---|
| Reaktif | Alert / laporan | Merespon insiden yang sudah terdeteksi |
| Proaktif | Hipotesis / intel | Menemukan threat yang lolos deteksi |
SOC yang baik menjalankan keduanya - reaktif untuk triage, proaktif untuk hunting.
Hypothesis-Driven Hunting
Analis merumuskan hipotesis berdasarkan:
- TTP baru: "Mungkin aktor X menggunakan teknik Living off the Land untuk lateral movement."
- Perubahan lingkungan: "Kita baru deploy Linux server - apakah ada privilege escalation via kernel exploit?"
- Laporan intel: "APT29 dilaporkan menggunakan DLL side-loading - mari cari di endpoint kita."
Hipotesis diuji dengan mengekstrak dan menganalisis data telemetri dari berbagai source.
Intel-Driven Hunting
Threat intelligence memicu hunting terarah:
- Intel eksternal (ISAC, MISP, vendor TI) memberikan IOC atau TTP mutakhir.
- SOC mencari IOC tersebut di data historis (24 - 72 jam ke belakang).
- Jika ditemukan, lakukan analisis depth - apakah ada aktivitas serupa sebelum IOC terdeteksi?
- Dokumentasikan temuan untuk memperbarui aturan deteksi.
Hunting Methodology: Baseline → Anomaly → Investigate
- Establish Baseline - Pahami normal behavior lingkungan: logon pattern jam kerja, trafik DNS normal, process tree tipikal.
- Identify Anomaly - Cari penyimpangan: process mencurigakan, network connection ke IP baru, registry modification tidak biasa.
- Investigate - Perdalam: timeline analysis, parent-child process, file artifacts, memory forensic.
Proses ini diulang dalam hunting loop berkelanjutan, setiap iterasi memperbaiki baseline dan detection rule.
Pyramid of Pain
Pyramid of Pain (David Bianco) mengukur kesulitan yang dialami adversary saat IOC mereka di-block:
- Hash - Mudah diganti, pain rendah bagi attacker.
- IP - Cepat dirotasi, pain rendah-sedang.
- Domain - Agak lama, pain sedang.
- Host Artifact (registry key, file path) - Lebih sulit diubah.
- Network Artifact (URI, C2 pattern) - Cukup menyakitkan.
- Tools - Attacker kehilangan toolset favorit.
- TTP (Tactics, Techniques, Procedures) - Puncak piramida. Menargetkan TTP memaksa attacker mengubah seluruh pendekatan.
Hunting efektif berfokus pada Host Artifact hingga TTP.
Hunting Tools
| Tool | Fungsi |
|---|---|
| osquery | Query SQL real-time ke OS: proses, koneksi, file, registry |
| KQL (Kusto Query Language) | Analisis data log skala besar di Microsoft Sentinel/ADX |
| YARA | Pattern matching untuk identifikasi malware berbasis rule |
| Velociraptor | Endpoint visibility + collection + hunting terdistribusi |
Velociraptor sangat kuat untuk hunting enterprise - dapat menjalankan YARA scan massal, mengumpulkan artifacts, dan melakukan live response ke ribuan endpoint dalam satu permintaan.
Hunting Loop
Hunting bukan aktivitas satu kali, melainkan siklus:
- Hypothesis → 2. Collect data → 3. Analyze → 4. Detect / No detect → 5. Tune detection rules → 6. Document findings → 7. Update threat intel → kembali ke langkah 1.
Setiap siklus memperkuat postur keamanan dan memperkecil dwell time organisasi.
Dwell Time Reduction
Tujuan utama hunting adalah menurunkan dwell time. Rata-rata industri (Mandiant M-Trends) berkisar 10 - 24 hari. Dengan hunting terstruktur, dwell time bisa ditekan hingga hitungan jam. Semakin cepat threat ditemukan, semakin kecil dampak yang ditimbulkan.