Bulan lalu, dalam kesaksian tentang ancaman dunia maya global di hadapan Komite Keamanan Dalam Negeri AS, perdebatan lama kembali muncul: Mengapa vendor memberi nama yang berbeda untuk aktor ancaman dunia maya, dan mengapa kita tidak bisa langsung menyebutkan pihak yang bertanggung jawab?
Para veteran industri akan mengenali bahwa diskusi mengenai topik ini sering muncul di kalangan vendor, media, dan lingkaran kebijakan publik setiap beberapa tahun sekali. Namun, bagi yang kurang paham, mari kita tinjau evolusi dan alasan di balik praktik pemberian nama aktor ancaman dunia maya untuk menjelaskan mengapa sistem ini bertahan.
Masa Lalu yang Kabur
Beberapa dekade yang lalu, sebagian besar orang yang melacak ancaman dunia maya berada di lingkaran pertahanan dan keamanan nasional. Tidak mengherankan, masalah klasifikasi sering menghambat diskusi terbuka mengenai pelanggaran tertentu. Peneliti yang bekerja dalam hubungan yang terpercaya kadang-kadang berbicara secara tidak langsung mengenai informasi yang terklasifikasi, tetapi diskusi ini harus terbatas. “Apakah kamu mendengar tentang pelanggaran di Basis Industri Pertahanan minggu lalu? Sepertinya ini bisa jadi kelompok yang sama yang menyerang Laboratorium Nasional tahun lalu … tidak, yang lainnya … tidak, kelompok lainnya.”
Pada waktu itu, sudah menjadi hal yang biasa bagi orang dalam untuk menyebut serangan yang disponsori negara sebagai ancaman persisten tingkat lanjut (APT). Namun, pada pertengahan hingga akhir 2000-an, banyak negara yang terlibat dalam peretasan, dan teknik yang digunakan tidak selalu canggih. Sebuah sistem yang lebih spesifik diperlukan.
Industri keamanan dunia maya berkembang pesat selama periode ini. Dalam menggambarkan aktivitas ancaman, beberapa pihak mulai menggunakan nama-nama yang bersifat satu kali, sering kali berdasarkan artefak kode atau taktik, teknik, dan prosedur (TTP). Meskipun nama-nama ini sering bertahan, tidak ada struktur yang jelas, dan vendor serta peneliti menggunakan pendekatan yang berbeda dalam penamaan. Beberapa menamai aktor, beberapa menamai malware, dan beberapa menamai pelanggaran atau kampanye tertentu.
Sebagai contoh, sekitar 15 tahun yang lalu, bidang ini masih kekurangan konsensus tentang apakah serangan dunia maya bahkan bisa diatribusikan. Banyak orang yang menganggap upaya untuk melakukannya hanya gangguan dari masalah yang lebih praktis, seperti menemukan dan memperbaiki bug. Baru pada tahun 2014, ketika AS mendakwa lima anggota Tentara Pembebasan Rakyat China (dengan dokumen yang mencakup nama dan foto lengkap) bahwa kesalahpahaman ini berubah secara permanen.
Mengapa Keamanan Memerlukan Lebih dari Sekadar Negara Asal
Aktor ancaman kini dapat diatribusikan, bahkan hingga level individu. Namun, vendor keamanan dunia maya utama masih menggunakan nama kode yang berbeda, bahkan untuk aktor ancaman yang sama. Mengapa demikian? Ada beberapa alasan yang mendasari hal ini, dan mari kita soroti beberapa poin penting.
Pertama, atribusi itu sulit. Saat ini, cukup banyak vendor yang memiliki kemampuan untuk mengelompokkan ancaman (misalnya, mereka yang bertanggung jawab atas pelanggaran tertentu juga tampaknya bertanggung jawab atas dua pelanggaran sejarah, atau pelanggaran tertentu tampaknya terkait dengan kampanye yang sedang berlangsung). Namun, sangat sedikit vendor yang memiliki kemampuan untuk melakukan atribusi “last mile” yang kredibel, yang dapat menggambarkan aktivitas tersebut dan mengaitkannya dengan orang atau lembaga yang sebenarnya.
Kedua, visibilitas yang berbeda di antara para pemain industri menyulitkan tercapainya kesepakatan. Sebagai contoh, penyedia telekomunikasi dan operator jaringan distribusi konten mungkin berbagi sudut pandang yang tumpang tindih mengenai ancaman, yang memudahkan untuk mengorelasikan berbagai penelitian. Namun, produsen ponsel atau penyedia sistem operasi mungkin melihat potongan teka-teki yang sangat berbeda. CrowdStrike mungkin membuat penentuan yang menghubungkan ancaman berdasarkan telemetri titik akhir, respons insiden, atau informasi identitas yang tidak tersedia—dan bahkan tidak dapat dipahami—oleh perusahaan firewall lama.
Ketiga, para pemain industri ingin segera berbagi informasi yang bisa membantu orang. Nama-nama aktor ancaman memungkinkan vendor untuk menghasilkan dan menyebarkan penelitian secara iteratif tanpa menunggu atribusi definitif atau konsensus industri. Nama kode memungkinkan pemangku kepentingan untuk mendiskusikan kelompok tertentu seiring waktu, yang sangat penting sebelum atribusi “last mile” yang kredibel tercapai.
Keempat, ada hambatan sah untuk menyelaraskan informasi ancaman. Penyedia yang berbeda memiliki pembatasan unik, seperti kewajiban perlindungan data pelanggan dan pertimbangan kekayaan intelektual, yang dapat menghalangi berbagi data dengan entitas lain. Perlu dicatat bahwa industri keamanan dunia maya bersifat global, dan beberapa pemain berasal dari negara yang memiliki catatan yang tidak merata tentang kerahasiaan dan lingkungan hukum serta regulasi yang berbeda.
Nama Kode Musuh Menyediakan Taksonomi Terstruktur untuk Tim Keamanan
Penamaan aktor ancaman mengatasi masalah ini secara langsung, tetapi masih ada masalah mengapa nama-nama ini berbeda begitu jauh. Faktanya, banyak sistem telah muncul seiring waktu. Penunjukan nama numerik Google Mandiant (misalnya, APT28 dan APT29) memiliki keuntungan dalam hal skalabilitas tak terbatas. Namun, itu linier dan tidak menyertakan banyak informasi untuk mereka yang tidak familiar dengan laporan spesifik. Selain itu, angka-angka tersebut sudah cukup tinggi dan sulit diingat.
Sistem berbasis elemen Microsoft yang baru-baru ini dihentikan (misalnya, BARIUM, BORON) tidak dapat berkembang seiring dengan proliferasi musuh, karena hanya ada 118 elemen kimia dalam tabel periodik. Mereka beralih ke sistem berbasis cuaca yang baru pada April 2023, yang menjelaskan pelaporan media terkini tentang topan (misalnya, SALT TYPHOON). Perubahan semacam ini dapat cukup mengganggu para pemangku kepentingan industri.
Untuk bagian kami, ketika CrowdStrike diluncurkan pada 2011, kami menginovasikan sistem berbasis kriptonim yang menghasilkan nama seperti OPERATOR PANDA. Setiap nama memiliki dua bagian. Bagian pertama (“OPERATOR”) merujuk pada kelompok tertentu; biasanya didasarkan pada pengenal komunitas yang ada atau menunjukkan informasi tentang target atau TTP. Bagian kedua (“PANDA”) menunjukkan negara asal atau motivasi aktor. Dalam hal ini, aktor adalah negara China yang menargetkan sektor telekomunikasi.
Sistem ini memiliki sejumlah keunggulan:
- Ini menyematkan informasi yang sangat berguna tentang motivasi aktor ancaman (misalnya, kriminal, hacktivis, atau negara-bangsa — dan negara mana).
- Sistem ini dapat mengakomodasi situasi di mana beberapa aktor memiliki atribusi “last mile” yang sama, seperti ketika beberapa kelompok yang berbeda terkait dengan birokrasi seperti Kementerian Keamanan Negara China (MSS).
- Sistem ini memungkinkan fleksibilitas bagi atribusi “last mile” untuk diperbarui seiring waktu seiring dengan ketersediaan informasi baru atau setelah birokrasi negara (atau kelompok kriminal, seperti SPIDERS) melakukan reorganisasi, berpindah ke skema berbeda, atau memanfaatkan platform ransomware-as-a-service (RaaS) baru.
- Sistem ini memungkinkan diskusi yang berguna di seluruh ketidakseimbangan informasi atau keyakinan, seperti antara organisasi penegak hukum dengan informasi atribusi yang terklasifikasi, organisasi korban, dan penyedia respons insiden pihak ketiga.
- Ini memungkinkan para peneliti dan pembuat kebijakan untuk beralih antara diskusi aktor tertentu (misalnya, “SLIPPY SPIDER”) dan kategori (misalnya, “SPIDERs”).
Melacak Musuh dengan Presisi untuk Menghentikan Pelanggaran
Penggunaan nama kode aktor ancaman bukanlah upaya untuk menghindari penamaan dan penghinaan terhadap musuh tertentu, seperti Rusia atau China. Ini adalah langkah teknokratis yang digunakan analis untuk lebih spesifik daripada hanya menyebutkan negara, sambil memungkinkan fleksibilitas untuk memperbarui atribusi “last mile” berdasarkan informasi baru. Kritik terkini terhadap praktik ini kurang tepat.
Namun demikian, para pemangku kepentingan industri dapat melakukan lebih banyak untuk menyelaraskan pelaporan. Kami secara aktif bekerja untuk memperkuat kemitraan ke arah ini. Untuk ancaman yang paling serius, kami juga mendukung proses analitik kolaboratif secara periodik yang dimodelkan dari sistem National Intelligence Estimate (NIE) Komunitas Intelijen AS.
Pembuat kebijakan dapat dan harus melakukan lebih banyak untuk mendorong akuntabilitas terhadap aktor asing yang menyerang bisnis, pemerintah, dan infrastruktur kritis Amerika. Kami telah lama mendorong pendekatan yang lebih aktif terhadap penargetan aktor ancaman melalui operasi penegakan hukum yang terkoordinasi serta gangguan dan penghancuran infrastruktur. Di tingkat geopolitik, pendekatan diplomasi yang lebih efektif atau pendekatan yang lebih tegas terhadap negara-negara seperti China, Rusia, Iran, dan Korea Utara sudah sangat diperlukan.
Jika Anda ingin mengetahui lebih lanjut mengenai bagaimana CrowdStrike dapat memperkuat keamanan di organisasi Anda, jangan ragu untuk menghubungi CrowdStrike Indonesia. Tim kami siap memberikan informasi yang lebih mendalam dan membantu Anda memilih solusi yang paling sesuai dengan kebutuhan bisnis Anda. Untuk informasi lebih lanjut, Anda dapat menghubungi PT. iLogo Infralogy Indonesia dan crowdstrike.ilogoindonesia.id yang siap memberikan penjelasan lebih lengkap mengenai solusi ini.