Oleh: Arki Rifazka

Kita sering mengira semakin banyak notifikasi keamanan yang masuk, semakin aman juga sebuah organisasi. Setiap hari ada daftar alamat IP mencurigakan, domain berbahaya, sampai informasi kerentanan terbaru yang terus berdatangan. Lama-lama tampilannya seperti pusat kendali yang sibuk sekali. Masalahnya, banyak tim teknologi justru kewalahan memilah mana ancaman yang benar-benar relevan dan mana yang hanya lewat begitu saja. Akibatnya, organisasi punya banyak data ancaman, tetapi responsnya tetap lambat. Situasi seperti ini mulai membuat banyak perusahaan sadar bahwa yang dibutuhkan bukan sekadar tambahan feed intelijen, melainkan kemampuan memahami ancaman sesuai kondisi jaringan mereka sendiri.

Di dunia keamanan siber, pendekatan ini dikenal sebagai Cyber Threat Intelligence atau CTI. Sederhananya, CTI adalah proses mengumpulkan dan memahami informasi ancaman agar organisasi bisa mengambil keputusan lebih cepat. Namun nilai CTI ternyata tidak bergantung pada banyaknya data yang dikumpulkan. Jasper (2017) menjelaskan bahwa intelijen ancaman baru terasa manfaatnya saat informasinya relevan, tepat waktu, dan bisa langsung dipakai untuk tindakan operasional. Di sinilah banyak organisasi mulai mengubah cara pandang mereka. Feed ancaman tidak lagi diperlakukan seperti arsip informasi, tetapi sebagai alat bantu menentukan prioritas perlindungan.

Pentingnya Konteks dalam Cyber Threat Intelligence

Contohnya cukup dekat dengan aktivitas kantor sehari-hari. Bayangkan sebuah perusahaan memiliki sistem keuangan, aplikasi layanan pelanggan, dan akses kerja jarak jauh untuk pegawai. Ketika ada informasi tentang kerentanan baru, belum tentu semuanya terkena dampak yang sama. Ada ancaman yang sangat berbahaya untuk sistem tertentu, tetapi hampir tidak berpengaruh pada sistem lain. Kalau semua notifikasi dianggap sama penting, tim keamanan bisa habis waktu mengejar hal yang sebenarnya tidak mendesak. Qamar et al. (2017) menunjukkan bahwa banyak sistem CTI gagal membantu pengambilan keputusan karena informasi ancaman masih berdiri sendiri dan belum terhubung dengan kondisi jaringan organisasi. Dari sini mulai muncul kebutuhan agar data ancaman bisa dibaca dalam konteks yang lebih nyata.

Salah satu pendekatan yang mulai banyak dipakai adalah Structured Threat Information eXpression atau STIX. Format ini membantu organisasi memahami hubungan antara ancaman, pelaku serangan, kerentanan, dan langkah mitigasi dalam satu alur yang lebih mudah diproses sistem. Barnum (2014) menjelaskan bahwa STIX dikembangkan agar informasi ancaman tidak berhenti sebagai daftar indikator statis. Saat data ancaman dihubungkan dengan konfigurasi jaringan dan aset perusahaan, organisasi bisa lebih cepat menentukan tindakan mana yang perlu didahulukan. Hasilnya terasa praktis. Tim keamanan tidak perlu lagi memeriksa semua alert secara manual satu per satu karena sistem sudah membantu menyaring prioritas berdasarkan dampaknya terhadap operasional.

Dari Informasi Menjadi Tindakan Perlindungan

Pendekatan seperti ini juga membuat kerja sama berbagi informasi ancaman menjadi lebih berguna. Selama ini banyak organisasi saling bertukar data ancaman, tetapi manfaatnya sering berhenti di tahap konsumsi informasi. Johnson et al. (2016) menjelaskan bahwa nilai terbesar dari berbagi intelijen ancaman muncul saat data itu benar-benar masuk ke proses deteksi dan mitigasi internal. Jadi, organisasi tidak perlu berlomba mengumpulkan dashboard paling ramai. Yang lebih penting adalah memastikan informasi ancaman bisa diterjemahkan menjadi tindakan yang jelas. Bahkan untuk organisasi kecil dan menengah, langkah awalnya tidak harus rumit. Mulai saja dari pemetaan aset yang paling penting, lalu hubungkan intelijen ancaman dengan sistem yang memang paling kritis bagi operasional harian.

Pada akhirnya, keamanan siber yang efektif selalu berhubungan dengan kemampuan mengambil keputusan yang tepat dalam waktu cepat. Organisasi yang memahami konteks jaringannya sendiri biasanya lebih siap menentukan prioritas dibanding organisasi yang hanya mengoleksi data ancaman sebanyak mungkin. Whitman dan Mattord (2018) menekankan bahwa pengelolaan risiko yang baik selalu berkaitan dengan hubungan antara ancaman, aset, dan prioritas bisnis. Karena itu, arah perkembangan CTI sekarang bergerak ke pendekatan yang lebih kontekstual dan operasional. Fokusnya bukan lagi siapa yang punya data ancaman paling banyak, tetapi siapa yang paling cepat mengubah informasi menjadi perlindungan yang benar-benar terasa manfaatnya.

Daftar Referensi

Barnum, S. (2014). Standardizing cyber threat intelligence information with the Structured Threat Information eXpression (STIX™). The MITRE Corporation.

Jasper, S. E. (2017). U.S. cyber threat intelligence sharing frameworks. International Journal of Intelligence and CounterIntelligence, 30(1), 53–65.

Johnson, C., Badger, L., Waltermire, D., Snyder, J., & Skorupka, C. (2016). Guide to cyber threat information sharing. National Institute of Standards and Technology.

Qamar, S., Anwar, Z., Rahman, M. A., Al-Shaer, E., & Chu, B.-T. (2017). Data-driven analytics for cyber-threat intelligence and information sharing. Computers & Security.

Whitman, M. E., & Mattord, H. J. (2018). Principles of information security (6th ed.). Cengage Learning.