Waspadai Advanced Persistent Threats (APT)

Advanced Persistent Threats (APT) bisa menjadi fenomena yang relatif baru bagi banyak organisasi. Meski sebenarnya hal-hal di baliknya bukanlah hal baru. Jadi apa sebenarnya yang membuatnya berbeda, dan sekaligus menjadi ancaman mematikan bagi siapa pun di dunia yang terhubung seperti saat ini? Bagaimana itu bekerja?

Yang membedakannya dengan jenis ancaman lainnya terutama terletak pada aspek perencanaan, sumber daya yang dialokasikan, dan kompleksitas teknik yang digunakan. Ini adalah sesuatu yang baru yang belum ditemukan dalam ancaman serangan sebelumnya. Ancaman khusus ini juga memerlukan tingkat kewaspadaan, pencegahan, dan kontrol khusus daripada yang biasanya digunakan untuk menangani ancaman keamanan umum dari peretas, virus, atau spammer.

Jadi APT adalah ancaman (threat) keamanan yang canggih (advanced) lagi gigih (persistent). Di masa lalu, banyak organisasi mungkin telah diretas sistem atau infrastrukturnya. Namun biasanya yang melakukan penyerangan tersebut adalah individu, kelompok organisasi kecil, dengan modal pas-pasan, atau mungkin orang yang hanya ingin pamer keahlian. Tetapi hal ini berbeda dengan APT yang kebanyakan penyerangan dilakukan oleh kelompok yang terorganisir, atau bahkan sering kali negara berada di belakang kelompok tersebut. Akibatnya, serangan ini seringkali lebih terencana, lebih canggih, lebih komprehensif dalam sumber dayanya, dan potensi dampaknya bisa jauh lebih dahsyat.

Perbedaan serangan APT dengan serangan keamanan biasa 

Serangan Keamanan Biasa

• Penyerang : Kebanyakan adalah perorangan
• Target : Tidak tentu, biasanya yang diserang hanya sistem-sistem tertentu
• Tujuan : Manfaat finansial, menunjukkan kemampuan
• Pendekatan : Sekali serang dan selesai, jangka waktu pendek

Serangan APT

• Penyerang : Kelompok terorganisir, canggih, dan sumber daya lengkap
• Target : Organisasi-organisasi tertentu, institusi pemerintah, perusahaan-perusahan komersial
• Tujuan : Keuntungan kompetitif, manfaat-manfaat strategis
• Pendekatan : Percobaan dilakukan berulang, mampu bersabar dalam percobaan penyerangan untuk mengenali sistem pertahanan targetnya, jangka waktu yang dibutuhkan lebih panjang

Cara Kerja APT

Salah satu keunggulan dari serangan APT adalah perencanaan yang sangat hati-hati dengan tahapan yang dirancang sedemikian rupa. Setiap serangan APT dapat menggunakan teknik dan metode yang berbeda. Namun, melihat langkah-langkah yang sudah selesai, sebenarnya memiliki pola yang cukup tetap. Serangan APT umumnya dilakukan dalam tahapan-tahapan berikut:

1. Pemilihan target

Langkah pertama tentunya penyerang mengidentifikasi organisasi target, sistem, informasi, atau apapun yang menjadi target serangan yang akan dilakukan.

2. Riset target

Langkah selanjutnya adalah melakukan penelitian dan mengumpulkan informasi tentang target serangan. Penyerang harus terlebih dahulu memahami budaya, kebiasaan, struktur organisasi, dan informasi lain yang berkaitan dengan target. Informasi seperti laporan keuangan dan publikasi lainnya tentang organisasi sasaran juga sering diteliti dengan baik. Penyerang juga mengumpulkan informasi tentang hal-hal penting lainnya, seperti alamat IP, email, data karyawan, dan lainnya untuk membantu serangan di masa mendatang. Seringkali, mereka juga menggunakan informasi dari media sosial seperti Facebook, Twitter, LinkedIn dan lainnya untuk memenuhi kebutuhan informasi mereka.

3. Penetrasi target

Penyerang sering mencoba masuk ke sistem target menggunakan berbagai metode rekayasa sosial, seperti phishing online. Misalnya melalui e-mail yang dikirimkan kepada orang-orang tertentu yang dituju. Sepertinya email ini dikirim dari seseorang yang Anda percayai dan berbicara tentang topik yang menarik bagi target. Penyerang mencoba memengaruhi minat korban untuk membuka lampiran atau mengklik tautan tertentu yang telah disiapkannya. Jika korban melakukan sesuai keinginan penyerang, malware akan dipasang di komputer korban untuk digunakan nanti oleh penyerang.

4. Command and Control

Langkah selanjutnya adalah menciptakan kemampuan “command and control” dengan mengeksploitasi malware yang telah disematkan pada penetrasi sukses sebelumnya. Tujuan utamanya adalah menjalin komunikasi dengan pusat kendali kelompok penyerang. Pada titik ini, modul tambahan dapat ditanamkan dan dikonfigurasi lebih lanjut untuk mendukung serangan di masa mendatang. Malware tertanam biasanya terdiri dari beberapa modul, masing-masing dengan fungsi dan tugas tertentu.

Jadi mungkin ada modul yang seharusnya mencari database atau file tertentu, ada modul yang seharusnya memberikan status sistem target untuk dikirim ke pusat komando, dan seterusnya. Ada modul yang berfungsi offline dan ada juga modul yang hanya berfungsi online. Dengan demikian, berkat malware yang terinstal ini, penyerang dapat langsung mencari sumbernya, mengekstrak data, melacak peristiwa, dan yang tak kalah pentingnya, menghapus jejak serangan.

5. Memperluas jangkauan

Setelah pada langkah sebelumnya, penyerang berhasil memasang “agen” ke dalam lingkungan target, yang mampu mengendalikannya dari pusat komando, hal selanjutnya yang harus dilakukan adalah memperluas lingkup pengaruh ke sistem target. Contohnya termasuk memetakan seluruh jaringan target, mendapatkan data identitas pribadi, dan mencoba meningkatkan akses ke tingkat yang dapat mendukung dan mengontrol sistem. Pada titik ini, mereka juga biasanya mendeteksi keberadaan aplikasi pengawasan yang mampu mendeteksi keberadaan penyusup seperti mereka di sistem target.

6. Data exfiltration

Setelah penyerang memperoleh akses ke data, data yang diinginkan dikirim ke server internal, yang kemudian dikompres dan dienkripsi sebelum dikirim ke lokasi tertentu yang dipilih. Untuk menutupi jejak mereka, penyerang sering mengirimkan data ke lokasi penyerang melalui situs perantara proxy. Dengan demikian, tampaknya serangan berasal dari satu negara, padahal sebenarnya diluncurkan dan dikendalikan dari lokasi yang sama sekali berbeda.

7. Intelligence dissemination

Diseminasi informasi intelijen tidak sesederhana yang dibayangkan. Data ini harus dilindungi dengan ketat karena kebocoran berarti sumber serangan, metode yang digunakan, bahkan kerusakan hubungan diplomatik antar negara terungkap. Penerima data intelijen ini haruslah orang yang sangat dapat dipercaya dan tidak ambigu. Sistem yang digunakan untuk menyimpan data ini juga harus memiliki tingkat keamanan yang sangat tinggi.

8. Eksploitasi informasi

Setelah semuanya diamankan, maka mulailah informasi-informasi yang berhasil diambil itu dieksploitasi satu per satu untuk beragam motif yang diinginkan oleh pihak penyerang.

Dimana Dan Kapan Serangan APT Berakhir ?

Serangan APT terus berkembang pesat. Selama dekade terakhir, dunia telah  berpindah dari kondisi acuh menjadi siaga. Kemampuan ancaman malware untuk menyebabkan bencana fisik besar dianggap oleh banyak orang sebagai mitos pada pergantian abad ini. Tapi sekarang ancaman itu nyata. Kondisi ini menempatkan perusahaan besar di garis depan. Penyerang dengan cepat berskala dari kecil hingga masif dengan senjata jahat yang sangat canggih. Selain itu, jumlah pemain yang mengembangkan APT terus berkembang pesat, mulai dari individu hingga organisasi besar hingga pemerintah negara-negara besar di seluruh dunia.

Target terus berkembang, dari lembaga pemerintah hingga bisnis yang menangani informasi sensitif dan layanan penting bagi publik. Malware sekarang dilihat oleh militer sebagai senjata ampuh dalam perang saat ini. Cobalah untuk membentuk doktrin dan aturan dalam perang dunia maya. Perlunya kesepakatan dan aturan internasional yang mengatur masalah ini terus diperdebatkan di berbagai forum global.

Di mana atau kapan semua ini akan berakhir? Jawabannya mungkin ancaman ini tidak akan berhenti atau mereda. Kemampuan dan sumber daya yang dialokasikan untuk perang siber dan operasi intelijen seperti ini akan terus meningkat dalam beberapa dekade mendatang.

Malware APT semakin canggih dan organisasi  yang memanfaatkannya semakin besar dan kuat. Banyak dari serangan yang dilakukan hari ini adalah hasil dari perkembangan yang dilakukan lebih dari satu dekade yang lalu. Inisiatif pengembangan ini tidak diperhatikan selama bertahun-tahun. Berdasarkan pengalaman ini, tidak salah untuk berasumsi bahwa akan ada generasi baru ancaman yang semakin canggih dan serangan yang semakin sulit dibayangkan.

Dalam beberapa dekade mendatang, kita mungkin akan melihat semakin banyak konflik dunia maya yang nyata antar negara atau komunitas. Teroris saat ini juga mampu melakukan APT. Teknologi keamanan juga akan terus berkembang mengikuti kecanggihan teknologi disruptif yang dihadapinya. Manajemen jaringan dan kemampuan tanggap insiden juga harus terus dikembangkan.

Hal ini, pada gilirannya, akan memaksa bisnis untuk pada akhirnya menggunakan layanan Security Operations Center (SOC) dengan pemantauan, pemrosesan, dan kontrol sistem yang andal sesuai kebutuhan. Memang, menyiapkan infrastruktur yang aman seperti itu sendiri akan membutuhkan investasi yang sangat besar. Tidak banyak organisasi yang mampu berinvestasi sebanyak itu dalam keamanan sekaligus. Namun di sisi lain, jika mereka diserang APT, bisnis mereka juga bisa hancur. Oleh karena itu, layanan SOC adalah alternatif yang lebih layak untuk organisasi karena biaya investasi dapat digeser ke dalam biaya operasi yang lebih terjangkau.

Namun, terlepas dari risiko diretas, akan selalu ada beberapa. Apalagi jika melihat kerentanan manusia. Kesadaran keamanan yang buruk dan teknik rekayasa sosial masih memungkinkan penyerang berhasil membobol sistem dan infrastruktur organisasi. Tidak ada manusia yang begitu sempurna dalam disiplin dan kewaspadaan. Sehingga jika sistem tidak mengeliminasi kemungkinan human error, resiko serangan APT akan selalu ada setiap saat menembus dan menimbulkan kerusakan, jadi harus selalu waspada.