Perpustakaan Digital ITB

Di era digital, serangan siber telah menjadi salah satu perhatian utama bagi hampir seluruh institusi. Di antara berbagai jenis serangan tersebut, serangan bertahap (multi-stage attack) merupakan salah satu kelompok serangan yang paling berbahaya. Serangan ini dilakukan melalui serangkaian tahapan sebelum mencapai tujuan akhirnya, bahkan tujuan tersebut dapat dicapai melalui beberapa tahap lanjutan. Karakteristik tersebut memberikan peluang bagi Security Operations Centre (SOC) untuk memanfaatkan informasi dari tahapan awal serangan guna memprediksi serangan pada tahap berikutnya. Dalam praktiknya, deteksi berbasis MITRE ATT&CK dan deteksi berbasis anomali merupakan dua pendekatan yang umum digunakan untuk mendeteksi serangan siber. Meskipun demikian, kedua pendekatan tersebut memiliki keterbatasan. MITRE ATT&CK membutuhkan sumber daya yang relatif besar untuk diimplementasikan, sedangkan model berbasis anomali umumnya belum memanfaatkan informasi dari tahapan serangan sebelumnya secara optimal. Di sisi lain, Cyber Kill Chain (CKC) dari Lockheed Martin memodelkan serangan bertahap sebagai rangkaian tahapan yang dilakukan secara sekuensial. Pada penelitian ini, tujuh tahapan CKC disederhanakan menjadi tiga tahap operasional, yaitu reconnaissance, privilege escalation, dan exploitation. Penyederhanaan tersebut menghasilkan kerangka kerja yang tetap mampu memanfaatkan informasi historis dari tahapan serangan dengan kebutuhan sumber daya yang relatif lebih rendah dibandingkan implementasi MITRE ATT&CK. Berdasarkan pendekatan tersebut, penelitian ini bertujuan untuk merancang dan mengembangkan arsitektur machine learning yang mampu memprediksi entitas yang berada dalam bahaya berdasarkan hasil deteksi serangan pada tahapan sebelumnya, beserta dashboard untuk memvisualisasikan hasil prediksi tersebut. Untuk memenuhi tujuan penelitian, telah dirumuskan empat persyaratan desain. Pertama, sistem harus mampu mendeteksi serangan tahap 1 dan tahap 2 dengan nilai recall minimal sebesar 80%. Kedua, sistem harus mampu memprediksi entitas yang berpotensi menjadi target serangan tahap 3 dengan nilai recall minimal sebesar 70%. Ketiga, sistem harus memperoleh System Usability Score (SUS) minimal sebesar 80%. Keempat, seluruh data dan visualisasi pada dashboard harus dapat ditampilkan tanpa kegagalan Sistem yang dikembangkan terdiri atas dua subsistem yang saling terintegrasi, yaitu Subsistem 1: Machine Learning Models dan Subsistem 2: User Interface. Subsistem 1: Machine Learning Models dibangun dalam dua level, yaitu level aktivitas jaringan dan level entitas. Level aktivitas jaringan bertugas mendeteksi serangan tahap 1 dan tahap 2 serta menghasilkan probabilitas terjadinya serangan. Selanjutnya, level entitas memanfaatkan informasi tersebut untuk memprediksi dst_ip yang berpotensi menjadi target serangan tahap 3. Di sisi lain, Subsistem 2: User Interface menerima keluaran dari setiap model beserta data network flow untuk ditampilkan dalam bentuk dashboard interaktif. Hasil pengujian menunjukkan bahwa objektif pada Subsistem 1: Machine Learning Models berhasil dipenuhi. Pada level aktivitas jaringan, model Random Forest menghasilkan recall sebesar 88% untuk deteksi serangan tahap 1 dan 82% untuk deteksi serangan tahap 2. Sementara itu, pada level entitas, arsitektur Random Forest to XGBoost, yaitu Random Forest sebagai stage probability generator dan XGBoost sebagai model prediksi utama, memperoleh recall sebesar 78%. Selain itu, penelitian ini juga membandingkan performa arsitektur tersebut dengan pendekatan prediksi langsung tanpa memanfaatkan informasi serangan historis sebagai sinyal tambahan untuk membantu prediksi. Pendekatan tersebut menghasilkan performa terbaik sebesar 67% recall menggunakan model XGBoost. Hasil ini menunjukkan bahwa penerapan CKC sebagai dasar penyusunan arsitektur prediksi mampu meningkatkan performa prediksi entitas dalam bahaya dibandingkan pendekatan prediksi langsung, dengan peningkatan kebutuhan komputasi yang relatif tidak signifikan. Pengujian terhadap Subsistem 2: User Interface juga menunjukkan bahwa seluruh objektif telah terpenuhi. Hasil evaluasi menghasilkan nilai System Usability Score sebesar 86%, sementara seluruh data dan visualisasi pada dashboard berhasil ditampilkan dengan baik tanpa mengalami kegagalan.