Menghadapi kompleksitas lanskap ancaman siber 2025, organisasi harus berevolusi dari sekadar membangun kesadaran menuju implementasi Cyber Threat Detection dan Incident Response yang terintegrasi.
Oleh: Dr. Hegar Harini, M.Pd – Peneliti LPPI
Stabilitas.id – Transformasi digital telah mengubah cara organisasi bekerja, berkomunikasi, memberikan layanan, dan mengambil keputusan. Sistem informasi, cloud computing, mobile devices, aplikasi digital, layanan pembayaran, platform kolaborasi, dan konektivitas dengan pihak ketiga membuat proses bisnis menjadi semakin cepat. Namun, semakin tinggi tingkat konektivitas, semakin luas pula permukaan serangan yang harus dilindungi.
Dalam beberapa tahun terakhir, diskusi mengenai keamanan siber tidak lagi cukup berhenti pada pemasangan antivirus, firewall, atau kegiatan sosialisasi kepada pegawai. Organisasi membutuhkan kemampuan yang lebih operasional: mengetahui apa yang sedang terjadi di lingkungan digital, mengenali perilaku yang mencurigakan, menentukan apakah sebuah alert merupakan ancaman nyata, merespons insiden, dan memulihkan layanan secepat mungkin.
Di sinilah Cyber Threat Detection dan Incident Response menjadi sangat penting. Jika cybersecurity awareness membangun kewaspadaan manusia, threat detection menyediakan kemampuan untuk melihat indikasi serangan, sedangkan incident response menentukan bagaimana organisasi bertindak ketika ancaman telah berkembang menjadi insiden.
Perubahan paradigma tersebut semakin relevan karena penyerang tidak selalu menggunakan metode yang benar-benar baru. Mereka dapat menggunakan kredensial yang dicuri, phishing, kerentanan yang belum ditambal, perangkat lunak yang telah disusupi, atau memanfaatkan kelemahan rantai pasok digital. Bahkan, AI kini dapat digunakan untuk mempercepat social engineering dan meningkatkan skala operasi serangan.
Lanskap Ancaman Siber Semakin Kompleks
ENISA Threat Landscape 2025 memberikan gambaran penting mengenai perubahan lanskap ancaman. Laporan tersebut menganalisis 4.875 insiden pada periode 1 Juli 2024 sampai 30 Juni 2025. DDoS menjadi jenis insiden yang paling banyak dilaporkan, sementara ransomware dinilai sebagai ancaman yang paling berdampak. Dari sisi initial intrusion, phishing termasuk vishing, malspam, dan malvertising menyumbang sekitar 60% kasus yang diamati, disusul eksploitasi kerentanan sekitar 21,3% (ENISA, 2025).
Angka tersebut menunjukkan bahwa serangan siber tidak hanya mengandalkan malware canggih. Faktor manusia, identitas digital, kerentanan teknologi, dan ketergantungan terhadap layanan pihak ketiga tetap menjadi titik penting yang harus diperhatikan.
ENISA juga menyoroti meningkatnya penyalahgunaan AI. Large Language Models dapat dimanfaatkan untuk meningkatkan kualitas phishing dan mengotomatisasi aktivitas social engineering. Artinya, organisasi menghadapi situasi ketika teknologi yang sama-sama dapat digunakan untuk meningkatkan produktivitas juga dapat dimanfaatkan oleh threat actor untuk mempercepat serangan.
Perubahan tersebut membawa konsekuensi bagi manajemen. Organisasi tidak dapat lagi hanya bertanya, “Apakah kita sudah memiliki sistem keamanan?” Pertanyaan yang lebih relevan adalah, “Apakah kita dapat mengetahui ketika sistem mulai diserang, seberapa cepat kita dapat memastikan bahwa alert tersebut benar-benar ancaman, dan seberapa cepat kita dapat mengendalikan dampaknya?”
Apa Sebenarnya Cyber Threat Detection?
Cyber Threat Detection dipahami sebagai kemampuan untuk menemukan indikasi aktivitas berbahaya atau tidak wajar di dalam lingkungan digital organisasi. Tujuannya bukan sekadar menghasilkan alert sebanyak mungkin, tetapi memberikan informasi yang cukup kepada analis agar dapat menentukan apakah aktivitas tersebut merupakan ancaman, bagaimana pola serangannya, aset apa yang terdampak, dan tindakan apa yang perlu dilakukan.
Detection modern biasanya memanfaatkan kombinasi berbagai sumber data. Endpoint memberikan informasi mengenai proses dan aktivitas perangkat. Network telemetry memberikan gambaran lalu lintas komunikasi. Identity systems memperlihatkan pola login dan penggunaan akun. Cloud logs menunjukkan aktivitas pada infrastruktur cloud. Application logs dapat memperlihatkan anomali transaksi atau akses. Threat intelligence memberikan konteks mengenai indikator kompromi dan teknik yang digunakan threat actor.
Masalahnya, semua data tersebut dapat menghasilkan volume informasi yang sangat besar. Karena itu, detection membutuhkan korelasi dan prioritas. Alert mengenai login dari lokasi yang tidak biasa, misalnya, mungkin tidak terlalu serius jika berdiri sendiri. Tetapi jika pada saat yang sama terjadi perubahan privilege, akses ke data sensitif, dan koneksi ke infrastruktur yang mencurigakan, tingkat risikonya menjadi jauh lebih tinggi.
Dengan kata lain, detection yang baik bukan sekadar “melihat alarm”. Detection yang baik adalah kemampuan mengubah data teknis menjadi informasi risiko yang dapat ditindaklanjuti.
SOC: Pusat Mata dan Telinga Keamanan Digital
Dalam organisasi yang memiliki tingkat kompleksitas tinggi, fungsi detection sering dijalankan melalui Security Operations Center (SOC). SOC dapat dipahami sebagai pusat operasi yang memonitor, menganalisis, memvalidasi, dan mengoordinasikan respons terhadap aktivitas keamanan.
Namun, keberadaan SOC tidak otomatis berarti organisasi memiliki kemampuan detection yang matang. SOC harus memiliki proses, sumber data, teknologi, kompetensi analis, mekanisme eskalasi, serta indikator kinerja yang jelas.
Forsberg dan Frantti (2023) menunjukkan pentingnya technical performance metrics untuk menilai kemampuan SOC. Menurut penelitian tersebut, pengukuran SOC tidak seharusnya hanya berfokus pada aktivitas operasional, tetapi juga harus dapat menggambarkan kemampuan teknis dalam mendeteksi ancaman dan mendukung pertahanan siber.
Hal ini penting karena jumlah alert yang diproses bukan indikator tunggal keberhasilan. SOC yang memproses 10.000 alert per hari belum tentu lebih efektif dibandingkan SOC yang memproses 2.000 alert jika yang pertama menghasilkan banyak false positive dan terlambat mengidentifikasi insiden kritis.
Karena itu, manajemen perlu melihat SOC sebagai kemampuan strategis, bukan sekadar ruang yang dipenuhi monitor. Nilai SOC terletak pada kualitas keputusan keamanan yang dihasilkan dari data.
Dari Alert Fatigue Menuju Intelligent Detection
Salah satu tantangan yang sering dihadapi tim keamanan adalah alert fatigue. Sistem keamanan modern dapat menghasilkan ribuan notifikasi setiap hari. Jika semua alert diperlakukan dengan prioritas yang sama, analis akan kesulitan membedakan ancaman kritis dari aktivitas rutin.
Di sinilah korelasi, threat intelligence, behavioral analytics, dan AI memiliki peran. Sistem dapat menggabungkan konteks identitas, perangkat, jaringan, lokasi, waktu, histori aktivitas, dan reputasi indikator untuk menentukan tingkat risiko sebuah kejadian.
Misalnya, satu kali login dari lokasi geografis yang berbeda belum tentu merupakan serangan. Namun, jika login tersebut diikuti perubahan password, eskalasi privilege, akses ke database penting, dan komunikasi dengan alamat IP yang mencurigakan, rangkaian aktivitas tersebut menjadi jauh lebih signifikan.
Pendekatan seperti ini mengubah detection dari sekadar rule-based monitoring menjadi contextual detection. Tujuannya bukan membuat sistem menghasilkan lebih banyak alarm, tetapi membuat alarm yang dihasilkan lebih bermakna.
AI dalam Cyber Threat Detection
Perkembangan AI memberikan peluang besar bagi threat detection. Model machine learning dan deep learning dapat mempelajari pola aktivitas normal dan membantu menemukan penyimpangan yang sulit ditangkap oleh aturan konvensional.
Penelitian mengenai network intrusion detection menunjukkan bahwa pendekatan deep learning dapat digunakan untuk menghadapi pola serangan yang dinamis, termasuk zero-day, out of distribution, dan adversarial evasion attacks (A sequential deep learning framework, 2024). Penelitian lain mengembangkan active learning berbasis Deep Q Network untuk membantu memilih sampel zero day yang perlu diberi label dan dianalisis lebih lanjut (Wu et al., 2024).
Penelitian NERO juga mengeksplorasi deep learning untuk mendeteksi dan mengategorikan zero-day network attacks pada lingkungan Internet of Things (IoT), terutama ketika ketersediaan data pelatihan terbatas (Cevallos et al., 2024).
Namun, AI bukan solusi ajaib. Model AI dapat menghasilkan false positive dan false negative. Model juga dapat mengalami perubahan performa ketika pola serangan berubah. Oleh karena itu, organisasi membutuhkan human oversight.
AI sebaiknya diposisikan sebagai force multiplier bagi analis. AI dapat membantu menyaring data, menemukan pola, mengelompokkan alert, dan menyusun konteks awal. Keputusan yang memiliki dampak besar misalnya mematikan akun administrator, mengisolasi sistem kritis, atau menghentikan layanan tetap membutuhkan kontrol dan kewenangan yang jelas.
Zero – Day Attack: Mengapa Detection Harus Mampu Beradaptasi
Salah satu tantangan paling sulit adalah zero-day attack, yaitu serangan yang memanfaatkan kerentanan atau pola yang belum sepenuhnya dikenali oleh mekanisme pertahanan.
Pendekatan tradisional yang hanya mengandalkan signature memiliki keterbatasan karena signature membutuhkan pengetahuan mengenai pola serangan. Ketika serangan baru muncul, sistem dapat kesulitan mengenalinya.
Karena itu, penelitian terbaru bergerak ke arah behavioral analytics, anomaly detection, active learning, dan model AI yang lebih adaptif. Tujuannya adalah menemukan penyimpangan dari perilaku normal sekalipun signature serangan belum tersedia.
Namun, adaptasi harus disertai validasi. Anomaly detection yang terlalu sensitif akan menghasilkan banyak false positive. Sebaliknya, sistem yang terlalu longgar dapat melewatkan aktivitas berbahaya. Tantangan organisasi adalah menemukan keseimbangan antara sensitivity, accuracy, speed, dan explainability.
Ketika Detection Menjadi Incident Response
Detection hanya merupakan tahap awal. Ketika sebuah aktivitas telah dikonfirmasi sebagai insiden, organisasi harus beralih dari “mengamati” menjadi “bertindak”.
Incident Response merupakan proses terkoordinasi untuk menangani insiden keamanan, membatasi dampak, menghilangkan penyebab, memulihkan layanan, dan mengambil pembelajaran untuk mencegah kejadian serupa.
NIST pada April 2025 menerbitkan SP 800-61 Revision 3 yang secara khusus memperbarui panduan incident response dan mengintegrasikannya dengan Cybersecurity Framework 2.0. NIST menegaskan bahwa incident response harus terintegrasi dalam cybersecurity risk management, bukan menjadi aktivitas yang berdiri sendiri (Nelson et al., 2025).
Pendekatan ini sangat penting bagi organisasi. Sebuah insiden keamanan dapat berdampak pada operasi, keuangan, kepatuhan, reputasi, pelanggan, dan bahkan kepercayaan pemangku kepentingan. Oleh sebab itu, incident response harus melibatkan lebih dari sekadar tim IT.
Incident Response Bukan Sekadar Mematikan Komputer yang Terinfeksi
Bayangkan sebuah organisasi menemukan ransomware pada beberapa endpoint. Respons yang terburu-buru mungkin hanya mematikan komputer yang terlihat terinfeksi. Langkah tersebut dapat membantu containment, tetapi belum menjawab pertanyaan yang lebih luas.
Bagaimana ransomware masuk? Apakah kredensial administrator telah dicuri? Apakah ada persistence mechanism? Apakah backup ikut terdampak? Apakah data telah diekstraksi sebelum enkripsi? Apakah ada sistem lain yang telah dikompromikan? Apakah organisasi memiliki kewajiban pemberitahuan? Siapa yang harus mengambil keputusan terkait pemulihan?
Pertanyaan-pertanyaan tersebut menunjukkan mengapa incident response membutuhkan proses yang terstruktur.
Tahapan praktis dapat meliputi preparation, detection and analysis, containment, eradication, recovery, dan post-incident activity. Dalam kerangka NIST terbaru, seluruh aktivitas tersebut perlu dipandang sebagai bagian dari pengelolaan risiko siber yang lebih luas.
Dengan demikian, tujuan incident response bukan sekadar “menghentikan serangan”. Tujuan akhirnya adalah mengurangi dampak, memulihkan operasi secara aman, dan memastikan organisasi belajar dari kejadian tersebut.
Incident Response Playbook: Persiapan Sebelum Krisis
Organisasi sebaiknya tidak menyusun prosedur incident response ketika insiden sudah terjadi. Pada saat krisis, waktu sangat terbatas dan tekanan pengambilan keputusan sangat tinggi.
Incident response playbook memberikan panduan praktis untuk skenario tertentu. Playbook dapat dibuat untuk phishing, ransomware, account takeover, data breach, DDoS, insider threat, compromise pada cloud, atau serangan melalui third-party provider.
Setiap playbook setidaknya perlu menjawab: apa indikator awalnya, siapa yang menerima eskalasi, siapa incident commander, siapa yang memiliki kewenangan melakukan containment, bagaimana bukti digital diamankan, siapa yang harus diberi informasi, bagaimana komunikasi dilakukan, dan bagaimana keputusan recovery dibuat.
Playbook juga harus memperhitungkan konteks bisnis. Penelitian tentang operations-informed incident response menekankan pentingnya menghubungkan respons insiden dengan operasi organisasi. Prosedur teknis yang tidak mempertimbangkan proses bisnis dapat menghasilkan keputusan yang justru memperbesar gangguan operasional.
Karena itu, playbook sebaiknya disusun bersama antara cybersecurity, IT, risk management, compliance, legal, komunikasi, audit internal, dan unit bisnis.
Dari MTTD ke MTTR: Kecepatan Menentukan Dampak
Dalam incident response, waktu sangat berharga. Dua indikator yang sering digunakan adalah Mean Time to Detect (MTTD) dan Mean Time to Respond atau Recover (MTTR).
MTTD menggambarkan seberapa cepat organisasi menemukan indikasi ancaman. MTTR menggambarkan seberapa cepat organisasi melakukan respons dan mengembalikan kondisi ke keadaan yang dapat diterima.
Namun, organisasi perlu berhati-hati agar tidak menjadikan MTTD dan MTTR sebagai angka yang berdiri sendiri. MTTD lima menit tidak otomatis berarti organisasi sangat matang jika proses analisis membutuhkan waktu berjam-jam. Begitu pula MTTR yang rendah tidak selalu berarti recovery aman jika organisasi mengembalikan sistem tanpa memastikan bahwa persistence mechanism telah dihapus.
Metrik perlu dikombinasikan dengan indikator lain seperti false positive rate, detection coverage, containment success rate, recurrence rate, jumlah aset kritis terdampak, dan keberhasilan post-incident remediation.
Ransomware: Contoh Nyata Mengapa Detection dan Response Harus Terintegrasi
Ransomware menjadi salah satu contoh paling jelas mengapa detection dan response tidak boleh dipisahkan. Serangan ransomware dapat berkembang dari kompromi satu akun menjadi gangguan terhadap banyak perangkat dan layanan.
Detection dapat membantu menemukan aktivitas seperti credential misuse, lateral movement, suspicious PowerShell execution, abnormal file access, atau komunikasi dengan command-and-control infrastructure. Tetapi setelah indikasi dikonfirmasi, incident response harus segera bekerja untuk membatasi penyebaran.
Respons yang efektif dapat mencakup isolasi endpoint, pengamanan akun, pemblokiran jalur komunikasi berbahaya, perlindungan backup, investigasi initial access, dan penilaian apakah data telah diekstraksi.
Ransomware juga menunjukkan bahwa backup bukan satu-satunya jawaban. Backup harus terlindungi dari manipulasi dan diuji proses restorasinya. Organisasi yang memiliki backup tetapi tidak pernah menguji recovery tetap menghadapi ketidakpastian ketika insiden benar-benar terjadi.
Supply Chain dan Third-Party Risk: Titik Lemah yang Sering Terlupakan
Ekosistem digital modern sangat bergantung pada vendor, cloud provider, software provider, payment gateway, managed service provider, dan berbagai pihak ketiga. Ketergantungan tersebut menciptakan supply-chain risk.
ENISA 2025 menyoroti bagaimana cyber dependencies dapat dimanfaatkan threat actor untuk memperbesar dampak serangan. Ketika sebuah organisasi menjadi bagian dari ekosistem yang saling terhubung, kompromi pada satu pihak dapat memberikan efek domino kepada pihak lain.
Karena itu, threat detection harus memperhatikan aktivitas dari third-party account, API, remote access, privileged connection, dan integrasi aplikasi.
Incident response juga harus mencakup prosedur ketika insiden berasal dari vendor. Organisasi perlu mengetahui siapa yang harus dihubungi, informasi apa yang harus diminta, bagaimana akses vendor dapat dibatasi, bagaimana bukti dikumpulkan, dan bagaimana komunikasi dilakukan kepada pemangku kepentingan.
Human Factor Tetap Menjadi Bagian Penting
Kemajuan teknologi tidak menghilangkan faktor manusia. Phishing tetap menjadi jalur masuk yang sangat penting. Bahkan ketika teknologi AI digunakan untuk membantu pertahanan, AI juga dapat dimanfaatkan penyerang untuk menghasilkan pesan phishing yang lebih meyakinkan.
Karena itu, cybersecurity awareness harus tetap menjadi bagian dari strategi. Namun, awareness harus bergerak dari sekadar “jangan klik link mencurigakan” menuju perilaku keamanan yang lebih matang: mengenali anomali identitas, melaporkan kejadian dengan cepat, memahami penggunaan privileged account, menjaga kredensial, dan mengikuti prosedur eskalasi.
Yang juga penting adalah budaya pelaporan. Pegawai harus merasa aman untuk melaporkan kesalahan atau indikasi serangan tanpa takut langsung disalahkan. Semakin cepat sebuah organisasi mengetahui kesalahan manusia, semakin cepat pula tim keamanan dapat melakukan containment.
Governance: Cybersecurity Harus Naik ke Meja Manajemen
Cybersecurity sering dianggap sebagai tanggung jawab departemen IT. Padahal, dampak sebuah insiden dapat menyentuh hampir seluruh bagian organisasi.
Manajemen perlu mengetahui aset kritis apa yang dilindungi, risiko utama apa yang dihadapi, berapa lama layanan kritis dapat berhenti, siapa yang memiliki kewenangan saat krisis, dan berapa besar kemampuan organisasi untuk melakukan recovery.
NIST SP 800-61 Rev. 3 menempatkan incident response sebagai bagian dari cybersecurity risk management. Pendekatan tersebut memperkuat gagasan bahwa respons insiden harus terhubung dengan tata kelola dan pengambilan keputusan organisasi.
Dengan perspektif ini, investasi cybersecurity tidak hanya dilihat sebagai biaya teknologi, tetapi sebagai investasi terhadap business continuity, resilience, reputasi, dan kepercayaan digital.
Lima Prioritas Praktis untuk Organisasi
Pertama, petakan aset dan identitas kritis. Organisasi harus mengetahui perangkat, aplikasi, akun, data, cloud, serta layanan pihak ketiga yang benar-benar penting.
Kedua, bangun visibilitas. Log dari endpoint, jaringan, cloud, identity system, dan aplikasi harus tersedia dengan kualitas yang memadai agar dapat dikorelasikan.
Ketiga, prioritaskan alert berdasarkan risiko. Tidak semua alert memiliki dampak yang sama. Prioritas harus mempertimbangkan aset, identitas, konteks bisnis, dan threat intelligence.
Keempat, siapkan incident response playbook. Skenario utama seperti phishing, ransomware, account takeover, data breach, DDoS, dan third-party compromise harus memiliki prosedur yang telah diuji.
Kelima, lakukan latihan. Tabletop exercise, technical simulation, red-team exercise, atau purple-team exercise dapat membantu organisasi menemukan kelemahan sebelum insiden nyata terjadi.
Penutup: Dari Cybersecurity Awareness Menuju Cyber Resilience
Cyber Threat Detection & Incident Response merupakan kelanjutan logis dari cybersecurity awareness. Awareness membuat manusia lebih waspada. Detection membuat organisasi mampu melihat ancaman. Incident response membuat organisasi mampu bertindak. Recovery dan lessons learned membuat organisasi mampu menjadi lebih tangguh.
Di tengah ancaman yang semakin dinamis, organisasi tidak realistis jika hanya berorientasi pada “mencegah semua serangan”. Target yang lebih realistis dan strategis adalah membangun kemampuan untuk mendeteksi lebih cepat, merespons lebih tepat, membatasi dampak, memulihkan layanan secara aman, dan belajar dari setiap kejadian.
AI akan semakin memainkan peran penting dalam proses tersebut. Namun, teknologi tidak boleh menggantikan governance, kompetensi manusia, dan tanggung jawab pengambilan keputusan. Cyber resilience lahir dari kombinasi teknologi yang tepat, manusia yang kompeten, proses yang teruji, data yang berkualitas, dan kepemimpinan yang memahami risiko.
Pada akhirnya, pertahanan digital bukan hanya tentang bagaimana organisasi menghalangi penyerang masuk. Pertahanan digital juga tentang seberapa cepat organisasi menyadari bahwa sesuatu sedang tidak normal, seberapa tepat organisasi mengambil keputusan, dan seberapa kuat organisasi dapat bangkit setelah serangan.
- Baca juga: The Busyness Trap
Itulah esensi Cyber Threat Detection & Incident Response: bukan sekadar mendeteksi serangan, tetapi menjaga agar sebuah insiden tidak berubah menjadi krisis yang kehilangan kendali. ***
Daftar Referensi
- ENISA. (2025). ENISA Threat Landscape 2025. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
- Forsberg, J., & Frantti, T. (2023). Technical performance metrics of a security operations center. Computers & Security, 135, 103529. https://doi.org/10.1016/j.cose.2023.103529
- Nelson, A., Rekhi, S., Scarfone, K., & Souppaya, M. (2025). Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (NIST SP 800-61 Rev. 3). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-61r3
- Shaked, A., Cherdantseva, Y., Burnap, P., & Maynard, P. (2023). Operations-informed incident response playbooks. Computers & Security. https://doi.org/10.1016/j.cose.2023.103454
- Cevallos, J. F. M., Rizzardi, A., Sicari, S., & Coen-Porisini, A. (2024). NERO: NEural algorithmic reasoning for zeRO-day attack detection in the IoT: A hybrid approach. Computers & Security, 142, 103898. https://doi.org/10.1016/j.cose.2024.103898
- Wu, Y., Hu, Y., Wang, J., Feng, M., Dong, A., & Yang, Y. (2024). An active learning framework using deep Q-network for zero-day attack detection. Computers & Security, 139, 103713. https://doi.org/10.1016/j.cose.2024.103713
- A sequential deep learning framework for a robust and resilient network intrusion detection system. (2024). Computers & Security, 144, 103928. https://doi.org/10.1016/j.cose.2024.103928
- ENISA. (2024). ENISA Threat Landscape 2024. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024
