Bagaimana IT Mengetahui Ada Aktivitas Tidak Wajar di Komputer?

Mengapa Aktivitas Normal Sulit Dibedakan dari yang Berbahaya

Kebanyakan alat keamanan menilai bahaya berdasarkan tanda pengenal yang sudah diketahui. Pendekatan ini bekerja untuk ancaman yang polanya sudah pernah tercatat, tetapi kurang membantu ketika penyimpangan datang dari aktivitas yang secara teknis sah: penyalinan berkas yang diizinkan, unggahan ke penyimpanan awan, atau penggunaan aplikasi yang tidak dilarang.

Karena itu pertanyaan yang lebih tajam bukan “apakah ini berbahaya?”, melainkan “apakah ini menyimpang dari kebiasaan?” Untuk menjawabnya, tim IT perlu tahu terlebih dahulu bagaimana rupa kebiasaan normal di perangkat mereka.

Baseline: Mengenal yang Normal Sebelum Mengejar yang Aneh

Baseline adalah potret aktivitas wajar pada satu perangkat atau satu divisi. Ia mencakup hal-hal seperti program apa yang biasa dijalankan, pada jam berapa, ke server mana koneksi biasanya terjadi, dan berapa banyak data yang umumnya berpindah.

Tanpa baseline, hampir semua hal bisa terlihat aneh, dan hampir tidak ada yang benar-benar menonjol. Dengan baseline, satu proses di luar kebiasaan atau satu koneksi ke alamat asing langsung muncul sebagai sinyal yang layak diperiksa. Inilah alasan mengapa pengamatan yang berjalan terus-menerus lebih berguna daripada pemeriksaan sesekali.

Sinyal yang Paling Sering Menandai Kejanggalan

Dalam praktik, kejanggalan biasanya muncul lewat kombinasi sinyal berikut:

• Program baru muncul tanpa riwayat sebelumnya, terutama jika dijalankan dari lokasi berkas yang tidak biasa.
• Koneksi keluar ke alamat atau domain yang belum pernah dijumpai, termasuk yang memakai protokol QUIC/HTTP3.
• Pembacaan berkas dalam jumlah besar dalam waktu singkat, yang bisa menandakan pengumpulan data untuk dibawa keluar.
• Pemakaian perangkat penyimpanan baru atau tak dikenal yang dicolok ke komputer.
• Unggahan ke layanan awan pribadi, atau penyalinan data ke papan klip serta tangkapan layar beruntun.

Satu sinyal belum tentu berarti insiden, tetapi beberapa sinyal yang muncul berdekatan adalah alasan cukup untuk bertindak.

Membedakan yang Tidak Biasa dari yang Berbahaya

Tidak semua penyimpangan adalah serangan. Karyawan baru, proyek dadakan, atau perubahan proses kerja bisa memunculkan pola yang terlihat aneh namun sepenuhnya sah. Karena itu hasil deteksi perlu dipandang sebagai petunjuk, bukan putusan.

Peran tim IT adalah memberi konteks: siapa yang menjalankan, dalam rangka apa, dan apakah ada penjelasan yang masuk akal. Dari sana, penyimpangan bisa diklasifikasikan sebagai wajar, perlu dipantau, atau perlu ditindak. Kemampuan memberi konteks inilah yang menjaga deteksi tetap akurat tanpa memicu kepanikan berlebihan.

Dari Sinyal ke Peringatan Tanpa Banjir Alarm

Kesalahan umum berikutnya adalah alarm yang terlalu banyak. Jika setiap koneksi atau setiap program baru memicu peringatan, tim IT akan berhenti memperhatikannya, dan peringatan yang benar-benar penting ikut tenggelam.

Penanganan yang lebih baik berfokus pada pola: bukan satu peristiwa tunggal, melainkan kombinasi yang jarang terjadi, seperti pembacaan data besar yang diikuti unggahan ke luar jaringan dalam waktu singkat. Dengan begitu, peringatan menjadi lebih sedikit tetapi lebih bermakna, dan tindakan yang diambil benar-benar berdasar.

Deteksi Berbasis Bukti, Bukan Firasat

Pada akhirnya, kemampuan mengenali aktivitas tidak wajar bertumpu pada catatan. Tanpa jejak yang tersimpan, sebuah keanehan hanya menjadi dugaan yang cepat menguap. Dengan jejak yang rapi, tim IT dapat menelusuri kembali apa yang terjadi, kapan, melibatkan program apa, dan menyentuh data apa.

Jejak seperti ini juga menjadi bekal berharga saat perusahaan harus menjelaskan penanganan insiden, baik kepada manajemen maupun kepada pihak yang memeriksa kepatuhan terhadap aturan pelindungan data pribadi.

Mengukur Apakah Deteksi Benar-Benar Bekerja

Program deteksi juga perlu dinilai, bukan hanya dijalankan. Tanpa pengukuran, tim IT tidak tahu apakah sistem benar-benar menangkap kejanggalan atau justru membebani dengan peringatan yang tidak berguna. Beberapa ukuran sederhana berikut cukup membantu.

• Waktu deteksi. Berapa lama jeda antara munculnya penyimpangan dan peringatan pertama? Semakin pendek, semakin besar peluang respons cepat.
• Rasio peringatan berguna. Dari sekian peringatan, berapa yang benar-benar berujung pada pemeriksaan bermakna? Rasio yang rendah menandakan ambang perlu disetel.
• Cakupan perangkat. Seberapa besar porsi endpoint yang benar-benar terpantau, termasuk perangkat lapangan dan perangkat yang jarang menyala.
• Kelengkapan jejak. Apakah catatan menyimpan cukup konteks, seperti proses, koneksi, dan berkas, untuk merekonstruksi kejadian.

Ukuran ini sebaiknya ditinjau berkala, misalnya setiap kuartal, dan dibandingkan antarwaktu. Perbaikan kecil pada ambang peringatan atau cakupan perangkat sering memberi hasil yang lebih besar daripada mengganti alat.

Yang terpenting, pengukuran diarahkan pada tujuan akhir: seberapa cepat perusahaan dapat mengetahui dan menindak penyimpangan nyata. Angka-angka itu juga berguna saat menjelaskan kepada manajemen bahwa investasi pengamatan memberi hasil, bukan sekadar menambah biaya operasional.

Sebagai pelengkap, libatkan tim IT yang menjalankan pemantauan sehari-hari saat menilai ukuran tersebut. Mereka yang paling tahu peringatan mana yang sering keliru dan perangkat mana yang sulit dijangkau. Masukan dari lapangan sering mengungkap penyebab yang tidak terlihat dari dasbor, misalnya perangkat lapangan yang jarang terhubung sehingga jejaknya bolong. Memperbaiki hal semacam ini umumnya lebih berdampak daripada menambah fitur baru. Dengan begitu, pengukuran tidak berhenti pada angka, tetapi berujung pada perbaikan yang nyata.

Tetapkan juga siapa yang bertanggung jawab meninjau angka-angka ini dan seberapa sering. Tanpa pemilik yang jelas, hasil pengukuran hanya menjadi laporan yang jarang dibaca, dan perbaikan tidak pernah terjadi.