MITRE ATT&CK: Pengertian dan Cara Menggunakannya

MITRE ATT&CK adalah basis pengetahuan terbuka tentang taktik dan teknik yang dipakai penyerang, disusun dari pengamatan nyata di lapangan. Tim keamanan memakainya sebagai bahasa bersama untuk menggambarkan serangan, menilai kemampuan deteksi, dan merencanakan pengujian, sehingga kerangka ini muncul hampir di setiap pembahasan threat intelligence dan red team.

Apa Itu MITRE ATT&CK?

Situs resminya menyebut ATT&CK sebagai basis pengetahuan taktik dan teknik adversary yang tersedia secara global dan berdasarkan pengamatan dunia nyata. Nama ATT&CK merupakan singkatan dari Adversarial Tactics, Techniques, and Common Knowledge. Sektor swasta, pemerintah, serta komunitas produk dan layanan keamanan menggunakannya untuk membangun model ancaman dan metodologi.

Penting dipahami bahwa ATT&CK bukan alat pemindai, bukan produk, dan bukan standar kepatuhan. Ia adalah katalog perilaku. Nilainya terletak pada kesepakatan istilah: ketika analis di dua organisasi berbeda menyebut sebuah teknik dengan ID yang sama, mereka sedang membicarakan hal yang sama.

Struktur ATT&CK: Taktik, Teknik, dan Sub-Teknik

ATT&CK tersusun sebagai matriks. Kolomnya adalah taktik, yaitu tujuan penyerang pada satu tahap. Di dalam setiap taktik ada teknik, yaitu cara mencapai tujuan itu, dan sebagian teknik memiliki sub-teknik yang lebih spesifik. Selain itu ada entri kelompok (groups), perangkat lunak, dan kampanye yang mengaitkan perilaku dengan pelaku dan insiden yang diketahui, plus mitigasi dan strategi deteksi.

Ada tiga matriks utama: Enterprise (komputer, jaringan, cloud), Mobile, dan ICS (sistem kendali industri). Menurut halaman pembaruan resmi MITRE, rilis v20 pada 13 Oktober 2026 memuat untuk matriks Enterprise 15 taktik, 227 teknik, dan 479 sub-teknik. Angka ini bergeser tiap rilis, jadi periksa versi terbaru sebelum mengutipnya.

Lima belas taktik Enterprise

1. Reconnaissance (TA0043): mengumpulkan informasi untuk merencanakan operasi.
2. Resource Development (TA0042): menyiapkan sumber daya pendukung.
3. Initial Access (TA0001): masuk ke jaringan target.
4. Execution (TA0002): menjalankan kode atau instruksi.
5. Persistence (TA0003): mempertahankan pijakan.
6. Privilege Escalation (TA0004): memperoleh izin lebih tinggi.
7. Stealth (TA0005): menyamarkan tindakan agar tampak normal.
8. Defense Impairment (TA0112): menonaktifkan mekanisme keamanan.
9. Credential Access (TA0006): mencuri nama akun dan kata sandi.
10. Discovery (TA0007): mempelajari lingkungan target.
11. Lateral Movement (TA0008): berpindah antarsistem.
12. Collection (TA0009): mengumpulkan data yang diincar.
13. Command and Control (TA0011): berkomunikasi dengan sistem yang dikuasai.
14. Exfiltration (TA0010): mengambil data keluar.
15. Impact (TA0040): memanipulasi, mengganggu, atau merusak sistem dan data.

Jika Anda pernah melihat versi lama, perhatikan bahwa rilis v19 pada April 2026 memecah taktik Defense Evasion menjadi dua: Stealth dan Defense Impairment. Materi atau laporan lama mungkin masih memakai nama sebelumnya.

Cara Menggunakan MITRE ATT&CK

1. Memetakan laporan ancaman

Saat membaca laporan tentang sebuah kelompok atau malware, petakan perilakunya ke ID teknik ATT&CK. Dengan begitu Anda dapat membandingkan berbagai laporan dan melihat pola yang sama, tanpa terjebak pada istilah masing-masing vendor.

2. Menilai cakupan deteksi

Tandai teknik mana yang sudah dapat dideteksi oleh log dan aturan di SIEM atau EDR Anda, lalu lihat celahnya. Aplikasi ATT&CK Navigator dibuat untuk keperluan ini: ia memungkinkan Anda mewarnai dan memberi catatan pada matriks dalam bentuk layer, misalnya untuk menggambarkan cakupan pertahanan atau teknik yang dipakai kelompok tertentu. Penerapannya di SOC bisa Anda pelajari dari artikel SIEM.

3. Merencanakan red team dan purple team

Tim penguji dapat memilih teknik yang relevan dengan ancaman terhadap sektor organisasi, lalu bersama tim pembela memeriksa apakah aktivitas itu tertangkap. Pola kerja sama ini dijelaskan di artikel red team, blue team, dan purple team. Seluruhnya dilakukan dengan izin tertulis dan ruang lingkup yang disepakati.

4. Menyusun laporan dan respons insiden

Dalam penanganan insiden, ID teknik membantu mendokumentasikan apa yang dilakukan penyerang, tahap mana yang terlewat oleh deteksi, dan perbaikan apa yang perlu diprioritaskan.

5. Merancang kontrol dan pelatihan

Setiap teknik memiliki mitigasi dan, pada rilis terbaru, strategi deteksi yang dapat dijadikan acuan. Rilis v20 menambahkan sejumlah teknik terkait AI, seperti direct dan indirect prompt injection serta AI-enabled exfiltration, sehingga kerangka ini juga relevan untuk sistem yang memakai AI.

Contoh Membaca Satu Taktik: Reconnaissance

Untuk melihat bagaimana ATT&CK bekerja, ambil taktik Reconnaissance (TA0043). Halaman resminya mendefinisikannya sebagai pengumpulan informasi untuk merencanakan operasi berikutnya dan mencantumkan 12 teknik, di antaranya Active Scanning, Gather Victim Network Information, Search Open Technical Databases, dan Search Open Websites/Domains. Setiap teknik memiliki sub-teknik, misalnya informasi DNS di bawah Gather Victim Network Information.

Dari sisi pembela, pemetaan ini memunculkan pertanyaan praktis: informasi apa tentang organisasi kami yang tersedia di basis data teknis terbuka, dan apakah ada pemindaian yang tercatat di log perimeter kami? Konsep tersebut dibahas lebih dalam di artikel footprinting dalam penetration testing. Latihan serupa dapat Anda ulangi untuk taktik lain, selalu dengan fokus pada deteksi, pencegahan, dan respons.

Keterbatasan yang Perlu Diingat

• Bukan daftar periksa. Menutup semua kotak pada matriks tidak berarti aman. Satu teknik dapat dilakukan dengan banyak cara, dan kualitas deteksi lebih penting daripada sekadar ada tidaknya aturan.
• Tidak menggantikan dasar keamanan. Patching, MFA, segmentasi, dan pencadangan tetap menjadi fondasi.
• Selalu berubah. MITRE merilis pembaruan berkala, jadi pemetaan lama perlu ditinjau ulang.
• Butuh data. Tanpa log yang memadai, pemetaan hanya menjadi angan-angan.

Pertanyaan yang Sering Diajukan

Apa kepanjangan ATT&CK?

Adversarial Tactics, Techniques, and Common Knowledge. Istilah ini menekankan bahwa isinya adalah pengetahuan umum tentang perilaku penyerang.

Apakah MITRE ATT&CK gratis?

Ya, basis pengetahuannya dapat diakses secara terbuka di situs resmi MITRE, termasuk Navigator di GitHub. Pastikan Anda membaca ketentuan penggunaan di situs resminya sebelum memakainya dalam produk komersial.

Apa bedanya taktik, teknik, dan prosedur?

Taktik adalah tujuan penyerang, teknik adalah cara mencapainya, dan prosedur adalah implementasi spesifik yang dipakai kelompok atau perangkat lunak tertentu. Ketiganya sering disingkat TTP.

Siapa yang perlu mempelajari ATT&CK?

Analis SOC, threat hunter, penguji penetrasi, dan manajer keamanan sama-sama mendapat manfaat. Pemula dapat mulai dari satu taktik, misalnya Reconnaissance, lalu membaca teknik di dalamnya.

Kesimpulan

MITRE ATT&CK menyatukan cara kita membicarakan serangan, mengukur deteksi, dan merencanakan pengujian. Mulailah dari matriks Enterprise, pelajari satu taktik demi satu, dan hubungkan dengan log yang benar-benar Anda miliki. Jika Anda ingin tim Anda mempraktikkannya secara terarah, Linuxhackingid menyediakan pelatihan untuk tim dan perusahaan.