Dalam proses pengembangan sistem, tim keamanan tidak hanya perlu mengetahui ancaman apa yang mungkin terjadi, tetapi juga memahami bagaimana ancaman tersebut dapat diwujudkan oleh seorang penyerang. Sebuah kelemahan sering kali tidak berdiri sendiri. Penyerang biasanya memanfaatkan serangkaian langkah yang saling berkaitan untuk mencapai tujuan tertentu, seperti mencuri data, mengambil alih akun, atau mengganggu layanan.
Untuk memahami pola tersebut, salah satu metode yang sering digunakan dalam threat modelling adalah Attack Trees. Metode ini membantu menggambarkan berbagai kemungkinan jalur yang dapat ditempuh penyerang untuk mencapai targetnya. Dengan melihat setiap kemungkinan secara terstruktur, tim pengembang dapat mengenali titik lemah pada sistem dan menentukan langkah mitigasi yang paling efektif.
Attack Trees banyak digunakan dalam analisis keamanan aplikasi, sistem cloud, perangkat Internet of Things (IoT), layanan keuangan, hingga sistem berbasis Artificial Intelligence. Selain mudah dipahami, metode ini juga membantu meningkatkan komunikasi antara tim pengembang, arsitek sistem, dan tim keamanan.
1. Apa Itu Attack Trees?
Attack Trees adalah metode analisis keamanan yang menggambarkan berbagai cara yang dapat dilakukan penyerang untuk mencapai suatu tujuan.
Metode ini menggunakan bentuk pohon (tree), di mana tujuan utama penyerang ditempatkan pada bagian paling atas sebagai akar (root), sedangkan berbagai langkah atau kondisi yang diperlukan untuk mencapai tujuan tersebut digambarkan sebagai cabang-cabang.
Melalui pendekatan ini, tim dapat melihat hubungan antara berbagai kemungkinan serangan secara lebih sistematis.
2. Mengapa Attack Trees Digunakan?
Tidak semua serangan dilakukan dengan satu langkah sederhana.
Dalam banyak kasus, penyerang harus melewati beberapa tahapan sebelum berhasil mencapai targetnya. Misalnya, memperoleh akses awal, meningkatkan hak akses, kemudian mengambil data yang diinginkan.
Attack Trees membantu tim memahami urutan tersebut sehingga lebih mudah menentukan titik mana yang paling efektif untuk diperkuat.
Selain itu, metode ini membantu tim melihat berbagai alternatif jalur serangan yang mungkin tidak terpikirkan sebelumnya.
3. Struktur Dasar Attack Trees
Attack Trees terdiri atas beberapa bagian utama.
Tujuan Penyerang
Bagian paling atas pohon berisi tujuan utama yang ingin dicapai.
Contohnya:
- memperoleh data pelanggan;
- mengambil alih akun administrator;
- mengganggu layanan;
- mencuri informasi rahasia.
Tujuan inilah yang menjadi fokus seluruh analisis.
Cabang Ancaman
Di bawah tujuan utama terdapat berbagai kemungkinan langkah yang dapat dilakukan penyerang.
Satu tujuan dapat memiliki beberapa jalur berbeda yang semuanya berpotensi menghasilkan hasil yang sama.
Langkah-Langkah Serangan
Setiap cabang dapat dipecah lagi menjadi langkah yang lebih rinci.
Misalnya, untuk memperoleh akses ke akun administrator, penyerang mungkin mencoba:
- mencuri kredensial;
- mengeksploitasi kelemahan autentikasi;
- memanfaatkan kesalahan konfigurasi;
- melakukan rekayasa sosial (social engineering).
Semakin rinci pohon dibuat, semakin mudah tim memahami hubungan antar langkah serangan.
4. Cara Menggunakan Attack Trees dalam Threat Modelling
Penerapan Attack Trees umumnya dilakukan melalui beberapa tahapan berikut.
Menentukan Target yang Ingin Dilindungi
Langkah pertama adalah menentukan aset atau layanan yang menjadi fokus analisis.
Misalnya:
- data pelanggan;
- sistem pembayaran;
- API;
- layanan cloud;
- model Artificial Intelligence.
Menentukan Tujuan Penyerang
Selanjutnya, tim mendefinisikan tujuan yang mungkin ingin dicapai oleh penyerang terhadap aset tersebut.
Menyusun Jalur Serangan
Setelah tujuan ditentukan, seluruh kemungkinan langkah yang dapat dilakukan penyerang dipetakan dalam bentuk cabang pohon.
Tim dapat memanfaatkan pengalaman, hasil pengujian keamanan, maupun referensi seperti STRIDE untuk membantu proses ini.
Menganalisis Setiap Jalur
Setiap cabang kemudian dievaluasi untuk mengetahui:
- kemungkinan terjadinya;
- tingkat kesulitan eksploitasi;
- dampak terhadap organisasi;
- langkah mitigasi yang dapat diterapkan.
5. Kelebihan Attack Trees
Attack Trees memiliki beberapa keunggulan dibandingkan pendekatan yang hanya berupa daftar ancaman.
Beberapa manfaatnya antara lain:
- memvisualisasikan jalur serangan secara lebih jelas;
- membantu memahami hubungan antar ancaman;
- mempermudah diskusi antar anggota tim;
- mendukung proses penilaian risiko;
- membantu menentukan prioritas mitigasi berdasarkan jalur serangan yang paling berbahaya.
Karena bentuknya mudah dipahami, metode ini juga sering digunakan sebagai alat komunikasi dalam proyek pengembangan sistem.
6. Contoh Penerapan
Sebuah perusahaan mengembangkan aplikasi perbankan digital yang memungkinkan pengguna melakukan transaksi melalui perangkat seluler.
Dalam proses threat modelling, tim menetapkan tujuan utama penyerang adalah mengakses data rekening nasabah.
Selanjutnya, tim menyusun Attack Tree yang menunjukkan beberapa kemungkinan jalur serangan, seperti mencuri kredensial pengguna, memanfaatkan kelemahan autentikasi, mengeksploitasi API yang tidak terlindungi, atau memperoleh hak akses administrator melalui kesalahan konfigurasi.
Setelah seluruh jalur dianalisis, tim memutuskan untuk memperkuat autentikasi multifaktor, membatasi hak akses berdasarkan peran, meningkatkan keamanan API, serta memperketat proses pemantauan aktivitas.
Pendekatan tersebut membantu organisasi memahami jalur serangan sebelum aplikasi digunakan oleh pelanggan.
7. Kapan Attack Trees Sebaiknya Digunakan?
Attack Trees sangat bermanfaat ketika organisasi ingin memahami bagaimana sebuah serangan dapat berkembang dari langkah awal hingga mencapai target akhir.
Metode ini cocok digunakan pada:
- aplikasi web;
- layanan cloud;
- sistem keuangan;
- perangkat IoT;
- sistem industri;
- platform berbasis Artificial Intelligence;
- infrastruktur yang memiliki banyak komponen saling terhubung.
Pada sistem yang kompleks, visualisasi jalur serangan membantu tim membuat keputusan keamanan yang lebih tepat.
Penutup
Threat modelling tidak hanya bertujuan mencatat ancaman yang mungkin muncul, tetapi juga memahami bagaimana ancaman tersebut dapat diwujudkan dalam kondisi nyata. Attack Trees memberikan cara yang sistematis untuk menggambarkan berbagai kemungkinan jalur serangan sehingga hubungan antar ancaman menjadi lebih mudah dipahami.
Dengan memanfaatkan metode ini, organisasi dapat mengenali titik-titik yang paling rentan, menentukan prioritas mitigasi, dan memperkuat keamanan sebelum sistem digunakan. Pendekatan tersebut membantu tim membangun sistem yang lebih tangguh karena keputusan keamanan didasarkan pada pemahaman menyeluruh mengenai cara penyerang mencapai targetnya, bukan hanya pada daftar risiko yang bersifat umum.
