RECONNAISSANCE
OFENSIF & DEFENSIF

Recon dalam Kill Chain & MITRE ATT&CK

Setiap intrusi serius dimulai dari hal yang sama: seseorang menonton sebelum menyentuh. Dalam Cyber Kill Chain Lockheed Martin, reconnaissance adalah mata rantai pertama. Dalam kerangka MITRE ATT&CK, ia menjadi taktik resmi bernomor TA0043 — dan karena tertata rapi sebagai teknik (T15xx), taktik ini menjadi bahasa bersama antara tim merah yang melakukannya dan tim biru yang harus mendeteksinya.

Peta Teknik TA0043 — Klik untuk Detail

Dua Sisi Koin: Red & Blue

Recon yang sama dibaca dua kalangan dengan pertanyaan berbeda. Penyerang bertanya "apa yang bisa kumanfaatkan?". SOC bertanya "aktivitas apa yang seharusnya memicu kecurigaan, dan apakah aku bisa melihatnya?". Ebook ini menaruh keduanya berdampingan — panel merah untuk penyerang, panel cyan untuk defender. Gunakan tombol LENS di bilah atas untuk membaca dari satu sudut pandang saja.

Segitiga Kewajiban Recon

Fondasi Teknis: Yang Berdetak di Bawah Recon

Tools melaporkan "open/filtered", tapi pemahaman datang dari bit di dalam paket. Lima hal ini wajib mantap sebelum melanjutkan.

1 — Handshake TCP & Flag

# KONEKSI NORMAL:
klien → SYN      "mau bicara?"
server → SYN-ACK "boleh, siapkan koneksi"
klien → ACK      "terhubung"   ← handshake selesai, log aplikasi tercatat

# SYN SCAN (-sS):
klien → SYN
server → SYN-ACK  ← port TERBUKA (cukup satu balasan untuk tahu)
klien → RST       ← langsung putus; koneksi tak pernah established

# PORT TERTUTUP: server membalas RST — juga informasi berharga!

2 — Status HTTP yang Harus Dipahami

• 200 ada · 301/302 pindah · 403 ada tapi dilarang — 403 adalah pengakuan bersalah, path-nya ada! · 404 tak ada (menjadi sinyal enumerasi di Bab 9) · 500 server jatuh — kadang cukup input jahat.

3 — DNS & Port sebagai Kontrak

Domain hanyalah nama; rekaman DNS (A/NS/MX/TXT) yang memetakan layanan nyata. Port adalah nomor kontrak: 22 SSH, 80/443 HTTP(S), 53 DNS — daftar lengkap ada di CHEATSHT-01. Keduanya menjadi target utama Bab 4–6 dan objek deteksi Bab 9.

OSINT & Recon Pasif — Red Mengintai, Blue Menambal Bocoran

Pasif berarti bertanya ke pihak ketiga — target tak menerima satu paket pun. Untuk penyerang ini fase termurah dan tersenyap; untuk defender, ini fase yang paling sering dilupakan karena tidak ada log yang bisa dibaca — yang bocor bocor di luar jaringanmu. Satu-satunya pertahanan: kelola apa yang dipublikasikan.

whois abdurrozak.my.id                          # pemilik, nameserver, umur
dig +short dvwa1.abdurrozak.my.id             # domain → IP unit
dig axfr abdurrozak.my.id @ns1.abdurrozak.my.id  # uji zona transfer
curl -s "https://crt.sh/?q=%25.abdurrozak.my.id&output=json" \
  | jq -r '.[].name_value' | sort -u          # subdomain via CT log
theHarvester -d abdurrozak.my.id -b duckduckgo -l 50

Host Discovery & Port Scan — Di Mana Jejaknya?

Fase aktif pertama: siapa hidup, apa yang terbuka. Setiap flag di kolom merah di bawah punya padanan di kolom biru — karena setiap paket yang keluar dari mesin penyerang berpotensi diserap sensor di jalurnya.

nmap -sn 172.16.20.20X                    # 1. hidup? (ICMP/ARP)
nmap -Pn 172.16.20.20X                    # 2. ICMP difilter? paksa
nmap -sS -T4 172.16.20.20X                # 3. SYN scan cepat
nmap -sV -T4 --open 172.16.20.20X -oA recon/unit0X   # 4. versi + arsip
nmap -sF -sX -sN 172.16.20.20X            # 5. FIN/Xmas/Null — cek firewall

Enumerasi Layanan & Web — Aplikasi Ikut Bercerita

Port terbuka hanyalah pintu; aplikasi di baliknya yang bercerita. Di fase ini banner SSH, header Apache, dan perilaku 404 web server menjadi sumber intel — dan, bagi SOC, sumber sinyal yang sangat kaya karena log aplikasi selalu terekam.

curl -sI http://dvwa1.abdurrozak.my.id       # header: Server, X-Powered-By
whatweb http://dvwa1.abdurrozak.my.id        # fingerprint stack
gobuster dir -u http://dvwa1… \
  -w /usr/share/wordlists/dirb/common.txt -x php,txt,bak -t 30
wpscan --url http://wp1.abdurrozak.my.id --enumerate u,t,p
curl -s http://wp1…/wp-json/wp/v2/users | jq  # user WP tanpa login
nc -nv 172.16.20.20X 22                     # banner SSH — lalu Ctrl+C

Evasion — Ketika Penyerang Membaca Bab Ini Juga

Penyerang yang baik tahu aturan deteksi standar — dan bermain di bawah ambangnya. Bab ini diarahkan dua arah: memahami teknik senyap (untuk mengujinya di lab, atas unit sendiri) dan mengapa setiap teknik tetap meninggalkan bentuk jejak lain.

Telemetri — Apa yang Sebenarnya Terekam

Sebelum menulis satu pun aturan, SOC wajib tahu siapa yang mencatat apa. Ini inventaris sumber telemetri untuk target semacam unit lab — tiap barisnya akan dipakai ulang oleh matriks deteksi di Bab 9.

Detection Matrix — Dari Teknik ke Aturan

Inti buku ini. Setiap baris: teknik serangan → bukti log mentahnya → aturan deteksi siap pakai → hardening penutup lubang. Klik baris untuk membuka detail. Semua aturan berformat Suricata (NIDS) atau Sigma (portabel lintas SIEM) — salin dan uji di lab-mu.

Sigma — Format Portabel untuk SIEM

Sigma adalah "YAML untuk deteksi" — sekali menulis, dikonversi ke Elastic/Splunk/QRadar via sigmac. Contoh untuk brute direktori:

title: Web Directory Bruteforce Pattern
status: experimental
logsource:
    product: apache
    service: access
detection:
    sel_status:
        status: |403|404|          # jawaban "tidak ada/dilarang"
    condition: sel_status | count() by client_ip > 50
    timeframe: 1m                 # ambang: 50 gagal/menit/src
falsepositives:
    - scanner keamanan internal (kecualikan IP-nya)
tags:
    - attack.reconnaissance
    - attack.t1595.003

Hardening — Mengecilkan Target Sebelum Ditembak

Deteksi adalah jaring pengaman; hardening adalah menghilangkan sasaran. Filosofinya: setiap bit yang tak perlu diekspos adalah bit yang tak perlu dideteksi. Empat front utama:

1 — Matikan Bocoran Banner

# /etc/apache2/conf-available/security.conf
ServerTokens Prod          # "Server: Apache" saja — tanpa versi
ServerSignature Off
TraceEnable Off            # matikan metode TRACE

# php.ini
expose_php = Off           # buang header X-Powered-By

# /etc/nginx/nginx.conf
server_tokens off;

2 — Kunci DNS

# /etc/bind/named.conf.options
options {
  allow-transfer { none; };   # ATAU daftar IP secondary saja
  version "unknown";         # jangan bocorkan versi BIND
  recursion no;               # bila bukan resolver internal
};

3 — Rate Limiting & Ban Otomatis

# /etc/fail2ban/jail.local
[sshd]
enabled  = true
maxretry = 4
findtime = 10m
bantime  = 1h

[apache-404]                # jail custom utk dir-brute
enabled  = true
filter   = apache-404      # regex: status 404 per IP
logpath  = /var/log/apache2/access.log
maxretry = 40 · findtime = 1m · bantime = 30m

# uji: fail2ban-client status sshd

4 — Ubah Recon Menjadi Sensor: Honeypot & Canary

Lab Terintegrasi — Serang Dirimu, Lalu Baca Jejakmu

Bab ini adalah jantung purple-team ebook ini. Kamu akan menyerang unit yang ditugaskan ke kelompokmu (bukan milik orang lain!), lalu berpindah kursi membaca lognya. Loop lengkapnya: serang → terekam → deteksi → harden → uji ulang.

mkdir -p purple/&&cd purple/
nmap -sS -T4 172.16.20.20X           # 1: SYN scan → amati!
nc -nv 172.16.20.20X 22               # 2: banner grab putus paksa
gobuster dir -u http://dvwaX.abdurrozak.my.id \
  -w /usr/share/wordlists/dirb/common.txt -t 30   # 3: dir brute

# di unit target (ssh [email protected]):

grep 'Did not receive identification' /var/log/auth.log
Did not receive identification string from 172.16.20.Y
↑ jejak langkah 2 — IP sumbermu sendiri!

awk '$9==404 {print $1}' /var/log/apache2/access.log | sort | uniq -c
   54 172.16.20.Y
↑ jejak langkah 3 — 54 x 404 dari satu IP = pola brute

tail -n 5 /var/log/apache2/access.log | grep gobuster
"GET /setup.php HTTP/1.1" 200 … "gobuster/3.6"
↑ UA gobuster terlihat — mudah, tapi mudah dipalsukan: ingat Bab 7

# di unit target: rapikan banner (Bab 10), lalu dari attacker:
curl -sI http://dvwaX.abdurrozak.my.id | grep -i 'server\|powered'
# SEBELUM: Server: Apache/2.4.57 (Debian) · X-Powered-By: PHP/8.2.7
# SESUDAH: Server: Apache            (versi lenyap → hardening terbukti)

# opsional — pasang suricata di unit & lihat alertmu sendiri:
apt install suricata -y && tail -f /var/log/suricata/fast.log

1. Serang (RED).

   Jalankan Langkah A ke unit-mu. Catat timestamp tiap aksi — timestamp adalah kunci join saat membaca log.

2. Baca (BLUE).

   Langkah B. Untuk tiap temuan, isi tabel: aksi → berkas log → baris bukti. Tiga contoh di atas harus kamu reproduksi.

3. Harden.

   Langkah C + satu jail fail2ban. Buktikan dengan before/after.

4. Tulis.

   Serahkan matriks purple (Bab 12) milik unit-mu: teknik yang sudah punya deteksi vs yang masih gelap.

Metrik, Matriks Purple & Ujian Akhir

Matriks Purple-Team — Format Capstone

Setiap teknik serangan wajib punya jawaban di kolom deteksi & hardening. Kolom status diisi setelah pengujian ulang — inilah cara tim mengukur kemajuan secara jujur:

Metrik yang Layak Dilaporkan

• Cakupan deteksi — persentase teknik recon yang punya rule teruji (target: naik per sprint).
• MTTD — waktu dari probe pertama ke alert; untuk scan T4 harusnya < 1 menit.
• Rasio FP — alert recon per hari yang ternyata scanner sah; turunkan dengan kecualian, bukan dengan mematikan rule.
• Permukaan terpapar — jumlah port/subdomain eksternal; tren turun = kebersihan naik.

Kuis Akhir — 8 Soal

Glosarium