FIELD POSTER // RECONNAISSANCE // MITRE ATT&CK TA0043

RECON — MATA PERTAMA
DI KEDUA SISI

Satu fase, dua pekerjaan. Penyerang memetakan permukaan sebelum menyentuh; analis SOC membaca jejak pemetaan itu di log sebelum menjadi akses awal. Poster ini merangkum keduanya: dari lapisan jaringan sampai aturan Suricata, dari playbook Red sampai heatmap cakupan deteksi Blue.

Teknik ATT&CK

Sensor Log

Lapisan Recon

Langkah Playbook

Sel Cakupan

<60s

Target MTTD

01Posisi & Definisi Formal

Kill Chain: Recon Selalu No.1

Cyber Kill Chain (Lockheed Martin) dan MITRE ATT&CK sepakat: pengintaian mendahului segalanya. Taktik TA0043 terdiri dari 8 teknik (T1590–T1598) — bahasa bersama Red dan Blue.

Reconmengintai target

Resource Devinfra & payload

Deliverykanal serangan

Exploitationjebol celah

Installationpasang implan

C2jalur kendali

Actionsdampak / tujuan

Implikasi defensifnya tegas: jika TA0043 terdeteksi dan direspons sebelum delivery, seluruh rantai berikutnya batal. Deteksi recon adalah counter paling awal — dan termurah.

02Dua Mode Pengintaian

Pasif = Bertanya ke Pihak Ketiga. Aktif = Mengetuk Pintu.

Perbedaan satu-satunya yang penting bagi Blue: apakah paket sampai ke target. Sampai = ada log; tidak sampai = pertahanannya di sisi publikasi data, bukan di sensor.

PASIF / OSINTT1596 · T1593

Target tak menerima satu paket pun. Kamu membaca catatan publik tentangnya: WHOIS, DNS, log sertifikat, indeks mesin pencari.

Kebisingan≈0

KecepatanCEPAT

KemutakhiranCACHE

Catatan Blue // tak ada yang bisa dideteksi di jaringanmu. Pertahankan lewat EASM: jalankan kueri yang sama atas domainmu sendiri, rapikan apa yang ditemukan.

AKTIF / SCANT1595 · T1592

Paket keluar dari mesinmu menuju target: ping sweep, SYN scan, banner grab, brute direktori. Target — dan sensornya — ikut bicara.

KebisinganTINGGI

KecepatanCEPAT

KemutakhiranREAL-TIME

Catatan Blue // seluruh bab deteksi hidup di sini. Volume + rasio (1 sumber → banyak tujuan/port/404) adalah sinyal yang tak bisa dibohongi scan jujur.

03Apa yang Ditemukan Recon

Attack Surface: Tumpukan dari Domain ke Manusia

Recon menghasilkan peta berlapis. Tiap lapisan di bawah membuka lapisan berikutnya — dan tiap lapisan punya jawaban defensifnya sendiri.

L0Domain & OrganisasiNama, registrar, nameserver, umur aset, email publik, struktur subdomain.whoiscrt.shdork
L1DNS & Nama LayananRekaman A/AAAA, MX, TXT, CNAME — jembatan nama → alamat → layanan.dighostdnsrecon
L2Rentang IP & Host HidupSubnet /24, host yang menjawab, MAC → vendor virtualisasi, hop traceroute.nmap -snarp-scanfping
L3Port & LayananPort terbuka, status open/closed/filtered, fingerprint versi per layanan.nmap -sVnc banner
L4Aplikasi Web & CMSStack (Apache/PHP), direktori tersembunyi, plugin WP, endpoint API.whatwebgobusterwpscan
L5Manusia & IdentitasDaftar email, nama karyawan/user, kredensial bocor — bahan fase sosial.theHarvesterwp-json/users

04Recon per Lapisan Jaringan

L3 · L4 · L7 — Tiap Lapisan, Alat & Kebisingannya

Skala kebisingan naik bersama kedalaman: semakin tinggi lapisannya, semakin kaya data — dan semakin mudah terekam log aplikasi.

L3Network

Pertanyaan: siapa yang hidup di sana?

ping sweepSINYAP
arp-scanLOKAL
tracerouteMID

L4Transport

Pertanyaan: port mana yang terbuka & versinya?

-sS SYNMID
-sT connectTINGGI
-sV versiTINGGI
-sX/-sN/-sFANOMALI

L7Application

Pertanyaan: apa yang jalan di balik pintu?

curl -ISENDAWA
whatwebMID
gobusterBANJIR
wpscanBANJIR

Sinyal penting untuk Blue: L3/L4 hanya terlihat oleh sensor jaringan (Suricata/Zeek/NetFlow/firewall), sedangkan L7 menulis lognya sendiri di server — dua dunia sensor yang harus dikorelasikan di SIEM.

05Sisi Ofensif — Disiplin 6 Langkah

Playbook Red: Pasif → Aktif → Peta

Urutan bukan gaya-gayaan — tiap eskalasi menaikkan kebisingan, jadi ia selalu berjalan dari yang paling senyap. Contoh diarahkan ke unit lab terizinkan 172.16.20.20X.

STEP 01 // SCOPINGKunci Batas Sebelum Paket Pertama

Catat unit milikmu, jadwal, dan format bukti (tee/-oA). Tanpa scoping tertulis, "recon" dan "pelanggaran" hanya dipisahkan kebetulan.

STEP 02 // PASIFPetakan Nama & Aset Publik

whois abdurrozak.my.id && dig +short dvwa1.abdurrozak.my.id

Jejak bagi Blue: tidak ada — nol paket ke target.

STEP 03 // DISCOVERYKonfirmasi Host Hidup

nmap -sn 172.16.20.20X && nmap -Pn 172.16.20.20X

Jejak: banjir ICMP/ARP satu-sumber → banyak tujuan.

STEP 04 // ENUMERASIPort, Layanan, Versi

nmap -sV -T4 --open 172.16.20.20X -oA recon/unit0X

Jejak: pola SYN tanpa handshake selesai ke puluhan port.

STEP 05 // WEB RECONBedah Permukaan Aplikasi

whatweb http://dvwa1… && gobuster dir -u http://dvwa1… -w common.txt -x php,txt

Jejak: 404/403 beruntun + User-Agent tool di access.log.

STEP 06 // KORELASISusun Peta → Daftar Kandidat

Satukan temuan jadi tabel: layanan → versi → path menarik → hipotesis kerentanan. Output ini adalah input resmi fase vulnerability analysis — bukan bahan eksploitasi liar.

06Sisi Defensif — Cakupan Deteksi

Heatmap: Teknik × Sensor

Matriks cakupan adalah alat SOC paling jujur: hijau = sensor menangkap penuh, amber = parsial (butuh korelasi/tuning), abu = buta total. Arahkan kursor / klik sel untuk membaca alasannya.

CAKUPAN PENUH PARSIAL / TUNING BUTA — TAK TEREKAM KOLOM: 6 SENSOR · BARIS: 8 TEKNIK

Baris paling bawah adalah pelajaran terpenting: OSINT pasif tidak menyentuh satu sensor pun — satu-satunya pertahanan adalah menjalankan kueri yang sama terhadap asetmu sendiri dan menambal yang bocor (EASM).

07Detection Engineering

Anatomi Sebuah Rule Suricata

Satu aturan deteksi SYN-scan, dibedah bagian per bagian — setiap potongan punya alasan eksistensinya. Salin, tempel di lab, lihat alertmu sendiri.

alert tcp $EXTERNAL_NET any -> $HOME_NET any (
  msg:"RECON SYN scan";
  flags:S;  flow:stateless;
  detection_filter:track by_src, count 30, seconds 10;
  sid:1000002; rev:1; )

action: alertBeri tanda, jangan drop — memutus lalu lintas berdasarkan rate rawan memotong pengguna sah.

header tcp … any -> anySemua port tujuan: scanner menyentuh banyak port; mempersempit di sini justru buta.

flags:S + flow:statelessCocokkan SYN mentah tanpa state koneksi — inilah bentuk khas -sS.

detection_filter by_srcRate >30/10 detik per sumber. Ambang tuning: naikkan bila scanner internal memicu FP.

sid + revIdentitas aturan — wajib unik lokal (≥1000000); rev naik tiap perubahan agar terlacak.

08Simulator — Pilih Teknikmu

Kebisingan vs Kualitas Data: Tidak Ada Yang Gratis

Setiap teknik menukar kecepatan, kemutakhiran data, dan jejak. Pilih kartu — keempat meter dan panduan dua sisi berubah.

—

KEBISINGAN0

KECEPATAN0

KUALITAS DATA0

KESULITAN DETEKSI0

UNTUK RED //—

UNTUK BLUE //—

09Mengecilkan Target

Hardening: Sebelum & Sesudah

Deteksi adalah jaring pengaman; hardening menghilangkan sasaran. Empat baris konfigurasi menghapus dua fingerprint yang paling mempercepat pemilihan CVE.

SEBELUM — HEADER BOCOR

curl -sI http://dvwa1.abdurrozak.my.id

Server: Apache/2.4.57 (Debian)
X-Powered-By: PHP/8.2.7
Set-Cookie: PHPSESSID=…

→ versi web server + runtime backend
  langsung terbaca → CVE terpilih
  dalam hitungan detik

SESUDAH — BANNER DITATA

# security.conf: ServerTokens Prod
# php.ini:        expose_php = Off

curl -sI http://dvwa1.abdurrozak.my.id

Server: Apache
→ tanpa versi: penyerang menebak,
  menebak = waktu + noise yang
  bisa dilihat SOC-mu

✓ServerTokens Prod + expose_php OffBuang versi dari semua header — detik pertama recon jadi sia-sia.

✓allow-transfer { none; }Tutup AXFR; tiap percobaan jadi log "rejected" yang mencurigakan.

✓fail2ban: sshd + apache-404Brute & dir-scanning dibalas ban otomatis per IP.

✓Canary path + endlesshPort palsu menahan scanner; berkas umpan membunyikan alert pasti-scanning.

10Mengukur Kedua Sisi

Loop Purple: Serang → Deteksi → Harden → Ulangi

Tim matang tidak bertarung — mereka mengukur. Empat metrik di bawah + satu loop yang harus berputar tiap sprint.

<60s

MTTD Recon

Dari probe pertama ke alert. Scan T4 harus ketahuan dalam semenit.

Cakupan Deteksi

Teknik TA0043 dengan rule teruji. Target: naik tiap sprint.

Rasio False Positive

Alert recon yang ternyata scanner sah — turunkan dengan kecualian, bukan dengan mematikan rule.

↓tren

Permukaan Terpapar

Port & subdomain eksternal. Tren turun = kebersihan aset naik.

Loop berputar per teknik, bukan per proyek. Kolom "GELAP" pada matriks adalah backlog keamanan yang paling jujur: teknik yang tahu kita rawan, tapi belum punya jawaban.

SCOPE LAB // kali unit: 172.16.20.201–209 · root / lab target web: dvwaN · vulnN · wpN .abdurrozak.my.id HANYA UNIT PENUGASANMU — di luar itu = pelanggaran

RECON — MATA PERTAMADI KEDUA SISI