Log ada, tetapi tidak ada yang membacanya
Ketika insiden terjadi, tim menyadari mereka tidak bisa merangkai apa yang terjadi. Forensik setelah kejadian tidak akan membuahkan hasil jika log tidak pernah dikumpulkan di satu tempat.
Blue Team Bertenaga AI
Deteksi bertenaga AI, sebelum ancaman berubah menjadi insiden.
Red team menemukan celahnya. Blue team mengawasi siapa pun yang mencoba memanfaatkannya. Lingkungan Anda mendapatkan SIEM dengan deteksi anomali berbasis machine learning, triase alert bertenaga LLM yang merangkum insiden dalam bahasa yang mudah dipahami, dan aturan deteksi yang disetel sesuai cara Anda benar-benar beroperasi. Lalu tim Anda dilatih untuk bertindak atas alert yang penting alih-alih tenggelam dalam false positive.
- SIEM dengan deteksi anomali berbasis ML dan behavioural baselining
- Triase alert bertenaga LLM yang memangkas noise sebesar 60 hingga 80%
- Feed threat intelligence dengan IOC matching dan hunting berbantuan AI
- Runbook dan playbook deteksi yang ditulis untuk tim internal Anda
Tooling open-source dan komersial yang bisa terus dijalankan tim Anda sendiri.
Why
Sebagian besar pelanggaran butuh berbulan-bulan untuk terdeteksi. Milik Anda seharusnya tidak.
Rata-rata, lebih dari 200 hari berlalu antara terjadinya pelanggaran dan saat seseorang menyadarinya. Pada saat itu penyerang sudah bergerak melintasi jaringan Anda, mengambil data, dan menyiapkan jalan untuk kembali masuk. Blue team ada untuk mempersempit jeda itu dari berbulan-bulan menjadi beberapa jam.
Alert keamanan yang tidak dipercaya siapa pun
Ada 300 alert per hari dan 290 di antaranya adalah false positive. Jadi tim berhenti membacanya. Sepuluh alert yang penting tidak pernah diselidiki.
Rencana insiden yang tidak pernah dibaca siapa pun
Ada kebijakan keamanan di suatu tempat. Ketika insiden nyata terjadi, tidak ada yang mengikutinya, karena ia tidak sesuai dengan situasi di depan mata dan mereka tidak pernah melatihnya.
Log tersebar di tiga tempat tanpa ada yang menghubungkannya
Log aplikasi berada di CloudWatch, log jaringan berada di firewall, log host berada di server. Menelusuri satu peristiwa lateral movement berarti mengklik tiga antarmuka berbeda secara manual. Penyerang justru mengandalkan hal itu.
The Process
How we run this engagement.
Each step produces something concrete, comes with a written hand-off, and has to pass a checkpoint before we move on to the next one.
01
Arsitektur logging
Kami merancang bagaimana log Anda dikumpulkan: apa yang harus ditangkap, dari mana asalnya, berapa lama disimpan, dan berapa biayanya. Pembangunannya menggunakan collector Fluentd atau Fluent Bit, standar structured logging, dan pipeline yang tahan saat trafik melonjak alih-alih diam-diam menjatuhkan event.
02
Deployment SIEM
Kami men-deploy dan mengonfigurasi Elastic SIEM, Wazuh, atau yang setara secara cloud-native. Ia dilengkapi dashboard, saved search, dan aturan korelasi yang disetel untuk lingkungan Anda, bukan template generik yang disalin seseorang dari vendor.
03
Aturan deteksi
Kami menulis aturan untuk attack surface yang benar-benar Anda miliki. Itu mencakup pola autentikasi gagal, tanda-tanda lateral movement, eksfiltrasi data, dan upaya privilege escalation. Setiap aturan disetel agar tidak membanjiri tim Anda dengan false positive.
04
Integrasi threat intelligence
Kami menghubungkan feed threat intelligence open-source atau komersial untuk IOC matching, sehingga IP, domain, dan file hash jahat yang sudah diketahui ditandai secara otomatis saat muncul di log Anda.
05
Runbook dan pelatihan tim
Kami menulis playbook deteksi untuk 10 jenis alert teratas Anda, mencakup apa yang harus diperiksa, apa yang harus dieskalasi, dan apa yang harus dilakukan selanjutnya. Sebelum kami menyerahkannya, kami menjalankan tabletop exercise agar Anda tahu playbook itu memang andal.
The Result
What you walk away with.
These are outcomes you can measure, not a slide deck. Here's the change you should expect to see.
Onepipeline log
Semuanya terlihat di satu tempat
Log aplikasi, jaringan, dan host dikorelasikan di dalam satu SIEM. Ketika sesuatu terjadi, gambaran keseluruhan langsung ada di sana alih-alih tersebar di tiga tool.
<10alert false positive/hari
Alert yang benar-benar bisa ditangani tim Anda
Aturan deteksi yang disetel untuk lingkungan Anda menjaga volume alert tetap rendah dan tingkat keyakinan tinggi, sehingga tim Anda bisa membaca setiap alert yang masuk.
Testedplaybook
Runbook yang andal di bawah tekanan
Tim Anda menjalankan tabletop exercise sebelum engagement berakhir, sehingga responsnya sudah dilatih jauh sebelum insiden nyata tiba.
Visibilitas yang bisa diandalkan oleh pekerjaan forensik Anda
Retensi log dan aturan korelasi disiapkan sehingga setelah insiden Anda bisa merekonstruksi persis apa yang terjadi dan mendukungnya dengan bukti.
FAQ
Common questions.
Apakah Anda menjalankan SOC terkelola, atau hanya menyiapkan tooling-nya?
Kami melakukan keduanya. Dalam engagement standar kami men-deploy tooling, menyetel aturan deteksi, dan melatih tim Anda untuk menjalankannya. Jika Anda tidak memiliki tim internal untuk mengoperasikan SOC, kami menawarkan retainer managed detection and response dengan SLA eskalasi yang disepakati.
Bagaimana Anda mencegah SIEM membanjiri kami dengan false positive?
Kami menyetelnya terhadap sebuah baseline. Sebelum menulis aturan deteksi apa pun, kami meluangkan waktu mempelajari seperti apa kondisi normal di lingkungan Anda. Aturan berjalan dalam mode observasi terlebih dahulu, dengan logika pengecualian yang menekan noise, dan baru mulai memunculkan alert setelah rasio sinyal terhadap noise cukup baik.
Sumber threat intelligence mana yang Anda gunakan?
Kami menggunakan feed open-source seperti AlienVault OTX, Emerging Threats, dan abuse.ch sebagai baseline, dan menambahkan feed komersial untuk klien dengan program yang lebih matang. Pilihannya bergantung pada threat model Anda, karena perusahaan fintech menghadapi kumpulan lawan yang sangat berbeda dari startup e-commerce.
SIEM mana yang Anda deploy?
Kami biasanya men-deploy Elastic SIEM atau Wazuh, atau bekerja dengan opsi cloud-native seperti Microsoft Sentinel jika itu lebih cocok dengan stack Anda. Pilihannya bergantung pada logging Anda yang sudah ada, anggaran Anda, dan apakah tim Anda perlu terus menjalankannya secara mandiri setelahnya. Kami men-deploy sesuatu yang benar-benar bisa dioperasikan tim Anda, bukan tool yang akhirnya menganggur.
Bagaimana Anda menulis aturan deteksi yang menangkap serangan nyata?
Kami memetakan aturan ke attack surface yang benar-benar Anda miliki dan ke teknik MITRE ATT&CK, mencakup pola autentikasi gagal, lateral movement, eksfiltrasi data, dan privilege escalation. Setiap aturan dibangun terhadap baseline aktivitas normal Anda agar ia berbunyi pada anomali yang nyata. Kami mendokumentasikan apa yang dideteksi setiap aturan dan apa yang harus dilakukan saat ia terpicu.
Bagaimana Anda menyetel alert agar tim tidak kebanjiran?
Kami mempelajari seperti apa kondisi normal di lingkungan Anda terlebih dahulu, lalu menjalankan aturan baru dalam mode observasi dengan logika pengecualian yang menekan noise yang sudah diketahui aman. Aturan baru mulai memunculkan alert setelah rasio sinyal terhadap noise cukup baik, dan triase berbantuan LLM merangkum serta memprioritaskan sisanya. Targetnya kurang dari sepuluh false positive per hari agar setiap alert layak dibaca.
Apakah Anda menyediakan on-call atau pemantauan 24/7?
Dalam engagement standar kami menyiapkan tooling dan melatih tim Anda untuk menjalankan pemantauannya sendiri. Jika Anda tidak punya staf untuk menanganinya, kami menawarkan retainer managed detection and response dengan SLA eskalasi yang disepakati dan cakupan di luar jam kerja. Kami akan membantu Anda memutuskan model mana yang cocok dengan ukuran tim dan profil risiko Anda.
Apa yang perlu kami siapkan sebelum Anda mulai?
Idealnya logging terpusat dari aplikasi, jaringan, dan host Anda, atau setidaknya akses ke sumber-sumber log itu agar kami bisa membangun pipeline-nya. Kami juga perlu memahami lingkungan Anda: aset, peran pengguna, dan seperti apa trafik normal terlihat. Jika logging masih terpecah-pecah atau tidak ada, membangun fondasi itu menjadi bagian pertama dari engagement.
Apakah Anda menjalankan tabletop exercise bersama tim kami?
Ya. Sebelum kami menyerahkannya, kami menjalankan tabletop exercise yang memandu tim Anda melalui skenario realistis menggunakan playbook deteksi yang kami tulis. Ia menguji apakah runbook memang andal dan apakah orang-orang tahu apa yang harus diperiksa, dieskalasi, dan dilakukan selanjutnya. Responsnya dilatih jauh sebelum insiden nyata tiba.
Bagaimana pekerjaan blue team terhubung ke incident response?
SIEM, aturan deteksi, dan retensi log yang kami siapkan persis seperti yang dibutuhkan seorang incident responder untuk merekonstruksi sebuah serangan, sehingga pekerjaan blue team langsung mempercepat forensik. Playbook deteksi mendefinisikan kapan sebuah alert menjadi insiden dan kepada siapa harus dieskalasi. Jika Anda juga memegang retainer incident response dengan kami, tim yang merespons sudah mengenal lingkungan Anda.
Contact UsEmail
info@8grams.tech
Have a project in mind? Let's build it.
Dealing with an active incident? Message us on WhatsApp now. For anything else, whether that's a security assessment, DevSecOps work, or a blue team setup, the form below is the place to start. We reply within one working day with a straight read on scope and cost.
Office
Surabaya, Indonesia
Harga mulai
Mulai dari Rp 72.000.000
Proyek umumnya Rp 72–450 juta