Ben Bernstein, Manajer Penasihat Keamanan Siber di Huntress – Seri Wawancara

Ben Bernstein, Manajer Penasihat Keamanan Siber di Huntress, adalah seorang profesional keamanan siber dengan pengalaman lebih dari satu dekade yang mencakup dukungan teknis, administrasi sistem, keberhasilan klien, manajemen akun teknis, dan kepemimpinan penasihat keamanan. Ia memulai kariernya di peran IT langsung, berkembang dari pekerjaan helpdesk ke administrasi sistem sebelum beralih ke manajemen akun dan keberhasilan klien di Integris. Bernstein kemudian menghabiskan tiga tahun di Red Canary, di mana ia mengelola hubungan dengan pelanggan perusahaan sebagai Manajer Akun Teknis dan Manajer Akun Teknis Senior Enterprise. Sejak bergabung dengan Huntress pada 2024 sebagai Manajer Akun Teknis pendiri, ia telah naik jabatan dalam kepemimpinan manajemen akun teknis dan kini memimpin Penasihat Keamanan Siber perusahaan, memanfaatkan kombinasi keahlian teknis dan pengalaman berhadapan dengan pelanggan untuk membantu organisasi lebih memahami dan merespons ancaman siber yang berkembang.

Huntress adalah perusahaan keamanan siber yang menyediakan platform keamanan terkelola penuh yang dirancang untuk melindungi organisasi di seluruh endpoint, identitas, log, dan pengguna. Platformnya menggabungkan teknologi termasuk Managed Endpoint Detection and Response (EDR), Identity Threat Detection and Response (ITDR), Security Information and Event Management (SIEM), serta pelatihan kesadaran keamanan dengan Security Operations Center (SOC) berpusat AI 24/7 yang didukung oleh pakar keamanan manusia. Huntress menyatakan teknologinya saat ini melindungi lebih dari 5 juta endpoint dan 15 juta identitas di lebih dari 277.000 bisnis, dengan timnya menangani deteksi ancaman, investigasi, respons, dan remediasi atas nama pelanggan.

Anda memulai karier Anda di helpdesk dan administrasi sistem sebelum beralih melalui manajemen akun teknis dan akhirnya ke kepemimpinan penasihat keamanan siber di Huntress. Bagaimana latar belakang IT yang praktis tersebut membentuk cara Anda memikirkan keamanan saat ini, terutama ketika alat yang sama yang diandalkan administrator juga dapat menjadi titik masuk bagi penyerang?

Saya sangat berterima kasih atas latar belakang IT saya setiap hari sekarang karena saya berada di sisi cyber yang khusus. Itu memberi saya perspektif praktis. Ketika Anda mengetahui bagaimana sistem operasi, aplikasi, dan proses sistem berperilaku saat semuanya berjalan normal, anomali dan ancaman benar‑benar menonjol. Waktu saya di IT juga membentuk pola pikir pemecahan masalah dan penyebab utama. Anda cepat belajar bahwa harus mengikuti jejak untuk memastikan Anda sepenuhnya memahami suatu masalah atau ancaman.

Saya ingat sangat mengandalkan alat yang sama, seperti RMM, yang kini disalahgunakan oleh aktor ancaman. Karena saya pernah menerapkannya sendiri, saya sangat menghargai kekuatannya di tangan administrator IT maupun penyerang. Karena RMM ada di mana‑mana, hal ini memberi tekanan pada tim keamanan untuk memperhatikan semua aktivitas di sekitar eksekusinya. Menjalankan RMM pada sebuah mesin tidak secara inheren jahat. Namun jika RMM tersebut tiba‑tiba mulai menurunkan alat tambahan atau memunculkan skrip yang tidak dikenal, hal itu memaksa pembela untuk berhenti mengandalkan daftar perangkat lunak tepercaya dan sepenuhnya fokus pada pengamatan perilaku.

AI sering dibahas dalam keamanan siber dalam konteks penyerang otonom yang canggih, tetapi seberapa besar dampak langsung AI sebenarnya hanya membuat penjahat siber biasa menjadi lebih cepat dan lebih mampu? Apakah kita sudah mencapai titik di mana penyerang dengan keterampilan rendah relatif dapat meluncurkan kampanye yang sebelumnya memerlukan keahlian teknis yang jauh lebih mendalam?

Saat ini ada banyak kepanikan tentang sistem peretasan AI otonom, tetapi realitas di lapangan adalah bahwa ini bukan teknik baru. Model‑model ini tidak menembus jaringan dengan teknik yang sangat canggih. Mereka melakukan hal yang sama seperti para script kiddie manusia selama bertahun‑tahun dengan memindai aset yang terbuka di internet, belum dipatch, dan salah konfigurasi. Hal ini menjadi berita utama karena frasa “AI otonom” terdengar menakutkan, atau menarik tergantung pada siapa yang ditanya, namun mekanisme sebenarnya dari serangan ini sangat dasar.

Masalah sebenarnya yang kita hadapi adalah AI menurunkan hambatan masuk bagi penjahat siber. Penyerang dapat mengotomatiskan bagian‑bagian membosankan dari sebuah eksploitasi dan memperluas operasi mereka tanpa memerlukan keahlian teknis yang mendalam. Hal ini memungkinkan penyerang berkemampuan rendah meluncurkan kampanye jauh lebih cepat, yang memberi tekanan besar pada bisnis. Anda tidak lagi dapat memasang alat keamanan dan melupakannya. Organisasi harus mengasumsikan jaringan mereka terus‑menerus dipindai.

Huntress telah mengamati penyerang menggunakan skrip infostealer yang dihasilkan LLM selama intrusi RMM. Apa yang hal ini memberi tahu kita tentang bagaimana AI generatif mengubah ekonomi dan aksesibilitas kejahatan siber?

Itu memberi tahu kita bahwa AI generatif menyederhanakan beban operasional kejahatan siber. Menulis skrip infostealer bukanlah pekerjaan teknis yang baru, tetapi secara tradisional memerlukan banyak waktu pengembang atau membeli alat khusus dari forum bawah tanah. Dengan menggunakan LLM di dalam jaringan korban, penyerang dapat menghasilkan skrip fungsional dan khusus sesuai permintaan alih‑alih bergantung pada malware yang sudah dibuat sebelumnya.

Sementara mengakses model-model ini masih memerlukan biaya, hambatan masuk kini lebih rendah daripada sebelumnya. Kami sering melihat penyerang rata-rata memanfaatkan alat ini untuk bekerja lebih cepat dan menghilangkan tugas pengkodean manual. Hal ini secara fundamental mengubah ekonomi serangan dengan membuat fase eksekusi sangat mudah diakses, memungkinkan aktor dengan keterampilan lebih rendah memperluas operasi mereka tanpa memerlukan keahlian teknis yang mendalam.

Huntress melaporkan peningkatan penyalahgunaan alat pemantauan dan manajemen jarak jauh sebesar 277% secara tahunan. Mengapa platform RMM yang sah menjadi alternatif yang begitu menarik dibandingkan malware khusus, dan keuntungan apa yang mereka berikan kepada penyerang setelah mereka memperoleh akses?

Tidak ada yang secara inheren jahat tentang alat RMM. Mereka memiliki tujuan penting, membantu admin TI dan MSP bekerja secara efisien serta mendukung pengguna. Masalahnya, malware khusus ditandai oleh perangkat lunak antivirus tradisional, sementara RMM ditandatangani, dipercaya, dan melewati kontrol keamanan standar. Lebih menguntungkan bagi penyerang, agen RMM secara alami berjalan dengan hak istimewa admin yang ditingkatkan dan menyediakan persistensi bawaan, artinya mereka tetap aktif setelah reboot sistem tanpa memerlukan upaya tambahan untuk mempertahankan akses.

Setelah seorang penyerang menjalankan agen RMM mereka sendiri pada mesin target, mereka pada dasarnya memiliki konsol kontrol jarak jauh. Mereka dapat mentransfer file bolak-balik dengan mulus, dan sering kali menyiapkan instance RMM mereka sebelumnya dengan skrip dan alat berbahaya yang siap dijalankan di seluruh endpoint dengan satu klik. Karena aplikasinya sendiri sah, defender tidak dapat sekadar memblokir alat tersebut. Hal ini memaksa tim keamanan untuk berhenti mengandalkan daftar perangkat lunak tepercaya dan fokus pada pengamatan perilaku, yang menjadikan pemantauan 24/7 penting jika Anda ingin menangkap penyerang yang menyalahgunakan perangkat lunak administratif.

Salah satu teknik yang didokumentasikan oleh Huntress adalah penyerang “menyambungkan” beberapa alat RMM secara berantai untuk memecah telemetri dan menciptakan akses berlebih. Bisakah Anda menjelaskan bagaimana intrusi seperti ini biasanya berkembang dan mengapa hal itu bisa begitu sulit bagi defender untuk mengenali apa yang terjadi?

Berikut satu contoh yang sangat menarik yang kami tangkap dan menulis sebuah blog tentangnya. Intrusi dimulai dengan email phishing yang menggunakan umpan dokumen bisnis palsu, seperti “Network Solutions Agreement”. Korban mengklik tautan dalam email, tiba di halaman yang dilindungi oleh CAPTCHA palsu, dan mengunduh apa yang mereka kira adalah PDF standar atau dokumen layanan. Pada kenyataannya, unduhan tersebut adalah installer yang dapat dieksekusi. Ketika pengguna mengklik dua kali file untuk membuka perjanjian, mereka secara diam-diam menginstal alat akses jarak jauh yang sah namun tidak berwenang bernama Tiflux RMM.

Setelah aktor ancaman menjalankan agen Tiflux awal tersebut, mereka segera menggunakan kemampuan bawaan untuk menurunkan dan menyisipkan alat tambahan seperti Splashtop, ScreenConnect, dan UltraVNC ke mesin yang sama. Penting untuk dicatat bahwa semua ini juga merupakan alat RMM sah tambahan.

Penyerang melakukan ini untuk membantu membangun persistensi super. Mereka tahu bahwa jika seorang admin TI menemukan satu alat remote yang tidak berwenang dan menghapusnya, penyerang masih memiliki dua atau tiga pintu belakang aktif yang menunggu. Taktik ini memecah telemetri. Platform keamanan hanya melihat aplikasi administratif yang terpisah, ditandatangani, berjalan bersamaan dan menghubungi infrastruktur vendor yang sah. Kecuali defender secara aktif memantau aktivitas tersebut dan menanyakan mengapa satu endpoint tiba‑tiba membutuhkan beberapa agen manajemen remote yang berbeda dipasang pada sore yang sama, hal itu hanya menyatu dengan kebisingan pemeliharaan TI rutin.

Selain pemantauan perilaku 24/7, kontrol efektif lainnya di sini adalah Manajemen Postur Keamanan Endpoint dan kontrol aplikasi. Jika sebuah organisasi secara eksplisit menentukan varian RMM mana yang diizinkan berjalan pada mesin mereka, mereka dapat membatasi alat yang tidak disetujui agar tidak dapat dijalankan sama sekali, menghentikan rantai berantai sebelum dimulai.

Model keamanan tradisional sering membedakan antara perangkat lunak tepercaya dan tidak tepercaya, namun serangan RMM memanfaatkan alat yang mungkin sah, ditandatangani, dan sudah disetujui oleh TI. Apakah ini berarti defender perlu beralih dari menanyakan apakah sebuah aplikasi tepercaya dan fokus pada apakah perilakunya tepercaya?

Ya, tentu saja. Model tradisional kepercayaan biner sudah rusak. Penandatanganan biner dirancang untuk memverifikasi bahwa sebuah aplikasi berasal dari vendor yang sah, bukan untuk menjamin bahwa tindakan aplikasi tersebut aman.

Jika seorang penyerang menggunakan biner RMM yang ditandatangani atau utilitas living‑off‑the‑land, eksekutabelnya sendiri bersih, namun aktivitas di baliknya bersifat berbahaya. Defender harus melampaui pertanyaan “Apakah file ini tepercaya?” dan mulai fokus pada apakah perilakunya masuk akal dalam konteks. Menjalankan RMM pada mesin tidak secara inheren jahat. Namun jika alat tersebut tiba‑tiba mulai menurunkan utilitas tambahan, menghasilkan skrip yang tidak dikenal, atau mengeksekusi pada pukul 2 AM dengan akun layanan, itu menjadi indikator kompromi. Konteks dan perilaku selalu penting, namun dengan penyerang yang sangat bergantung pada perangkat lunak tepercaya, hal itu kini menjadi lebih penting daripada sebelumnya.

Seiring AI mempercepat waktu antara menemukan kerentanan atau celah konfigurasi dan mengeksploitasinya, bagaimana hal itu mengubah peran manajemen postur keamanan? Kelemahan identitas, endpoint, dan akses remote mana yang harus diprioritaskan organisasi sebelum penyerang memiliki kesempatan untuk mengeksploitasinya?

Manajemen postur keamanan menjadi lebih penting daripada sebelumnya karena membantu organisasi menutup secara proaktif celah keamanan umum yang dimanfaatkan penyerang setiap hari. Ini melengkapi deteksi dan respons dengan terus-menerus mengidentifikasi dan menangani masalah seperti konfigurasi yang salah, izin berlebih, aplikasi tidak sah, serta kelemahan lain di seluruh endpoint dan identitas. Ketika jendela antara pengungkapan kerentanan dan pemindaian otomatis menyusut menjadi hitungan jam, mengurangi celah tersebut sebelum dapat dieksploitasi menjadi sangat penting. Organisasi perlu mempertahankan postur yang konsisten dan diperkuat di semua lingkungan untuk mengurangi jumlah insiden yang mereka hadapi dan membatasi apa yang dapat dijangkau penyerang jika mereka berhasil masuk.

Sementara hampir setiap vendor siber dengan senang hati “mendidik” (atau menakut-nakuti) publik tentang ancaman atau domain keamanan apa pun yang mereka jual solusinya, daftar prioritas sebenarnya hanya dapat dijawab oleh masing‑masing organisasi. Setiap bisnis menghargai komponen yang berbeda dari triad CIA, dan setiap perusahaan memiliki data sensitif yang disimpan atau diakses di tempat yang berbeda. Nasihat nyata yang paling dibutuhkan kebanyakan bisnis adalah mengevaluasi data, aset, atau sistem produksi mana yang paling kritis bagi operasi mereka, lalu bekerja mundur dari situ untuk melindungi apa yang paling penting.

Ada kekhawatiran yang semakin meningkat tentang agen AI yang pada akhirnya akan menjalankan bagian signifikan dari siklus serangan secara otonom. Kemampuan apa yang perlu ditingkatkan sebelum serangan siber otonom menjadi secara bermakna lebih berbahaya daripada serangan berbantuan AI saat ini, dan apakah para pembela cukup cepat mempersiapkannya?

Kekhawatiran tentang agen otonom menyiratkan bahwa ini adalah masalah masa depan, padahal kami sudah melihat mereka melaksanakan serangan hari ini. Namun, serangan otonom ini jauh dari sempurna. Lihat kampanye ransomware JadePuffer baru-baru ini. Kampanye tersebut dijalankan sepenuhnya oleh agen AI, tetapi membuat kesalahan mencolok. Model tersebut menghalusinasi bagian-bagian operasi, termasuk membuat alamat dompet Bitcoin palsu untuk catatan tebusan. Lebih absurd lagi, AI lupa menyimpan atau mentransmisikan kunci enkripsi. Ia hanya mencetak kunci yang dihasilkan secara acak ke output konsol sementara dan menutup sesi, sehingga secara matematis tidak mungkin bagi korban memulihkan data mereka bahkan jika mereka membayar.

Kenyataan yang mendasar adalah bahwa dari perspektif taktik, teknik, dan prosedur, AI otonom, skrip otomatis, dan penyerang manusia semuanya melakukan hal yang sama persis. Mereka tetap mengeksploitasi jenis aset yang terpapar internet, rentan, dan salah konfigurasi. AI masih harus melewati rantai pembunuhan standar. Ia masih perlu memperoleh akses awal, meningkatkan izin, bergerak lateral, dan mengeksekusi muatan. Dalam kasus JadePuffer, AI hanya menggunakan kerentanan yang diketahui dan belum ditambal untuk menancapkan kakinya ke dalam pintu, lalu tersandung melalui jaringan.

Karena mekanisme inti serangan tidak berubah, para pembela tidak perlu membuang buku pedoman mereka saat ini. Anda tetap memerlukan keamanan berlapis, kebersihan TI dasar, dan deteksi perilaku yang kuat. Yang berubah adalah tekanan dan kecepatan di mana pembela harus memproses peristiwa dan menilai peringatan. Ketika agen AI membuat kesalahan, membaca log kesalahan, dan memperbaiki diri dalam hitungan detik untuk terus maju, pembela hanya perlu beradaptasi dengan kecepatan tinggi yang kini dimiliki serangan siber.

Penyerang mulai mengadopsi AI, tetapi pembela memiliki akses ke banyak teknologi yang sama. Di mana Anda melihat AI memberikan keuntungan defensif terbesar: mendeteksi perilaku tidak biasa, menganalisis telemetri, memprioritaskan kerentanan, mengotomatiskan respons, atau di tempat lain sepenuhnya?

Pertama, AI sangat efektif untuk korelasi tim biru. Tim keamanan tidak memiliki masalah data; mereka memiliki masalah kebisingan. AI sangat berguna untuk menarik jarum dari tumpukan jerami, mengambil peristiwa yang terpisah dan tampaknya tidak terkait, serta menyatukannya menjadi cerita lengkap tentang sebuah intrusi.

Kedua, AI melakukan bagi pembela apa yang ia lakukan bagi penyerang dengan menjembatani kesenjangan keterampilan. Ketika analis SOC junior dihadapkan pada skrip yang sangat terobfuscasi atau peringatan yang kompleks, mereka dapat menggunakan LLM untuk langsung menerjemahkan data tersebut ke dalam bahasa Indonesia yang jelas. Ini menghilangkan pekerjaan manual yang melelahkan dalam rekayasa balik dan memungkinkan pembela menilai dan merespons jauh lebih cepat.

Akhirnya, melihat melampaui pertahanan reaktif, terdapat peluang besar bagi tim merah dan ungu untuk menggunakan AI dalam menguji dan memvalidasi pertahanan secara proaktif. Pengujian penetrasi yang sepenuhnya terdefinisi dan dipimpin manusia masih mutlak diperlukan. Namun AI menurunkan ambang teknis untuk menjalankan pengujian kecil, atomik, guna memvalidasi lapisan berbeda dalam tumpukan keamanan. Alih-alih menunggu pengujian tahunan atau berharap pada ancaman organik yang muncul, organisasi dapat menggunakan AI untuk secara aman dan sering menguji lingkungan mereka sendiri guna melihat apa yang sebenarnya dapat dipecahkan.

Ke depan, apakah Anda memperkirakan industri keamanan siber akan memasuki lingkungan di mana baik penyerang maupun pembela semakin banyak beroperasi melalui agen otonom? Jika ya, apa yang pada akhirnya akan menentukan siapa yang memiliki keunggulan ketika mesin di kedua sisi dapat mengidentifikasi dan merespons ancaman dengan kecepatan mesin?

AI jelas mengguncang ekonomi bawah tanah. Pasar darknet untuk cybercrime-as-a-service telah berkembang dengan menjual malware dan skrip karena biasanya memerlukan keahlian pengembang khusus untuk membuatnya. AI mengubah aksesibilitas dan ekonomi ekosistem tersebut dengan memungkinkan operator berkemampuan lebih rendah menghasilkan alat mereka sendiri sesuai permintaan. Hal ini kemungkinan akan menutup pintu bagi banyak vendor malware siap pakai yang sudah usang. Mengapa seorang aktor ancaman harus membayar malware siap pakai generik di forum bawah tanah ketika mereka dapat cukup memerintahkan LLM untuk menghasilkan alat khusus sesuai permintaan?

Ketika kedua belah pihak dilengkapi AI, keunggulan bergantung pada infrastruktur, penyetelan, dan pengawasan. Ini menjadi pertarungan antara siapa yang memiliki anggaran komputasi (siapa yang memiliki lebih banyak token untuk dibakar) dan siapa yang memiliki model yang lebih teroptimasi. Bagi aktor ancaman, ujinya adalah apakah AI mereka dapat secara iteratif memecahkan masalah, membaca log kesalahan, dan beralih secara tepat ketika sebuah eksploitasi gagal. Bagi para pembela, ujinya adalah apakah detektor Anda benar‑benar disetel dan apakah jalur data Anda terhubung dengan baik untuk memberi AI telemetri yang tepat secara real‑time. Namun yang lebih penting, hal ini bergantung pada apakah Anda memiliki pakar manusia dengan konteks bisnis dalam proses pengambilan keputusan kritis, seperti membaca interpretasi AI terhadap sebuah insiden dan memutuskan apakah akan mengisolasi mesin yang terkompromi atau menonaktifkan sistem produksi untuk menahan ancaman.

Pada akhirnya, AI tidak mengubah dasar‑dasar keamanan. Bisnis yang akan paling berhasil adalah mereka yang terus melakukan hal‑hal kecil dengan benar. Ini kembali pada mengurangi permukaan serangan Anda, menambal kerentanan, memperkuat konfigurasi, memantau 24 jam sehari, mengasumsikan adanya kompromi, dan secara proaktif menguji pertahanan secara berkala. AI hanyalah akselerator. Siapa pun yang melaksanakan dasar‑dasar tersebut lebih cepat dan lebih konsistenlah yang akan menang.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin belajar lebih lanjut sebaiknya mengunjungi Huntress.