AI Anomaly Detection, Cara Baru Melawan Serangan Siber

Di tengah meningkatnya serangan siber yang semakin kompleks, perusahaan tidak lagi cukup hanya mengandalkan sistem keamanan berbasis aturan. Penyerang kini menggunakan berbagai cara untuk menyamarkan aktivitas berbahaya agar terlihat seperti aktivitas pengguna normal. Kondisi tersebut membuat organisasi membutuhkan teknologi yang mampu memahami perilaku jaringan, bukan sekadar mencari pola serangan yang sudah dikenal.

Salah satu teknologi yang berkembang untuk menjawab tantangan tersebut adalah AI Anomaly Detection. Teknologi ini memanfaatkan artificial intelligence (AI) dan machine learning untuk menemukan aktivitas yang menyimpang dari kondisi normal dalam jaringan, sistem, perangkat, maupun akun pengguna.

Berbeda dengan sistem keamanan tradisional yang biasanya menunggu aturan tertentu dilanggar, AI Anomaly Detection dapat mempelajari pola aktivitas secara otomatis. Sistem kemudian menggunakan pemahaman tersebut untuk menentukan apakah sebuah aktivitas masih tergolong normal atau justru mengarah pada potensi ancaman.

Sederhananya, teknologi ini berusaha menjawab satu pertanyaan penting: "Apakah aktivitas ini sesuai dengan kebiasaan normal atau ada sesuatu yang berbeda?"

Perbedaan tersebut menjadi penting karena serangan siber modern tidak selalu menunjukkan tanda-tanda yang jelas. Seorang penyerang bisa saja menggunakan akun resmi, perangkat yang sah, atau aplikasi yang memang tersedia di lingkungan perusahaan. Dari sudut pandang sistem tradisional, aktivitas tersebut mungkin terlihat biasa. Namun ketika sejumlah aktivitas dianalisis secara bersamaan, pola serangannya dapat terlihat.

Apa Itu AI Anomaly Detection?

AI Anomaly Detection merupakan teknologi yang menggunakan algoritma kecerdasan buatan untuk mengenali anomali atau penyimpangan dari pola aktivitas normal.

Dalam keamanan siber, anomali dapat berupa berbagai hal. Misalnya, pengguna tiba-tiba masuk ke sistem pada waktu yang tidak biasa, mengakses database yang sebelumnya tidak pernah digunakan, mengunduh data dalam jumlah besar, atau membuat koneksi ke server eksternal yang mencurigakan.

Sistem AI tidak hanya melihat satu aktivitas secara terpisah. Teknologi ini dapat menghubungkan berbagai indikator untuk mendapatkan gambaran yang lebih lengkap.

Sebagai contoh, seorang karyawan biasanya bekerja dari pukul 08.00 hingga 17.00 dan hanya mengakses aplikasi tertentu. Suatu hari, akun tersebut digunakan pada pukul 02.00 dini hari untuk mengakses database keuangan, menjalankan skrip PowerShell, kemudian mengirim sejumlah data ke server eksternal.

Masing-masing aktivitas tersebut mungkin tidak selalu dianggap sebagai serangan jika dilihat secara terpisah. Namun ketika seluruh aktivitas digabungkan, AI dapat mengenalinya sebagai perilaku yang sangat menyimpang dari kebiasaan pengguna.

Di sinilah perbedaan utama AI Anomaly Detection dibandingkan pendekatan keamanan konvensional.

Bagaimana AI Anomaly Detection Bekerja?

Untuk memahami cara kerjanya, bayangkan sebuah perusahaan memiliki "sidik jari digital" yang menggambarkan perilaku normal seluruh sistemnya.

AI mempelajari berbagai aktivitas yang terjadi setiap hari. Data yang dipelajari dapat mencakup waktu login, lokasi akses, perangkat yang digunakan, aplikasi yang dibuka, volume transfer data, pola komunikasi jaringan, hingga hubungan antara pengguna dan sumber daya tertentu.

Dari data tersebut, AI membangun apa yang disebut baseline, yaitu gambaran mengenai kondisi normal suatu lingkungan. Setelah baseline terbentuk, sistem akan membandingkan aktivitas baru dengan pola tersebut. Jika terjadi penyimpangan yang cukup besar, AI dapat memberikan peringatan kepada tim keamanan.

Namun, bukan berarti setiap aktivitas yang berbeda otomatis merupakan serangan.

Perubahan perilaku bisa saja terjadi karena karyawan sedang lembur, perusahaan baru menggunakan aplikasi tertentu, atau ada perubahan jam operasional. Karena itu, sistem AI perlu memahami konteks agar tidak menghasilkan terlalu banyak peringatan palsu atau false positive.

Peran Deep Learning dan Neural Network

Salah satu teknologi yang dapat digunakan dalam AI Anomaly Detection adalah deep learning. Deep learning memungkinkan sistem memproses data dalam jumlah besar dan mencari hubungan atau pola yang sulit ditemukan melalui aturan sederhana.

Di dalamnya terdapat neural network, yaitu model komputasi yang dirancang untuk mengenali pola kompleks. Dalam keamanan siber, neural network dapat menganalisis berbagai jenis informasi secara bersamaan.

Misalnya, sistem tidak hanya melihat bahwa sebuah file berukuran besar sedang dikirim keluar jaringan. AI juga dapat mempertimbangkan siapa yang mengirim file, kapan pengiriman dilakukan, ke mana data dikirim, perangkat yang digunakan, serta apakah perilaku tersebut sesuai dengan kebiasaan pengguna.

Kombinasi informasi tersebut membuat sistem dapat menghasilkan analisis yang lebih kontekstual.

Jika sistem tradisional hanya mengatakan, "Ada transfer data besar," AI dapat memberikan gambaran yang lebih lengkap, misalnya, "Transfer data terjadi pada waktu yang tidak biasa, berasal dari akun yang jarang melakukan aktivitas tersebut, menuju tujuan eksternal yang belum pernah diakses sebelumnya."

Informasi seperti inilah yang sangat berharga bagi analis keamanan.

Tiga Pendekatan Machine Learning

Dalam penerapannya, AI Anomaly Detection dapat menggunakan beberapa pendekatan machine learning. Tiga pendekatan yang umum dibahas adalah supervised, unsupervised, dan semi-supervised learning.

1. Supervised Detection
   Pada pendekatan supervised detection, AI dilatih menggunakan data yang sudah diberi label. Data tersebut dapat berisi contoh aktivitas normal dan contoh serangan yang sudah diketahui. Model kemudian mempelajari perbedaan di antara keduanya.

   Pendekatan ini cocok untuk mendeteksi ancaman yang pola serangannya sudah terdokumentasi. Semakin baik data pelatihan yang digunakan, semakin baik pula kemampuan model dalam mengenali pola tersebut.Namun, pendekatan ini memiliki keterbatasan. Jika muncul serangan baru yang belum terdapat dalam data pelatihan, model mungkin kesulitan mengenalinya.

2. Unsupervised Detection
   Berbeda dengan supervised detection, unsupervised detection tidak bergantung pada data yang sudah diberi label. AI mempelajari data dalam jumlah besar dan berusaha menemukan pola secara mandiri.

   Pendekatan ini sangat berguna untuk menemukan aktivitas yang belum pernah terlihat sebelumnya. Karena tidak harus diberi contoh mengenai bentuk serangan tertentu, sistem dapat mencari perilaku yang menyimpang dari pola normal.Kemampuan tersebut membuat unsupervised detection relevan untuk menghadapi ancaman baru atau zero-day attack.

3. Semi-supervised Detection
   Pendekatan ketiga adalah semi-supervised detection. Dalam metode ini, model dapat dilatih menggunakan data yang dianggap normal. Setelah memahami karakteristik lingkungan normal, AI akan mencari aktivitas yang menyimpang secara signifikan.

   Pendekatan tersebut berguna karena mendapatkan keuntungan dari proses pembelajaran berbasis kondisi normal tanpa harus memiliki banyak data serangan yang telah diberi label.

AI Dapat Menyesuaikan Diri dengan Perubahan

Salah satu persoalan dalam sistem keamanan tradisional adalah model drift. Lingkungan TI perusahaan tidak pernah benar-benar statis. Perusahaan dapat mengganti aplikasi, menambah server, menggunakan layanan cloud, membuka kantor baru, mengubah jam kerja, atau menerapkan sistem kerja 24 jam.

Jika aturan keamanan tidak diperbarui, aktivitas yang sebenarnya normal dapat dianggap sebagai anomali. Sebaliknya, aktivitas yang sebenarnya mencurigakan juga dapat lolos jika aturan lama sudah tidak relevan.

AI mengatasi persoalan tersebut melalui konsep continuous autonomous baselining.

Sistem terus mempelajari perubahan pola aktivitas dan memperbarui baseline secara otomatis. Dengan demikian, standar "normal" dapat berkembang mengikuti perubahan lingkungan bisnis. Kemampuan beradaptasi ini menjadi salah satu keunggulan AI dibandingkan sistem yang sepenuhnya bergantung pada konfigurasi manual.

AI Tidak Sekadar Mendeteksi, tetapi Menghubungkan Peristiwa

Dalam sebuah serangan siber, indikator ancaman sering kali muncul secara terpisah.

Misalnya, pertama terjadi perubahan hak akses. Beberapa menit kemudian muncul koneksi terenkripsi ke luar jaringan. Setelah itu, terjadi transfer data dalam jumlah kecil secara berulang. Jika masing-masing aktivitas dianalisis secara terpisah, semuanya mungkin terlihat tidak terlalu berbahaya.

AI dapat menghubungkan rangkaian peristiwa tersebut dan melihatnya sebagai satu pola serangan.

Kemampuan menghubungkan berbagai sinyal ini penting karena serangan modern sering dirancang agar tidak menimbulkan aktivitas mencolok. Penyerang dapat menggunakan teknik low and slow, yaitu melakukan aktivitas secara perlahan untuk menghindari sistem keamanan.

Dengan analisis berbasis perilaku, AI dapat membantu tim keamanan memahami hubungan antaraktivitas tersebut.

AI Anomaly Detection vs Sistem Tradisional

Sistem deteksi anomali tradisional umumnya menggunakan aturan yang telah ditentukan sebelumnya. Contohnya, sistem dapat dikonfigurasi untuk memberikan peringatan ketika terjadi transfer data melebihi ukuran tertentu.

Pendekatan ini memang efektif untuk kondisi tertentu, tetapi memiliki keterbatasan. Aktivitas yang sedikit berbeda dari kebiasaan belum tentu berbahaya, sementara serangan yang menggunakan pola baru dapat melewati aturan yang ada.

AI menawarkan pendekatan yang lebih dinamis.

Sistem tradisional dapat diibaratkan sebagai alarm yang berbunyi ketika kondisi tertentu terpenuhi. Sementara AI lebih mirip penyelidik yang mempelajari konteks sebelum menentukan apakah suatu aktivitas mencurigakan.

Perbedaan tersebut membuat AI berpotensi mengurangi false positive, meningkatkan kemampuan adaptasi, dan membantu mendeteksi ancaman yang belum pernah terlihat sebelumnya.

Penerapan AI Anomaly Detection dalam Keamanan Siber

Teknologi ini dapat digunakan dalam berbagai area keamanan siber.

• User and Entity Behavior Analytics
  Salah satu penerapannya adalah User and Entity Behavior Analytics (UEBA). UEBA mempelajari perilaku pengguna dan perangkat untuk menemukan aktivitas yang menyimpang.

  Misalnya, seorang staf pemasaran biasanya mengakses penyimpanan cloud pada jam kerja. Namun suatu malam, akunnya tiba-tiba digunakan untuk mengakses database keuangan dan menjalankan skrip yang tidak biasa. AI dapat menghubungkan berbagai indikator tersebut dan memberikan tingkat risiko yang lebih tinggi.

  Teknologi ini dapat membantu menemukan indikasi pengambilalihan akun, ancaman dari orang dalam, maupun pencurian data.

• Network Traffic Analysis
  AI juga dapat digunakan untuk menganalisis lalu lintas jaringan. Sistem tidak hanya melihat ukuran paket data, tetapi juga waktu komunikasi, tujuan koneksi, protokol, frekuensi komunikasi, dan pola lalu lintas secara keseluruhan.

  Pendekatan ini dapat membantu mendeteksi komunikasi Command and Control (C2) yang digunakan penyerang untuk mengendalikan perangkat yang telah terinfeksi.

  AI juga dapat menemukan pola pencurian data yang dilakukan secara perlahan agar tidak memicu alarm berdasarkan volume transfer.

• Pemantauan Infrastruktur Cloud
  Lingkungan cloud menghadirkan tantangan baru karena infrastrukturnya sangat dinamis. Container, API, mesin virtual, dan layanan cloud dapat dibuat atau dihentikan dalam waktu singkat. Karena itu, sistem keamanan berbasis aturan statis dapat kesulitan mengikuti perubahan tersebut. AI dapat memantau hubungan antar layanan dan mendeteksi perilaku yang tidak sesuai dengan pola normal.

  Misalnya, sebuah aplikasi dengan hak akses rendah tiba-tiba mencoba mengakses database penting. Aktivitas tersebut dapat menjadi indikasi lateral movement, yaitu upaya penyerang berpindah dari satu sistem ke sistem lain setelah mendapatkan akses awal.

Mengapa AI Penting bagi Security Operations Center?

Salah satu persoalan terbesar di Security Operations Center atau SOC adalah banyaknya peringatan keamanan. Analis dapat menerima ribuan notifikasi setiap hari. Tidak semuanya merupakan ancaman nyata. Sebagian merupakan aktivitas normal yang kebetulan terlihat berbeda.

Situasi tersebut dapat menyebabkan alert fatigue, yaitu kondisi ketika analis mengalami kelelahan karena harus terus-menerus menangani peringatan. AI dapat membantu menyaring dan mengelompokkan berbagai sinyal tersebut. 

Alih-alih memberikan puluhan peringatan yang berkaitan dengan satu insiden, AI dapat menggabungkannya menjadi satu kasus dengan konteks yang lebih jelas. Analis kemudian dapat memusatkan perhatian pada insiden yang memiliki risiko paling tinggi.

Mempercepat Respons terhadap Serangan

Kecepatan merupakan faktor penting dalam menghadapi serangan siber. Semakin lama penyerang berada di dalam jaringan, semakin besar peluang mereka mencuri data, meningkatkan hak akses, atau berpindah ke sistem lain.

AI dapat mempercepat proses analisis karena mampu memproses data dalam jumlah besar dan menghubungkan berbagai indikator secara otomatis. Jika sebelumnya analis harus membuka banyak log untuk mencari hubungan antarperistiwa, sistem AI dapat membantu menyusun gambaran serangan secara lebih cepat.

Hal ini memungkinkan tim keamanan mengambil keputusan lebih awal, terutama ketika menghadapi serangan otomatis seperti ransomware atau eksploitasi layanan yang berlangsung dalam hitungan menit.

Manfaat AI Anomaly Detection bagi Perusahaan

Penerapan teknologi ini memberikan sejumlah manfaat bagi organisasi. Pertama, AI dapat membantu mendeteksi ancaman yang belum dikenal, termasuk serangan zero-day dan teknik Living off the Land yang memanfaatkan perangkat atau aplikasi sah di dalam sistem.

Kedua, teknologi ini dapat mengurangi beban kerja analis SOC dengan menyaring aktivitas yang tidak relevan. Ketiga, AI memberikan konteks yang lebih baik sehingga aktivitas bisnis yang sah tidak mudah dianggap sebagai ancaman.

Keempat, AI dapat mempercepat respons insiden, sehingga tim keamanan memiliki lebih banyak waktu untuk menghentikan serangan sebelum menyebar. Namun, AI bukan berarti menggantikan seluruh peran manusia. Keputusan keamanan yang penting tetap membutuhkan analis yang memahami konteks bisnis, risiko, dan dampak dari suatu tindakan.

Apakah AI Anomaly Detection Bisa Menggantikan Sistem Keamanan Tradisional?

Jawabannya tidak sesederhana mengganti teknologi lama dengan teknologi baru.

Sistem berbasis aturan masih memiliki fungsi penting, terutama untuk mendeteksi kondisi yang sudah diketahui dan membutuhkan respons yang jelas. AI justru dapat digunakan untuk melengkapi sistem keamanan yang sudah ada.

Dalam praktiknya, organisasi dapat menggabungkan berbagai teknologi, seperti firewall, endpoint detection and response (EDR), SIEM, UEBA, network detection, dan AI Anomaly Detection. AI kemudian berperan dalam menghubungkan informasi dari berbagai sumber sehingga tim keamanan mendapatkan gambaran yang lebih menyeluruh.

Tantangan dalam Implementasi AI Anomaly Detection

Meski menawarkan banyak keuntungan, implementasi AI juga memiliki tantangan. Kualitas data menjadi salah satu faktor paling penting. AI membutuhkan data yang cukup dan relevan untuk memahami kondisi normal. Jika data yang digunakan buruk atau tidak lengkap, hasil analisis juga dapat kurang akurat.

Selain itu, organisasi harus memperhatikan kemungkinan munculnya false positive maupun false negative. Sistem yang terlalu sensitif dapat menghasilkan terlalu banyak peringatan, sedangkan sistem yang terlalu longgar dapat melewatkan ancaman.

Perusahaan juga perlu memastikan bahwa penggunaan AI dilakukan secara aman dan transparan. Model AI harus dipantau secara berkala agar tetap sesuai dengan perubahan lingkungan teknologi. Dengan kata lain, AI bukan solusi sekali pasang. Teknologi ini membutuhkan pengelolaan, evaluasi, dan pengawasan secara berkelanjutan.

Masa Depan Deteksi Ancaman Berbasis AI

Perkembangan serangan siber membuat pendekatan keamanan yang hanya mengandalkan daftar aturan semakin menghadapi tantangan. Pelaku serangan dapat mengubah teknik, menggunakan kredensial yang sah, mengenkripsi komunikasi, serta memanfaatkan perangkat dan aplikasi resmi untuk menyamarkan aktivitas mereka.

Dalam kondisi tersebut, kemampuan memahami perilaku menjadi semakin penting.

AI Anomaly Detection menawarkan pendekatan yang berbeda. Teknologi ini tidak hanya bertanya apakah sebuah aktivitas cocok dengan daftar ancaman yang sudah diketahui, tetapi juga apakah aktivitas tersebut masuk akal jika dibandingkan dengan pola normal.

Inilah yang membuat AI berpotensi menjadi bagian penting dari strategi keamanan siber modern.

Pada akhirnya, tujuan utama AI Anomaly Detection bukan sekadar menghasilkan lebih banyak peringatan. Justru sebaliknya, teknologi ini diharapkan membantu organisasi menghasilkan peringatan yang lebih relevan, memahami konteks serangan dengan lebih cepat, dan mengambil tindakan sebelum kerusakan meluas.

Ketika lingkungan TI semakin kompleks dan serangan berlangsung semakin cepat, kemampuan untuk mengenali perubahan kecil dalam perilaku dapat menjadi pembeda antara insiden yang berhasil dikendalikan dan serangan yang berkembang menjadi krisis besar.

AI Anomaly Detection karena itu bukan hanya tentang kecerdasan buatan. Teknologi ini merupakan bagian dari perubahan cara organisasi menjaga keamanan, dari pendekatan yang reaktif dan bergantung pada aturan menuju pertahanan yang lebih adaptif, kontekstual, dan proaktif.