Emulasi Adversary, LOTL, dan Operasionalisasi Program

Bagian Miscellaneous adalah entri penutup daftar isi README. Isinya bahan yang tidak menempel pada satu fase kill chain: emulasi adversary, katalog living off the land, skrip, infrastruktur, DevOps, pelaporan, dan threat intelligence. README.md:8-18

Halaman ini membahas sisa subbagian Miscellaneous yang belum tersentuh halaman lain. Subbagian Cloud (AWS dan Azure), AI Red Teaming, dan Offensive AI Agent ada di Cloud dan AI Red Teaming. Subbagian Threat-informed Defense tetap di sini karena menjadi jembatan antara emulasi dan pengukuran. README.md:324-329 README.md:331-352 README.md:368-384

Emulasi adversary: test atomik dan sistem otomatis

Tabel Adversary Emulation memuat sepuluh entri berurutan, dari test atomik sampai platform penulisan test. README.md:354-366

Tool	Peran dalam program	Deskripsi dari daftar
Atomic Red Team	Test atomik portabel	Small and highly portable detection tests mapped to the Mitre ATT&CK Framework.
Stratus Red Team	Versi cloud dari test atomik	"Atomic Red Team™" for the cloud, emulasi teknik secara granular dan self-contained.
Caldera	Sistem emulasi otomatis	Automated adversary emulation system yang menjalankan perilaku post-compromise di jaringan Windows Enterprise.
TTPForge	Framework penulisan TTP	Facilitate the development, automation, and execution of Tactics, Techniques, and Procedures.
Prelude Operator	Platform operasi	Platform yang meniru serangan adversarial nyata.
Prelude Build	IDE penulisan test	Open source IDE for authoring, testing, and verifying production-ready security tests.
Metta	Simulasi adversarial	A security preparedness tool to do adversarial simulation.
Red Team Automation (RTA)	Kerangka skrip untuk blue team	Framework of scripts untuk menguji kapabilitas deteksi terhadap malicious tradecraft, dimodelkan setelah MITRE ATT&CK.
APTSimulator	Simulasi host terkompromi	Windows Batch script yang memakai tools dan output files agar host terlihat terkompromi.
Network Flight Simulator	Simulasi trafik jaringan	flightsim menghasilkan trafik jaringan malicious untuk menguji kontrol dan visibilitas jaringan.

Kedua ujung tabel itu berbeda peran. Atomic Red Team menyediakan unit test kecil yang dipetakan ke ATT&CK, sedangkan Caldera menjalankan rangkaian perilaku post-compromise secara otomatis di lingkungan Windows Enterprise. Prelude Build dan Prelude Operator menambahkan lapisan authoring, sehingga test dapat ditulis, diuji, lalu diverifikasi sebelum dipakai. README.md:354-366

Alur kerja program berjalan sebagai siklus, bukan daftar tool terpisah. Threat intelligence memilih perilaku adversary, katalog test menerjemahkannya menjadi aksi, telemetri menangkap hasilnya, lalu hasil itu masuk ke tracking dan pelaporan. Laporan yang dihasilkan menjadi input bagi pemilihan perilaku berikutnya.

graph TD
  TI["Threat Intelligence: APT REPORT, deepdarkCTI, Hudson Rock"]
  COMPASS["Control Validation Compass: 2,100+ tests, nearly 600 techniques"]
  ART["Atomic Red Team tests"]
  CALDERA["Caldera operation"]
  STRATUS["Stratus Red Team di cloud"]
  TTPFORGE["TTPForge TTPs"]
  SIG["Telemetry dan detection"]
  NEM["Nemesis enrichment"]
  VECTR["VECTR tracking"]
  PO["PurpleOps management"]
  GW["Ghostwriter report"]

  TI --> COMPASS
  COMPASS --> ART
  COMPASS --> STRATUS
  COMPASS --> TTPFORGE
  ART --> SIG
  CALDERA --> SIG
  TTPFORGE --> SIG
  STRATUS --> SIG
  SIG --> NEM
  SIG --> VECTR
  NEM --> VECTR
  VECTR --> PO
  VECTR --> GW
  PO --> GW
  GW --> TI

  style TI fill:#f59e0b,color:#000
  style COMPASS fill:#f59e0b,color:#000
  style ART fill:#8b5cf6,color:#fff
  style CALDERA fill:#8b5cf6,color:#fff
  style STRATUS fill:#8b5cf6,color:#fff
  style TTPFORGE fill:#8b5cf6,color:#fff
  style SIG fill:#dc2626,color:#fff
  style NEM fill:#8b5cf6,color:#fff
  style VECTR fill:#336791,color:#fff
  style PO fill:#336791,color:#fff
  style GW fill:#2d7d46,color:#fff
%% fig: Siklus emulasi adversary sampai pelaporan
%% desc: Threat intelligence memilih perilaku, test dijalankan, telemetri dinilai, lalu hasilnya ditrack dan dilaporkan sebelum kembali menjadi input.

Fig. 1: Siklus emulasi adversary sampai pelaporanThreat intelligence memilih perilaku, test dijalankan, telemetri dinilai, lalu hasilnya ditrack dan dilaporkan sebelum kembali menjadi input.

Control Validation Compass menyediakan bahan rujukan untuk siklus itu: 10.000+ kontrol teknis dan kebijakan yang dapat diakses publik, 2.100+ offensive security tests, dan hampir 600 teknik penyerang yang sama-sama dipetakan. Tidal Cyber menutup sisi sebaliknya dengan mendefinisikan, mengukur, dan memperbaiki pertahanan terhadap perilaku adversary yang paling penting bagi organisasi. README.md:324-329

⚠️ APTSimulator dan RTA meninggalkan jejak di host yang diuji. APTSimulator memakai output files agar sistem terlihat terkompromi, jadi jalankan pada host lab, bukan pada host produksi yang sedang diukur. README.md:354-366

Katalog living off the land

Subbagian Living Off the Living Off the Land mengumpulkan katalog per jenis artefak yang dipakai adversary untuk terlihat sah. README.md:386-396

Katalog	Artefak yang didokumentasikan	Deskripsi dari daftar
LOLBAS	Binary, script, dan library Windows	Mendokumentasikan setiap binary, script, dan library yang dapat dipakai untuk teknik Living Off The Land.
GTFOBins	Binary Unix	Daftar binary Unix yang dapat dipakai untuk melewati pembatasan keamanan lokal pada sistem yang salah konfigurasi.
LOOBins	Binary bawaan macOS	Informasi rinci binary bawaan macOS dan cara threat actor memakainya.
Living Off The Land Drivers	Driver Windows	Daftar driver Windows yang dipakai adversary untuk melewati kontrol keamanan.
Filesec	Ekstensi berkas	Ekstensi berkas yang sedang dipakai penyerang.
Living Off Trusted Sites (LOTS)	Domain dan subdomain sah	Domain populer yang dipakai untuk phishing, C&C, exfiltration, dan pengunduhan tool agar deteksi lolos.
WTFBins	Aplikasi sah berperilaku mencurigakan	Aplikasi benign yang memunculkan noise dan false positive pada threat hunting serta deteksi otomatis.
Hijack Libs	Kandidat DLL hijacking	Daftar kandidat DLL hijacking yang dikurasi.

Katalog-katalog itu dipisahkan oleh jenis artefak, bukan oleh teknik. Satu host dapat memuat binary LOLBAS, driver loldrivers, dan DLL Hijack Libs sekaligus, sementara LOTS dan Filesec bergerak di lapisan domain dan nama berkas.

graph LR
  W["Windows binary, script, library"] --> LOLBAS["LOLBAS"]
  U["Unix binary"] --> GTFOB["GTFOBins"]
  M["macOS built-in binary"] --> LOOB["LOOBins"]
  DRV["Windows driver"] --> LOLD["Living Off The Land Drivers"]
  EXT["File extension"] --> FS["Filesec"]
  DOM["Legitimate domain atau subdomain"] --> LOTS["Living Off Trusted Sites"]
  DLLQ["DLL search order"] --> HL["Hijack Libs"]
  BEN["Benign app yang berperilaku mencurigakan"] --> WTF["WTFBins"]

  style W fill:#f59e0b,color:#000
  style U fill:#f59e0b,color:#000
  style M fill:#f59e0b,color:#000
  style DRV fill:#f59e0b,color:#000
  style EXT fill:#f59e0b,color:#000
  style DOM fill:#f59e0b,color:#000
  style DLLQ fill:#f59e0b,color:#000
  style BEN fill:#f59e0b,color:#000
  style LOLBAS fill:#336791,color:#fff
  style GTFOB fill:#336791,color:#fff
  style LOOB fill:#336791,color:#fff
  style LOLD fill:#336791,color:#fff
  style FS fill:#336791,color:#fff
  style LOTS fill:#336791,color:#fff
  style HL fill:#336791,color:#fff
  style WTF fill:#336791,color:#fff
%% fig: Pemetaan jenis artefak ke katalog LOL
%% desc: Setiap jenis artefak yang dapat dipakai untuk living off the land punya katalog rujukannya sendiri, dari binary Windows sampai domain sah.

Fig. 2: Pemetaan jenis artefak ke katalog LOLSetiap jenis artefak yang dapat dipakai untuk living off the land punya katalog rujukannya sendiri, dari binary Windows sampai domain sah.

⚠️ Binary di katalog ini adalah binary sah yang memang terpasang di sistem. GTFOBins menargetkan sistem yang salah konfigurasi, dan WTFBins justru mencatat aplikasi benign yang memicu false positive. Memblokir seluruh isi katalog akan mengganggu operasi normal sekaligus membutakan deteksi berbasis perilaku. README.md:386-396

Red Team Scripts, infrastruktur, dan DevOps

Subbagian Red Team Scripts berisi tiga entri: kumpulan kode C untuk red team, informasi tentang EDR yang berguna selama latihan, dan Cobalt Strike Community Kit sebagai pusat ekstensi yang ditulis komunitas. README.md:398-403

Subbagian Red Team Infrastructure berisi satu entri: kumpulan sumber hardening infrastruktur red team. README.md:405-408

Subbagian DevOps berisi Nemesis, sebuah pipeline pengayaan data offensive sekaligus sistem pendukung operator. Perannya menyambung eksekusi dengan pelaporan: artefak dari operasi diolah lebih dulu sebelum masuk ke tracking dan laporan. README.md:410-413

Subbagian	Entri	Nilai untuk program
`Red Team Scripts`	`RedTeamCCode`, `EDRs`, `Cobalt Strike Community Kit`	Bahan kode, profil EDR yang dihadapi, dan ekstensi tooling.
`Red Team Infrastructure`	Satu kumpulan sumber hardening	Menjaga infrastruktur operasi tetap terkendali.
`DevOps`	`Nemesis`	Pengayaan data offensive dan dukungan operator.

Pelaporan, tracking, dan threat intelligence

Tiga entri di Reporting & Tracking menutup siklus pada diagram pertama. Ghostwriter adalah aplikasi web berbasis Django untuk satu operator atau satu tim red team. VECTR memudahkan tracking aktivitas uji red team dan blue team untuk mengukur kapabilitas deteksi serta pencegahan pada skenario serangan yang berbeda. PurpleOps adalah aplikasi web manajemen purple team yang di-host sendiri dan bersifat open source. README.md:415-420

Tool	Peran	Deskripsi dari daftar
Ghostwriter	Penulisan laporan	Aplikasi web berbasis Django untuk individu atau tim operator red team.
VECTR	Tracking dan pengukuran	Memudahkan tracking aktivitas uji red team dan blue team untuk mengukur kapabilitas deteksi dan pencegahan lintas skenario.
PurpleOps	Manajemen purple team	Aplikasi web manajemen purple team yang open source dan di-host sendiri.

Threat Intelligence menutup daftar dan menjadi masukan bagi putaran berikutnya. Isinya kumpulan laporan APT beserta IOC khusus, daftar sumber threat intelligence yang dikurasi, kumpulan sumber dari deep web dan dark web, dasbor yang menyatukan laporan vendor secara real time, serta pemeriksaan apakah sebuah email atau domain pernah terkena Infostealer. README.md:422-429

Fungsi katalog itu bukan menambah tool, melainkan memilih target emulasi. Laporan APT dan sumber dark web menentukan teknik mana yang layak diuji, Control Validation Compass memetakan teknik itu ke test yang tersedia, dan VECTR menyimpan hasilnya sebagai pembanding antar skenario. README.md:324-329 README.md:422-429