Red Team Cheat Sheet: Panduan Tools untuk Ethical Hacking dan Security Assessment

Kalau mendengar istilah Red Team, jangan langsung membayangkan seseorang ber-hoodie hitam, duduk di ruangan gelap, lalu mengetik command supercepat sambil ditemani layar penuh teks hijau. Itu cocok untuk film. Di dunia nyata, Red Team jauh lebih banyak berurusan dengan scope, evidence, attack path, log, dan—bagian yang kadang kurang sinematik—dokumentasi.

Artikel ini adalah #00 sekaligus halaman induk Red Team Cheat Sheet Series di YowisBen.com. Dari sini kita akan berjalan dari reconnaissance, Active Directory, privilege escalation, password auditing, Windows forensics, malware analysis, sampai detection dan hardening.

Aturan mainnya sederhana: seluruh teknik dalam seri ini digunakan untuk lab, CTF, sistem milik sendiri, atau security assessment yang memiliki authorization. Punya tool bukan berarti punya izin menggunakannya ke sembarang target.

Jadi, Apa Sebenarnya Red Team?

Red Team mencoba melihat environment dari perspektif adversary.

Bukan sekadar bertanya:

"Ada vulnerability apa?"

Tetapi lebih jauh:

"Kalau saya mulai dari sini, apakah saya bisa sampai ke aset penting organisasi?"

Bayangkan sebuah server memiliki port terbuka. Itu sendiri belum tentu masalah besar. Tetapi kalau service tersebut membocorkan informasi, informasi itu membantu menemukan account, account memiliki credential lemah, lalu account tersebut ternyata mempunyai akses ke sistem penting—nah, sekarang kita punya attack path.

Di situlah Red Team menjadi menarik.

Kita tidak sekadar mengoleksi vulnerability seperti mengoleksi stiker. Kita mencoba memahami bagaimana beberapa kelemahan kecil dapat dirangkai menjadi risiko yang jauh lebih besar.

Red Team vs Blue Team vs Purple Team

Supaya tidak tertukar, kita rapikan dulu istilahnya.

Red Team

Red Team mengambil perspektif ofensif. Aktivitasnya dapat meliputi reconnaissance, enumeration, initial access simulation, privilege escalation, credential access, lateral movement, sampai menguji apakah aktivitas tersebut terdeteksi oleh sistem pertahanan.

Blue Team

Blue Team berada di sisi pertahanan.

Mereka bekerja dengan firewall, EDR, SIEM, identity security, vulnerability management, network monitoring, incident response, threat hunting, dan berbagai kontrol lain yang tugasnya membuat hidup attacker tidak terlalu nyaman.

Purple Team

Purple Team bukan sekadar "warna merah dicampur biru"—meskipun secara teori warna memang begitu.

Dalam cybersecurity, Purple Team menggambarkan kolaborasi antara perspektif ofensif dan defensif.

Red Team menunjukkan bagaimana sebuah teknik bekerja. Blue Team melihat telemetry yang muncul, mencari detection gap, lalu memperbaiki kontrol.

Karena itu sepanjang seri ini kita akan sering memakai pola:

Attack → Evidence → Detection → Hardening

Jadi kita tidak berhenti di "wah, berhasil!". Pertanyaan berikutnya justru: bagaimana defender bisa melihat dan menghentikannya?

Red Team Bukan Pentest yang Ganti Nama

Pentest dan Red Team assessment memang beririsan, tetapi objective-nya tidak selalu sama.

Pentest biasanya berfokus pada pencarian dan validasi vulnerability dalam scope tertentu. Output-nya dapat berupa daftar temuan, severity, evidence, impact, dan rekomendasi remediation.

Red Team assessment lebih sering berorientasi pada objective.

Contohnya:

apakah attacker dapat mencapai server tertentu;
apakah account biasa dapat berkembang menjadi privilege tinggi;
apakah network segmentation benar-benar membatasi lateral movement;
apakah aktivitas tertentu terlihat oleh SOC;
apakah organisasi mampu merespons sebelum objective tercapai.

Artinya, Red Team tidak menang hanya karena menemukan 57 vulnerability. Bisa saja satu attack path yang sangat efektif jauh lebih penting daripada puluhan temuan kecil yang tidak saling berhubungan.

Sebelum Mengetik Command: Authorization

Ini bagian yang tidak keren untuk poster, tetapi justru paling penting dalam assessment profesional.

Sebelum membuka Nmap, BloodHound, Hashcat, atau tool lain, harus jelas dulu Rules of Engagement (RoE).

Setidaknya tentukan:

domain, IP, subnet, aplikasi, dan account yang masuk scope;
sistem yang tidak boleh disentuh;
waktu assessment;
teknik yang diperbolehkan;
teknik yang dilarang;
batas penggunaan credential;
aturan social engineering jika termasuk scope;
emergency contact;
kondisi yang mengharuskan assessment dihentikan;
cara menyimpan evidence;
prosedur cleanup setelah assessment.

Kenapa ribet?

Karena command yang santai dijalankan di lab bisa menjadi masalah serius ketika ditembakkan ke production.

Scanner terlalu agresif dapat mengganggu service lama. Authentication testing dapat memicu account lockout. Network scanning dapat membuat monitoring system panik. Bahkan query yang terlihat sederhana bisa berdampak berbeda pada sistem legacy.

Jadi prinsip pertama kita: authorization first, terminal later.

Bangun Lab, Jangan Belajar dengan Target Random

Cara paling nyaman mengikuti seri ini adalah membangun lab sendiri.

Tidak harus langsung membuat mini data center di kamar. Mulai sederhana:

satu attacker machine berbasis Linux;
satu atau dua Linux target;
Windows workstation;
Windows Server + Active Directory untuk materi AD;
vulnerable web application;
monitoring atau SIEM jika ingin belajar detection;
snapshot VM sebelum eksperimen.

VirtualBox, VMware, Proxmox, atau platform virtualisasi lain bisa digunakan.

Yang jauh lebih penting adalah network isolation.

Vulnerable VM jangan dilempar begitu saja ke Internet. Gunakan host-only network, VLAN khusus, firewall rule, atau segmentasi yang sesuai.

Snapshot juga sahabat baik kita. Salah konfigurasi? Restore. Sistem rusak? Restore. Eksperimen terlalu kreatif? Ya... restore lagi.

Bagaimana Attack Lifecycle Terlihat?

Tidak semua engagement mempunyai alur identik, tetapi kita bisa menggunakan model sederhana untuk memahami perjalanan sebuah assessment.

1. Reconnaissance: Kenalan Dulu

Sebelum mencoba masuk ke sebuah sistem, kita perlu tahu apa yang ada di sana.

Pertanyaannya sederhana:

host apa yang aktif?
domain dan subdomain apa yang tersedia?
port apa yang terbuka?
service apa yang berjalan?
teknologi web apa yang digunakan?
bagaimana struktur DNS-nya?

Di tahap ini kita akan bertemu Nmap, Naabu, Subfinder, HTTPX, dan FFUF.

Reconnaissance yang bagus sering membuat tahap berikutnya jauh lebih terarah.

2. Enumeration: Jangan Cuma Tahu Pintunya Ada

Recon menemukan pintu. Enumeration mencoba memahami pintu tersebut.

Misalnya Nmap menemukan:

22/tcp  open  ssh
80/tcp  open  http

Jangan langsung meloncat ke exploit.

Pertanyaannya justru:

SSH versi berapa?
authentication seperti apa?
web server apa?
aplikasi apa yang berjalan di port 80?
apakah ada endpoint lain?
apakah service seharusnya bisa diakses dari network kita?

Ini perbedaan antara menjalankan scanner dan melakukan assessment.

3. Initial Access

Setelah attack surface dipahami, assessment dapat menguji apakah kelemahan tertentu benar-benar dapat menghasilkan initial access.

Dalam seri ini, fokus kita bukan membuat resep menyerang target publik. Kita ingin memahami mekanismenya supaya tahu mengapa sebuah kontrol gagal dan bagaimana memperbaikinya.

4. Privilege Escalation

Mendapat akses belum tentu mendapat privilege tinggi.

Account biasa mungkin hanya dapat membaca beberapa file dan menjalankan aplikasi tertentu. Pertanyaan berikutnya adalah apakah ada misconfiguration yang memungkinkan privilege meningkat.

Untuk Linux, kita akan berkenalan dengan LinPEAS, pspy, dan GTFOBins.

Tetapi sekali lagi, jangan terjebak mentalitas "tool menemukan sesuatu = pasti vulnerability". Output tool harus dianalisis dalam konteks konfigurasi sebenarnya.

5. Credential Access

Credential adalah salah satu aset favorit dalam attack chain.

Kenapa?

Karena kadang lebih mudah masuk lewat pintu dengan kunci yang valid daripada mendobrak tembok.

Kita akan membahas password hash, Kerberos, service account, credential exposure, serta password auditing menggunakan tool seperti Hashcat dan John the Ripper.

Di sisi Blue Team, topik ini langsung bersinggungan dengan password policy, MFA, credential hygiene, identity monitoring, dan least privilege.

6. Lateral Movement dan Pivoting

Misalnya kita sudah berada di satu host.

Apakah selesai?

Belum tentu.

Pada network assessment, satu host dapat menjadi jalan menuju network segment lain. Di sinilah konsep lateral movement dan pivoting mulai relevan.

Kita akan mempelajari tunneling menggunakan tool seperti Chisel, tetapi sekaligus melihat bagaimana firewall, segmentation, EDR, dan network telemetry dapat membatasi pergerakan tersebut.

7. Detection & Response

Nah, bagian ini yang sering hilang dari cheat sheet ofensif.

Misalnya sebuah teknik berhasil. Pertanyaan kita tidak berhenti di sana.

Kita lanjut:

log apa yang muncul?
process apa yang terlihat?
network connection apa yang tercatat?
apakah EDR melihat aktivitas tersebut?
apakah SIEM memiliki detection rule?
apakah SOC menerima alert?
apakah alert tersebut cukup jelas untuk ditindaklanjuti?

Seri ini nantinya masuk ke Velociraptor, osquery, Chainsaw, Autoruns, Lynis, dan tool lain untuk menghubungkan offensive testing dengan defensive improvement.

Peta Red Team Cheat Sheet Series

Supaya tidak tersesat, berikut learning path kita.

Reconnaissance & Web Security

Nmap Cheat Sheet — network discovery, port scanning, service detection, dan NSE.
FFUF Cheat Sheet — content discovery dan web fuzzing.
Naabu Cheat Sheet — fast port discovery dan reconnaissance pipeline.
Subfinder + HTTPX — subdomain enumeration dan HTTP probing.
SQLMap Cheat Sheet — SQL injection testing dalam assessment yang memiliki authorization.

Active Directory Security

BloodHound Cheat Sheet — relationship dan attack path Active Directory.
SecretsDump — memahami credential exposure pada Windows dan AD.
Kerbrute Cheat Sheet — Kerberos enumeration.
GetUserSPNs & Kerberoasting — memahami risiko service account.
Certipy Cheat Sheet — audit Active Directory Certificate Services.
Responder — memahami risiko LLMNR/NBT-NS poisoning.

Access & Privilege Escalation

Evil-WinRM Cheat Sheet — Windows Remote Management dalam security testing.
LinPEAS Cheat Sheet — Linux privilege escalation enumeration.
pspy — monitoring process Linux tanpa root.
GTFOBins — binary Linux dan jalur privilege escalation.
Chisel Cheat Sheet — tunneling, pivoting, segmentation, dan detection.

Password Security

Hashcat Cheat Sheet — password hash auditing dengan GPU.
John the Ripper Cheat Sheet — password auditing dan policy testing.
Wordlists untuk Pentesting — RockYou, SecLists, custom dictionary, dan wordlist hygiene.

Windows Forensics

AmcacheParser Cheat Sheet — investigasi program execution.
MFTECmd Cheat Sheet — NTFS Master File Table.
SBECmd Cheat Sheet — Windows ShellBags.
JLECmd Cheat Sheet — Windows Jump Lists.
AppCompatCacheParser — ShimCache Windows.
Windows Registry & Scheduled Tasks — threat hunting terhadap persistence.

Memory & Malware Analysis

Volatility 3 Cheat Sheet — memory forensics.
CAPA Cheat Sheet — mengenali capability malware.
OleVBA Cheat Sheet — analisis macro Microsoft Office.
YARA Cheat Sheet — malware detection dan threat hunting.
TShark Cheat Sheet — network forensics dari command line.

Detection & Hardening

Velociraptor Cheat Sheet — endpoint threat hunting dan digital forensics.
osquery Cheat Sheet — query endpoint seperti database.
Chainsaw Cheat Sheet — hunting Windows Event Log menggunakan Sigma.
Autoruns Cheat Sheet — mendeteksi persistence pada Windows.
Lynis & rkhunter Cheat Sheet — Linux security audit dan hardening.

Lalu kita tutup dengan artikel Dari Red Team ke Blue Team: Mengubah Temuan Pentest Menjadi Detection & Hardening.

Jangan Hafalkan Command, Pahami Lima Hal Ini

Cheat sheet memang menyenangkan. Tinggal copy, paste, Enter.

Masalahnya, kalau tidak memahami apa yang terjadi, kita cuma berubah menjadi operator keyboard yang sangat cepat.

Untuk setiap tool dalam seri ini, biasakan bertanya lima hal:

Purpose — masalah apa yang diselesaikan tool ini?
Input — data apa yang dibutuhkan?
Output — apa arti hasilnya?
Risk — apa dampaknya terhadap target?
Detection — artifact atau telemetry apa yang ditinggalkan?

Kalau lima hal tersebut dipahami, berganti tool tidak terlalu menakutkan.

Syntax berubah. Tool bisa mati project-nya. Tool baru muncul setiap tahun. Tetapi konsep network, protocol, identity, process, privilege, dan logging jauh lebih tahan lama.

Cheat Sheet Itu Contekan, Bukan Kitab Suci

Misalnya Nmap menemukan port 445 terbuka.

Jangan langsung:

"Wah SMB! Cari exploit!"

Santai dulu.

Kita perlu memahami versi protocol, authentication, network exposure, patch level, konfigurasi host, dan konteks environment.

Sama halnya ketika menemukan domain account. Account tersebut belum tentu berguna untuk attack path. Kita masih harus memahami privilege, group membership, credential policy, dan relationship dengan sistem lain.

Karena itu setiap artikel akan menjelaskan mengapa sebuah command digunakan, bukan sekadar memberikan command untuk dicopy.

MITRE ATT&CK: Tool Bisa Berganti, Technique Tetap Penting

MITRE ATT&CK membantu kita menghubungkan aktivitas adversary dengan tactics dan techniques.

Daripada hanya menulis:

"Tool X berhasil dijalankan."

lebih berguna jika kita memahami:

technique apa yang sedang dilakukan;
telemetry apa yang muncul;
data source apa yang diperlukan defender;
kontrol apa yang dapat menghentikannya.

Hari ini sebuah teknik mungkin dilakukan dengan Tool A. Besok muncul Tool B. Minggu depan seseorang membuat Tool C karena rupanya dunia cybersecurity kekurangan satu tool lagi.

Tetapi konsep tekniknya bisa tetap sama.

Think Like Red, Report Like Blue

Bayangkan kita menemukan attack path:

External Service
      ↓
Credential Exposure
      ↓
User Account
      ↓
Misconfiguration
      ↓
Privilege Escalation
      ↓
Critical Server

Laporan yang hanya berisi "password lemah" dan "privilege escalation ditemukan" kehilangan cerita pentingnya.

Yang jauh lebih berguna adalah menjelaskan:

bagaimana initial activity terjadi;
evidence apa yang ditemukan;
log apa yang tersedia;
detection apa yang seharusnya muncul;
kontrol mana yang gagal;
bagaimana attack path dapat diputus.

Inilah alasan kita memakai prinsip:

Think like Red. Report like Blue.

Tujuan akhirnya bukan membuat screenshot terminal terlihat keren. Tujuannya membuat organisasi lebih sulit ditembus dan lebih cepat mendeteksi serangan.

Prinsip yang Akan Kita Bawa Sepanjang Seri

Authorization First

Tidak ada authorization? Jangan scan.

Enumeration Before Exploitation

Semakin baik kita memahami environment, semakin sedikit eksperimen agresif yang diperlukan.

Minimum Impact

Kita membutuhkan evidence yang cukup, bukan kerusakan sebanyak mungkin.

Document Everything

Catat waktu, target, command, output, perubahan, dan evidence.

Percayalah, "nanti saya ingat" adalah sistem dokumentasi yang performanya sangat buruk.

Attack → Evidence → Detection → Hardening

Setiap teknik sebisa mungkin kita lihat dari kedua sisi.

Cleanup

File sementara, account testing, tunnel, scheduled task, atau artifact lain harus ditangani sesuai RoE setelah engagement selesai.

Output Red Team Bukan Screenshot Terminal

Deliverable yang matang dapat berisi:

executive summary;
scope dan Rules of Engagement;
attack narrative;
attack path;
evidence;
affected assets;
business impact;
mapping MITRE ATT&CK;
detection gap;
rekomendasi remediation;
prioritas perbaikan;
hasil retest.

Manajemen perlu memahami risikonya. Engineer perlu tahu apa yang harus diperbaiki. SOC perlu tahu apa yang harus dideteksi.

Satu assessment, tiga perspektif.

Siap Masuk Terminal?

Sekarang fondasinya sudah jelas.

Red Team bukan tentang siapa yang punya koleksi tools paling banyak. Red Team adalah tentang memahami attack surface, menemukan attack path, menguji kontrol, mengumpulkan evidence, dan membantu organisasi menutup gap yang ditemukan.

Artikel berikutnya membawa kita ke tool yang hampir pasti pernah ditemui siapa pun yang belajar network security: Nmap.

Kita akan melihat bagaimana melakukan host discovery, port scanning, service detection, membaca hasil scan, sampai melihatnya dari perspektif Blue Team.

Dan ya, akhirnya kita boleh membuka terminal.

Referensi Resmi

MITRE ATT&CK — https://attack.mitre.org/
NIST Cybersecurity Framework — https://www.nist.gov/cyberframework
Nmap Documentation — https://nmap.org/docs.html
BloodHound Documentation — https://bloodhound.specterops.io/
Volatility 3 Documentation — https://volatility3.readthedocs.io/
YARA Documentation — https://yara.readthedocs.io/