Have a question?
Send enquiry
Message sent Close

Blog

BlueTeam.id > Blog > Blog > Cyber Defense > Skill Paling Diremehkan di Blue Team: Menulis

Kerjaan lo nggak ada yang lihat. Yang dilihat cuma hasilnya, dan kualitas dari hasil yang lo berikan itu dilihat dari bagaimana lo menuliskannya.

Jam 02.30

Incident baru aja reda. Lo udah tiga jam gak keluar dari ruang SOC, tracing IOCs, blokir IP, evakuasi host yang kena. Mata perih, kopi kedua udah dingin, dan grup chat masih rame oleh jari-jari yang nggak bisa tidur.

Tapi kerjaan belum selesai.

Sekarang lo harus nulis. Incident report. Executive brief. Email status update. Sesuatu yang bakal dibaca direksi besok pagi sambil sarapan, dan bakal nentuin apakah tiga jam kerjaan lo tadi keliatan kayak incident response yang presisi, atau malah kayak huru hara nggak jelas saja.

Dan di momen itu, skill yang paling nentuin karier lo bukan Incident Handling, bukan jago SIEM query, bukan juga kemampuan analisis. Tapi kemampuan lo nulis.

Ironisnya, ini skill yang paling diremehin di dunia blue team dan cybersecurity secara umum, atau mungkin juga di dunia profesional yang lebih luas. Nggak ada satu pun sertifikasi cybersecurity/blue team yang ngajarin. Nggak ada training wajib. Semua orang nganggepnya “udah bisa lah, kan bisa ngetik”, padahal menulis dengan jelas itu salah satu skill yang paling susah dikuasai, tapi paling besar rewardnya.

Lo sebenarnya nulis terus, tanpa sadar

Coba lo hitung sendiri dalam seminggu terakhir, berapa kali lo nulis:

  • Catatan investigasi di case/ticket: di SOAR, SIEM, atau tools ticketing. Yang dibaca orang lain pas lo cuti.
  • Shift handover notes: ritual harian di SOC 24/7. Yang nentuin apakah shift berikutnya mulainya mulus atau dimulai dengan kebingungan.
  • Laporan incident / postmortem: dokumen yang bakal dibaca management, auditor, bahkan regulator.
  • Playbook & runbook: SOP yang nggak bisa diikuti = SOP yang nggak ada.
  • Alasan bikin detection rule: kenapa rule ini ada, apa yang dia tangkap, apa yang dia lewatkan. Tanpa ini, rule lo jadi “magic yang nggak bisa disentuh siapa pun”.
  • Threat intel write-up: TTP, IoC, campaign, yang dibaca analyst lain buat ambil keputusan.
  • Wiki / knowledge base tim: akumulasi otak dan pemikiran tim. Kalau nggak ditulis, otak itu pulang jam 6 sore atau resign setelah 1 tahun :-D.
  • Email ke stakeholder pas incident: update berkala yang dikirim ke exec/BoD sambil tim masih kerja.

Kalau dijumlah, satu blue teamer bisa nulis 2 sampai 4 jam sehari. Mungkin lebih dari waktu dia beneran “hunting” atau “ngoding”. Dan di semua momen itu, kualitas tulisan lo = kualitas kerjaan lo di mata orang lain.

Ini poin yang sering bikin orang defensif, jadi gue ulangi: kerjaan lo itu nggak ada yang lihat. Yang dilihat cuma representasinya. Dan representasi itu adalah tulisan lo.

Menulis itu tes pemahaman paling jujur

Ada alasan kenapa menulis itu susah: menulis itu berpikir yang dipaksa keliatan.

Coba lo jelasin satu detection rule yang lo bikin, ke orang yang baru join. “Ya gini lah, kalau ada ini muncul, berarti itu.” Kalau lo nggak bisa nulis penjelasannya dengan jelas, kemungkinan besar lo nggak paham sepenuhnya, lo cuma tahu cara kerjanya secara naluriah.

Menulis maksa otak lo:

  • Nentuin urutan: apa yang terjadi duluan, apa yang nyebabin apa.
  • Nentuin prioritas: mana yang penting, mana yang noise.
  • Nemu celah: pas nulis, lo bakal nemu pertanyaan yang belum lo jawab. “Eh, kok bisa gini? Kenapa?” Itu tanda bagus. Berarti lo baru nemu kelemahan pemahaman lo sendiri.

Analyst yang nulis postmortem-nya sendiri itu, dalam prosesnya, jadi lebih paham incident-nya daripada yang cuma “ngerjain terus move on”. Karena nulis itu replay, lo ulang kejadiannya, lo rakit ulang kronologinya, lo dipaksa nemu akar masalahnya.

Di dunia yang makin penuh AI dan automation, pemahaman kayak gini justru makin mahal. Lo bisa generate report pakai AI, tapi lo nggak bisa generate pemahaman pakai AI. AI cuma ngerapiin yang udah lo paham.

“Kalau AI udah bisa nulis, kenapa gue masih perlu belajar nulis?”

Pertanyaan yang sekarang selalu muncul, dan wajar. AI udah bisa bikin laporan, ringkasan, bahkan blog post dalam hitungan detik. Terus, buat apa repot-repot belajar nulis?

Jawaban singkat: AI ngilangin effort-nya, tapi nggak ngilangin kebutuhan mikirnya. Dan justru karena AI ada, kemampuan nulis manusia makin berharga, bukan makin murah. Ini alasannya:

1. Kualitas output AI = kualitas pemikiran lo (garbage in, garbage out)

AI nggak ngerti incident lo. Dia cuma nyusun ulang apa yang lo kasih. Lo kasih data yang berantakan, lo dapet laporan yang berantakan juga. Lo kasih analisis yang tajam, lo dapet laporan yang tajam. Prompt “tulis report incident ini” dari orang yang paham vs yang nggak paham hasilnya beda jauh, dan yang nentuin itu bukan AI-nya, tapi pemahaman yang masuk ke prompt. Nulis itu cara lo nge-structure pemikiran sebelum AI sentuh.

2. AI bikin nulis murah → clarity makin mahal

Dulu, bisa nulis rapi itu udah keunggulan. Sekarang semua orang bisa generate teks rapi dalam 10 detik. Berarti yang ngebedain bukan lagi “bisa nulis atau nggak”, tapi “tahu apa yang penting”. AI kasih lo 1.000 kata; skill lo nentuin 100 kata mana yang bener-bener perlu dibaca direksi. Itu nggak bisa di-delegate. Itu judgment, dan judgment itu dibangun dari kebiasaan nulis & mikir.

3. AI suka ngarang/halu, verifikasi butuh pemahaman

AI emang hobinya halusinasi (setidaknya sampai tulisan ini dibikin). Dia bisa nulis timeline yang mulus padahal kejadiannya nggak gitu, ngebuat IOC yang nggak pernah ada, atau nyimpulin root cause yang salah dengan percaya diri yang nggak masuk akal. Laporan yang salah itu lebih bahaya dari laporan yang jelek, karena keliatan bener. Buat nangkep itu, lo harus paham materi lebih dalem dari AI-nya. Yang bisa nulis, bisa baca hasil generate AI secara kritis; yang bisa baca kritis, bisa nangkep kalau AI lagi bohong/halu.

4. Peran lo berubah dari penulis jadi editor, dan editing itu skill nulis yang lebih susah

Di era AI, blue teamer yang jago nulis nggak ilang kerjaan: dia naik level jadi editor. Ngedit itu nentuin apa yang dipotong, apa yang digarisbawahi, nada yang pantes, fakta mana yang diraguin. AI ngasih first draft, lo yang nentuin draft itu layak dikirim atau nggak. Dan percaya deh: ngedit tulisan orang (atau mesin) itu butuh skill nulis yang lebih tinggi daripada nulis dari nol.

5. Efek “menulis = berpikir” nggak bisa di-outsource

Kalau lo serahin nulis report ke AI mentah-mentah, lo kehilangan proses mikirnya, dan proses itu justru bagian yang paling berharga. AI bisa ngehasilin postmortem yang indah dari pemahaman lo yang salah. Tulisan rapi yang isinya salah itu cuma nunjukin kebodohan dengan lebih jelas.

6. Di lautan konten AI, tulisan manusia makin langka, dan makin dipercaya

Coba scroll feed mana pun sekarang: mayoritas konten tuh AI-generated, generik, nggak ada rasanya. Di tengah banjir itu, tulisan yang beneran dari pengalaman, incident yang beneran lo handle, pelajaran yang beneran lo rasain, jadi makin berharga. Trust jadi mata uang langka, dan pengalaman yang ditulis manusia itu trust. Buat lo yang ngeblog: ini justru momen terbaik buat nulis.

Jadi gimana sikap yang bener? Pakai AI gak ada masalah, tapi jangan nyerah mikir. Bikin dia jadi asisten buat nge-draft, bukan pengganti otak: minta dia ngerapiin struktur, ngecek ulang kronologi, ngasih opsi nada. Tapi tiap kata yang keluar, lo yang tanggung jawab. Rule of thumb: kalau lo nggak bisa nulis sendiri, lo juga nggak bisa nge-judge hasil AI. Dan kalau lo nggak bisa nge-judge, lo nggak pantes kirim/publish tulisan itu.

Efek domino: kenapa penulis selalu menang jangka panjang

Ini bagian yang paling gue suka, karena ini yang nggak keliatan di awal karir.

Menulis itu efek domino/compound interest-nya dunia kerja. Nggak kerasa di bulan pertama, tapi 3 sampai 5 tahun kemudian gap-nya nggak kebayang:

1. Visibility

Orang yang nulis report bagus bakal diinget. Bukan karena pamer, tapi karena tulisannya bikin kerjaan tim keliatan. Management nggak punya waktu nonton lo kerja, yup mereka baca. Yang nulisnya jelas, mereka berarti paham; yang paham, berarti mereka percaya.

2. Reputasi

Analyst yang playbook-nya enak dibaca, wiki-nya rapi, postmortem-nya jelas, itu jadi jembatan. Di mata lead dan manager, orang kayak gini lebih berharga dalam tim karena mampu menjembatani antara hasil teknis dan non-teknis.

3. Karir

Naik level itu nggak cuma soal skill teknis. Leveling butuh bukti dan hasil, dan hasil yang gampang untuk diliat biasanya: review, laporan, proposal, email, wiki, sop, policy. Junior yang bisa nulis kayak senior bakal dipromosiin lebih cepet, karena dia udah keliatan “siap”.

4. Brand

Kalau lo nulis di tempat umum kayak blog, LinkedIn, dan komunitas, lo dapet efek yang lebih besar lagi: lo dikenal di luar tim lo. Job opportunity dateng sendiri. Undangan ngomong. Koneksi. Tulisan itu kerja sekali, tapi dibaca berkali-kali, sama orang yang gak pernah ketemu lo.

Dan poin terakhir ini penting banget buat komunitas kayak kita: tulisan lo bantu orang lain. Setiap postmortem yang lo share, setiap playbook yang lo buat publik, itu nyimpen waktu buat 100 orang lain yang ngalamin masalah yang sama. Pengetahuan yang nggak ditulis itu akan hilang. Yang ditulis, jadi aset.

5 aturan nulis buat blue teamer, menurut pemahaman gue

Oke, teori udah cukup. Ini yang bisa lo pakai mulai hari ini:

1. BLUF: Bottom Line Up Front

Kesimpulan taruh di paling atas/awal. Selalu. Pembaca lo (lead, manager, direksi) itu orang sibuk dengan attention span pendek. Jangan bikin mereka nebak. Strukturnya: jawabannya dulu, baru kronologinya.

Contoh:

“Deteksi phishing campaign ke akun finance, 3 user terpengaruh, semua udah di-reset dan di-block. Detail di bawah.”

itu aja udah 90% report-nya buat kebanyakan pembaca.

2. Tulis buat pembaca jam 03.00

Report lo suatu saat bakal dibaca orang yang lagi emergency, setengah sadar, dan baru pertama kali buka dokumen lo. Tanya diri lo ketika nulis: “Orang ini bisa ngerti tanpa nanya gue?” Kalau jawabannya nggak, tulis ulang atau revisi lagi.

3. Bahasa manusia dulu, jargon belakangan

Jargon itu bahasa internal tim, enak buat lo, musuh buat orang luar. Aturannya: kalau dokumen bakal dibaca di luar tim lo (management, auditor, tim lain), jelasin istilah pas pertama muncul. Contoh: “MFA fatigue attack (serangan spam notifikasi login sampe user capek dan approve)”, cuma butuh sekitar 5 detik, selesai.

4. Dampak bisnis dulu, detail teknis belakangan

Ini yang paling sering salah. “CVE-2024-XXXX, CVSS 9.8, RCE di produk Y blablabla” itu bukan dampak. Dampak itu: “Server yang ngurus pembayaran pelanggan bisa diambil alih orang luar; estimasi kerugian X; butuh patching dalam 48 jam.”

Severity teknis nggak ngomong apa-apa ke direksi. Dampak bisnis yang bisa ngomong, dan Direksi bisa langsung paham dan bayangin.

5. Template > kertas kosong

Jangan mulai dari nol setiap kali mau nulis, kecuali untuk hal-hal yang benar-benar baru. Bangun template library: incident report, handover notes, exec summary, email update. Struktur yang udah jadi itu nyimpen energi buat mikir isinya aja, dan ngejamin konsistensi tim. Kalau tim lo belum punya, bikin sendiri buat lo, terus share ke yang lain.

Contoh: exec summary yang jelek vs yang bagus, at least menurut gue ya

 

❌ Jelek:

“Pada pukul 02.15 WIB, terdeteksi anomali pada host WIN-FIN-03. Setelah dilakukan analisis terhadap log EDR, ditemukan indikasi aktivitas mencurigakan berupa execution of powershell.exe dengan command line yang terobfuskasi, berpotensi terkait dengan T1059.001. Kami melakukan containment dengan mengisolasi host dan memblokir IP 45.x.x.x. Investigasi masih berlanjut.”

Lo bisa baca itu dua kali dan tetep nggak tahu: ini bahaya apa nggak? Perlu tindakan apa? Bisa tidur tenang apa nggak?

✅ Bagus:

Status: 1 user terpengaruh, sudah dikendalikan, risiko rendah.

Malam ini sekitar 02.15, satu laptop karyawan finance terkena malware (kemungkinan dari email phishing). Laptopnya sudah diisolasi oleh tim SOC, malware-nya sudah di-block, dan akunnya sudah di-reset. Data sensitif diprediksi tidak terdampak. Tim akan pantau 24 jam ke depan dan lapor lagi besok pagi. Detail teknis ada di lampiran.

Perhatiin bedanya: yang kedua bisa dibaca dalam 15 detik, jawab semua pertanyaan penting (kena apa, seberapa parah, udah diapain, apa next step), dan naruh detail teknis di tempat yang pantes, di lampiran, buat yang emang butuh.

6 kesalahan yang bikin report lo nggak dibaca

  1. Nulis kronologi tanpa kesimpulan: pembaca harus baca 5 paragraf dulu buat tahu “terus gue harus apa?”
  2. Jargon soup: 10 singkatan dalam satu paragraf. Singkatan itu kayak emoji: boleh, tapi jangan semua dan kebanyakan.
  3. Nggak ada dampak bisnis: severity teknis doang. “RCE di server” tanpa “yang ngejalanin pembayaran pelanggan”.
  4. Nggak ada next step / ask: report yang nggak bilang “tolong approve patching” itu cuma laporan, bukan kerjaan.
  5. Nulis buat diri sendiri: pakai asumsi yang cuma lo yang tahu. Inget pembaca jam 03.00.
  6. Kronologi bolong: timeline yang lompat-lompat. 02.15 deteksi, 03.40 containment, terus 02.15 sampai 03.40 ngapain? Yang baca bakal curiga.

Cara mulai (tanpa harus jago nulis)

Nggak perlu langsung ngeblog. Mulai dari yang kecil, naik level pelan-pelan:

  • Minggu 1 dan 2: Tulis ulang catatan ticket lo. Satu paragraf: apa yang kejadian, apa yang lo lakuin, apa hasilnya. Rapi, bukan copy-paste log.
  • Minggu 3 dan 4: Bikin template handover & report buat diri lo sendiri. Terus bagusin tiap minggu.
  • Bulan 2: Tulis postmortem dari incident terakhir tim lo (yang udah selesai, tenang, gak perlu buru-buru dan dikejar waktu). Fokus di pelajaran, bukan nyari salah siapa.
  • Bulan 3: Mulai nulis di internal dulu, wiki tim, share ke grup internal. Minta feedback dari temen se-tim, diluar tim dan juga leader lo.
  • Bulan 4+: Baru ke publik. Blog, LinkedIn, komunitas. Dan lo bakal nemu: yang lo tulis ternyata ngebantu orang, dan orang-orang mulai kenal lo.

Satu tips terakhir: tulis jelek dulu. Kebanyakan orang nunggu “pantes” buat mulai nulis, percaya deh hal kayak gitu nggak akan pernah datang. Tulis aja yang jelek dulu, publish, terus bagusin dari feedback. Gue jamin: tulisan lo yang sekarang yang baru mulai, 6 bulan lagi setelah lo konsisten, lo bakal liat dan tau kalau tulisan awal lo itu jelek. Itu bagus, itu artinya lo bertumbuh dan berkembang. Good job.

Penutup

Blue team itu sering dianggap dunia orang teknis: bahasa mesin, log, query, malware. Dan memang, semua itu penting. Tapi di ujung semua kerjaan teknis itu, selalu ada momen yang sama: satu manusia nulis, biar manusia lain paham.

Yang bisa ngelakuin itu dengan baik, di tim, di komunitas, di industrinya, itu yang bakal terus naik. Skill menulis itu bukan pelengkap. Itu skill inti, yang nyambungin semua skill teknis lo ke dunia yang beneran mau bayar: dunia manusia.

Jadi, mau mulai dari mana? Tulis satu catatan investigasi yang rapi hari ini. Atau tulis ulang report terakhir lo dengan aturan BLUF. Satu halaman aja. Nggak perlu sempurna.

Tulis jelek dulu. Nanti bagusnya nyusul secara perlahan.

Bonus kalau lo baca sampai sini: kalau lo mau tulisan lo gue bantu review atau kasih feedback, feel free buat post itu di discord BlueTeam.id ya, tag gue (@Wahyu N/@thecyberdefender) biar gue ngeh kalau lo mau tulisannya di review.

Disclaimer: tulisan ini ditulis bersama dengan AI juga, biar cepet dan hasilnya lebih terstruktur, AI juga bantu gue buat brainstorming dan nge-challenge pemahaman gue soal teori dan tips terkait menulis.

Semoga bermanfaat dan terima kasih sudah membaca sampai akhir.