Pemberantasan, Pemulihan, dan Pembelajaran

Pemberantasan menghapus ancaman dari semua sistem yang terdampak. Setelah pembatasan memastikan cakupan insiden, pemberantasan memastikan tidak ada mekanisme keberlangsungan yang tersisa — perangkat lunak berbahaya, pintu belakang, kredensial yang disusupi, atau akun tidak sah.

Pemberantasan menyeluruh mencakup:

• Hapus semua perangkat lunak berbahaya dan program sisipan yang ditemukan dalam penyelidikan
• Hapus akun pengguna tidak sah dan kunci SSH yang ditambahkan penyerang
• Hapus pekerjaan cron, kunci jalankan registri, dan tugas terjadwal yang ditambahkan penyerang
• Tambal kerentanan yang memungkinkan akses awal
• Atur ulang semua kredensial yang disusupi
• Bangun ulang sistem yang sangat disusupi dari citra yang telah dipastikan bersih

Untuk sistem yang sangat disusupi, membangun ulang dari citra bersih lebih dapat diandalkan daripada mencoba menghapus semua artefak perangkat lunak berbahaya. Program penyamaran tingkat sistem dan program sisipan yang bertahan dapat lolos dari upaya pembersihan. Risiko ada sesuatu yang terlewat terlalu tinggi untuk sistem penting.

Setelah pembersihan, verifikasi:

• Pindai ulang dengan beberapa alat AV/EDR
• Tinjau mekanisme keberlangsungan (program mulai otomatis, cron, layanan)
• Periksa akun pengguna atau kunci SSH baru
• Pantau lalu lintas jaringan untuk mencari panggilan balik ke server kendali
• Jalankan pemeriksaan keutuhan pada berkas biner penting

Pemulihan mengembalikan sistem ke operasi normal dengan aman. Mempercepat pemulihan tanpa memastikan pemberantasan dapat menyebabkan infeksi ulang. Kegiatan utama:

• Pulihkan dari cadangan bersih yang telah diverifikasi jika diperlukan
• Kembalikan sistem ke jaringan secara bertahap dengan pemantauan yang ditingkatkan
• Verifikasi keutuhan dan pengoperasian sistem yang benar
• Pantau tanda-tanda kembalinya penyerang

Memulihkan dari cadangan:

• Verifikasi keutuhan cadangan (perbandingan nilai hash)
• Pulihkan ke lingkungan yang bersih (bukan lingkungan yang sama yang telah disusupi)
• Uji sistem yang dipulihkan sebelum mengembalikannya ke lingkungan produksi
• Untuk perangkat lunak pemeras: pastikan perangkat lunak berbahaya dihapus sebelum memulihkan berkas

Setelah pemulihan, tingkatkan intensitas pemantauan:

• Pencatatan yang ditingkatkan pada sistem yang dipulihkan selama 30 hari atau lebih
• Beri peringatan untuk aktivitas apa pun yang sesuai dengan taktik, teknik, dan prosedur penyerang
• Tinjau aliran jaringan untuk mencari koneksi yang tidak biasa
• Validasi ulang kendali akses dan izin

Tinjauan pascainsiden (pembelajaran) harus dilakukan dalam 1–2 minggu. Peserta: tim IR, pemilik sistem yang terdampak, dan manajemen. Tujuan: memahami akar masalah, meningkatkan pertahanan, dan memperbarui prosedur.

RCA menanyakan: mengapa ini terjadi?

• Apa vektor serangan awalnya?
• Kendali apa yang gagal atau tidak tersedia?
• Berapa lama penyerang berada di dalam sistem sebelum terdeteksi?
• Bagaimana penyerang bergerak secara lateral?
• Data apa yang diakses atau dikeluarkan tanpa izin?

Metrik IR utama yang perlu dilacak:

• MTTD — Rata-rata Waktu untuk Mendeteksi
• MTTR — Rata-rata Waktu untuk Merespons/Memulihkan
• MTTC — Rata-rata Waktu untuk Membatasi
• Jumlah sistem yang terdampak
• Cakupan paparan data

Hasil pembelajaran:

• Perbarui panduan respons dengan taktik, teknik, dan prosedur baru yang diamati
• Terapkan kemampuan deteksi yang belum tersedia
• Tambal kerentanan yang telah diidentifikasi
• Jadwalkan pelatihan tentang kekurangan yang telah ditemukan
• Perbarui templat komunikasi

Mengapa membangun ulang sistem yang sangat disusupi dari citra bersih sering kali lebih disarankan daripada mencoba membersihkannya?

Pemberantasan menghapus semua artefak penyerang: perangkat lunak berbahaya, pintu belakang, akun tidak sah, dan mekanisme keberlangsungan server kendali. Untuk sistem yang sangat disusupi, bangun ulang alih-alih membersihkannya. Pemulihan mengembalikan operasi dari cadangan bersih yang telah diverifikasi dengan pemantauan yang ditingkatkan. Tinjauan pascainsiden mengidentifikasi akar masalah, mengukur MTTD/MTTR, dan meningkatkan respons di masa mendatang melalui panduan respons yang diperbarui serta deteksi baru.