Buku Panduan dan Sistem Tiket

Panduan penanganan (atau panduan operasional) adalah prosedur terdokumentasi, langkah demi langkah, untuk menangani jenis peringatan atau insiden tertentu. Panduan penanganan membuat respons menjadi konsisten, cepat, dan dapat diaudit.

Tanpa panduan penanganan, dua analis mungkin menangani peringatan pengelabuan yang sama dengan cara yang sangat berbeda. Dengan panduan tersebut, kualitas penanganan tidak bergantung pada siapa yang sedang bertugas.

Panduan penanganan yang baik memiliki struktur yang dapat diprediksi agar analis dapat mengikutinya saat berada di bawah tekanan:

• Pemicu — peringatan atau kondisi yang memicu panduan ini
• Cakupan — hal-hal yang dicakup dan tidak dicakup
• Langkah-langkah — tindakan penyelidikan dan penanganan yang berurutan
• Titik keputusan — logika percabangan untuk berbagai temuan
• Kriteria eskalasi — kapan kasus harus dialihkan
• Kondisi penutupan — kapan kasus selesai

Bayangkan sebuah surel pengelabuan yang dilaporkan. Panduan penanganan yang umum merinci langkah-langkah yang jelas:

Insiden nyata tidak berjalan lurus. Panduan penanganan mencakup titik keputusan yang bercabang berdasarkan temuan Anda.

Misalnya, dalam panduan penanganan pengelabuan:

• Apakah ada yang mengeklik tautan? Jika tidak, lakukan penahanan dan tutup kasusnya. Jika ya, lanjutkan ke penanganan kompromi kredensial.
• Apakah kredensial dimasukkan? Jika ya, paksa pengaturan ulang kata sandi dan periksa upaya masuk yang mencurigakan.

Percabangan menjaga agar panduan penanganan tetap proporsional: upaya minimal untuk laporan yang tidak berbahaya dan penanganan menyeluruh untuk kompromi nyata.

Sistem tiket (pengelolaan kasus) adalah sistem pencatatan resmi untuk setiap peringatan dan insiden. Setiap kasus merupakan tiket yang melacak seluruh proses penyelidikan.

Platform yang umum digunakan mencakup pengelola kasus SOAR, ServiceNow, Jira, atau alat IR khusus. Tiket adalah tempat bukti, linimasa, dan keputusan dicatat sehingga tidak ada yang bergantung pada ingatan atau pesan obrolan.

Tiket yang bermanfaat mencatat semua hal yang diperlukan untuk memahami dan mengaudit suatu kasus:

• Judul — ringkas dan spesifik
• Tingkat keparahan dan status
• Aset dan pengguna yang terdampak
• Linimasa langkah-langkah penyelidikan beserta cap waktunya
• Bukti dan indikator kompromi
• Hasil penanganan dan tindakan yang diambil

Tulislah tiket seolah-olah orang yang tidak mengenal kasus ini akan membacanya saat audit setahun dari sekarang, karena hal itu mungkin terjadi.

Kolom status dan tingkat keparahan yang konsisten membuat antrean mudah dikelola dan metrik lebih bermakna.

Jika suatu insiden mungkin berujung pada tindakan hukum atau melibatkan HR, penanganan bukti menjadi penting. Rantai penguasaan bukti mendokumentasikan siapa yang mengumpulkan setiap bukti, kapan bukti itu dikumpulkan, dan bagaimana penyimpanannya.

Tiket mendukung hal ini dengan mencatat:

• Waktu dan sumber setiap artefak secara tepat
• Analis yang mengumpulkannya
• Nilai hash yang membuktikan bahwa bukti tidak diubah

Penanganan bukti yang ceroboh dapat membuat temuan tidak dapat diterima atau diperdebatkan.

Tiket memberlakukan Perjanjian Tingkat Layanan (SLA) yang menentukan seberapa cepat peringatan harus dikonfirmasi dan diselesaikan berdasarkan tingkat keparahannya.

Contoh target SLA:

• SEV1: dikonfirmasi dalam 15 menit
• SEV2: dikonfirmasi dalam 1 jam
• SEV3: direspons dalam 4 jam

Cap waktu dalam tiket menjadi sumber metrik yang menunjukkan apakah SOC memenuhi komitmen ini.

Panduan prosedur menjadi usang jika tidak dipelihara. Alat berubah, penyerang berevolusi, dan langkah-langkah menjadi tidak relevan. Perlakukan panduan prosedur sebagai dokumen yang terus berkembang.

Perbarui panduan tersebut ketika:

• Alat atau sumber data baru ditambahkan
• Tinjauan setelah insiden mengungkapkan celah
• Teknik serangan baru muncul
• Analis menemukan langkah yang membingungkan atau keliru

Gunakan pengendalian versi untuk panduan prosedur Anda dan tinjau secara terjadwal.

Banyak langkah dalam panduan prosedur bersifat mekanis dan ideal untuk automasi SOAR. Automasi membebaskan analis untuk mengerjakan tugas yang membutuhkan penilaian.

Langkah-langkah yang umum diotomatisasi:

• Mengambil surel asli dan mengekstrak indikator kompromi
• Menjalankan pencarian reputasi
• Menghapus surel berbahaya dari semua kotak masuk
• Memperbarui tiket dengan temuan

Analis tetap membuat keputusan penting; automasi hanya menjalankan bagian rutin dengan lebih cepat dan konsisten.

Uji pemahaman Anda tentang panduan prosedur dan sistem tiket.

Anda telah mempelajari bagaimana panduan prosedur dan sistem tiket menstrukturkan pekerjaan SOC:

• Panduan prosedur menyediakan langkah-langkah yang konsisten dan dapat diulang, lengkap dengan titik keputusan dan kriteria eskalasi
• Sistem tiket adalah sistem pencatatan resmi untuk setiap kasus
• Tiket yang baik mencatat linimasa, bukti, indikator kompromi, hasil penanganan, dan mendukung rantai penguasaan bukti
• SLA menetapkan target waktu respons yang dilacak melalui cap waktu tiket
• Jaga agar panduan prosedur tetap mutakhir dan otomatisasikan langkah-langkah mekanisnya dengan SOAR

Selanjutnya, Anda akan mengukur seberapa baik kinerja SOC menggunakan MTTD dan MTTR.