Siklus Hidup IR: Persiapan, Identifikasi, Penahanan

Respons Insiden (IR) adalah pendekatan terorganisasi untuk menangani dan mengelola insiden keamanan. Tujuannya adalah meminimalkan kerusakan, mengurangi waktu pemulihan, dan mencegah terulangnya insiden. Memiliki rencana IR yang terdokumentasi sebelum insiden terjadi sangatlah penting.

Kerangka kerja IR utama:

• NIST SP 800-61: Persiapan → Deteksi/Analisis → Pembatasan/Pemberantasan/Pemulihan → Pascainsiden
• SANS PICERL: Persiapan, Identifikasi, Pembatasan, Pemberantasan, Pemulihan, Pembelajaran
• CISA: Secara umum selaras dengan NIST

Kegiatan persiapan:

• Dokumentasikan kebijakan dan prosedur IR
• Bangun dan latih tim IR (CIRT)
• Terapkan alat pencatatan dan deteksi
• Tetapkan saluran komunikasi dan jalur eskalasi
• Laksanakan latihan berbasis skenario dan simulasi
• Buat panduan operasional untuk jenis insiden umum

Lakukan persiapan sebelum insiden terjadi:

• SIEM terpusat untuk analisis catatan
• Stasiun kerja forensik dengan pemblokir penulisan dan alat pembuatan citra
• Kontak bagian hukum dan HR telah diidentifikasi sebelumnya
• Kontrak siaga IR dengan firma forensik eksternal
• Cadangan tanpa koneksi yang telah diverifikasi dan dapat diakses

Identifikasi adalah proses mendeteksi dan mengonfirmasi bahwa insiden telah terjadi. Sumber deteksi:

• Peringatan SIEM dan peristiwa IDS/IPS
• Laporan pengguna ("komputer saya berperilaku aneh")
• Umpan intelijen ancaman
• Deteksi anomali (waktu masuk yang tidak biasa, transfer data)
• Pemberitahuan pihak ketiga (penegak hukum, mitra)

Klasifikasikan insiden berdasarkan tingkat keparahan untuk memprioritaskan respons:

• P1/Kritis: pembobolan aktif, pengeluaran data tanpa izin, perangkat lunak pemeras
• P2/Tinggi: akun berhak istimewa yang disusupi, perangkat lunak berbahaya terdeteksi
• P3/Sedang: pelanggaran kebijakan, aktivitas mencurigakan
• P4/Rendah: upaya masuk yang gagal, kesalahan konfigurasi kecil

Pembatasan menghentikan penyebaran kerusakan tanpa menghancurkan bukti. Ada dua jenis:

• Pembatasan jangka pendek: isolasi sistem yang terdampak (karantina jaringan)
• Pembatasan jangka panjang: hapus artefak berbahaya sambil mempertahankan operasi

Tindakan pembatasan:

• Isolasi jaringan: VLAN yang dikarantina, aturan pemblokiran tembok api
• Penguncian akun: nonaktifkan kredensial yang disusupi
• Penghentian melalui EDR: hentikan proses berbahaya melalui EDR
• Penampungan DNS: arahkan domain kendali ke penampung untuk mencegah panggilan balik
• Pertahankan bukti BEFORE menghapus data

Selama insiden besar, gunakan struktur komando yang jelas:

• Komandan Insiden — koordinasi keseluruhan
• Pemimpin Teknis — penyelidikan dan pemulihan
• Pemimpin Komunikasi — pemberitahuan internal dan eksternal
• Hukum/Kepatuhan — kewajiban regulasi

Respons IR yang efektif menjalankan pembatasan, penyelidikan, dan komunikasi secara bersamaan — bukan secara berurutan. Saat tim teknis membatasi ancaman, bagian hukum menyiapkan pemberitahuan dan manajemen berkomunikasi dengan para pemangku kepentingan. Waktu sangat penting: setiap jam akses yang tidak dibatasi menyebabkan lebih banyak kerusakan.

Dokumentasikan segala sesuatu selama insiden:

• Linimasa peristiwa dengan cap waktu
• Semua tindakan yang diambil (siapa, apa, kapan)
• Bukti yang dikumpulkan dan rantai penguasaan
• Keputusan yang dibuat dan alasannya

Dokumentasi ini sangat penting untuk proses hukum dan tinjauan pascainsiden.

Siklus hidup IR (NIST): Persiapan, Identifikasi, Pembatasan, Pemberantasan, Pemulihan, Pascainsiden. Persiapan adalah tahap paling penting — bangun tim, alat, dan panduan operasional sebelum insiden terjadi. Identifikasi mengonfirmasi adanya insiden. Pembatasan menghentikan penyebaran sambil mempertahankan bukti. Dokumentasikan setiap tindakan dengan cap waktu.