Persediaan: Pelan IR, Buku Panduan dan Pasukan

CSIRT ialah pasukan yang bertanggungjawab melaksanakan IRP. Peranan utama termasuk: Komander Insiden (penyelarasan dan pembuatan keputusan secara keseluruhan), Penganalisis Keselamatan (siasatan teknikal dan pengumpulan bukti), Ketua Komunikasi (penyampaian mesej kepada pihak berkepentingan, pelanggan dan media), Pe यenasihat Undang-undang (pematuhan peraturan dan penghubung dengan penguat kuasa undang-undang), serta Penaja Eksekutif (pemberian kuasa untuk tindakan pemulihan yang penting). Peranan yang ditakrifkan dengan jelas mengelakkan kekeliruan dan memastikan tiada tugas kritikal yang terlepas pandang.

Klasifikasi tahap keterukan menentukan kepantasan tindak balas, laluan peningkatan dan keperluan pemberitahuan. Model empat peringkat yang lazim: P1/Critical — pelanggaran aktif dengan pengekstrakan data atau impak perniagaan yang ketara, memerlukan tindak balas serta-merta 24/7; P2/High — compromise yang disahkan tanpa kehilangan data yang disahkan; P3/Medium — aktiviti mencurigakan yang sedang disiasat; P4/Low — pelanggaran dasar atau anomali kecil. Kesilapan klasifikasi — menganggap P1 sebagai P3 — membolehkan pelanggaran merebak apabila tindak balas ditangguhkan.

Walaupun IRP memberikan hala tuju strategik, playbooks menyediakan prosedur taktikal langkah demi langkah untuk bertindak balas terhadap jenis insiden tertentu. Playbook ransomware mungkin menetapkan: asingkan sistem yang terjejas (langkah 1), tangkap imej Forensic sebelum sebarang pembersihan (langkah 2), semak sama ada varian tersebut diketahui dan alat nyahsulit tersedia (langkah 3), maklumkan pasukan eksekutif (langkah 4), libatkan firma IR luar (langkah 5). Playbook mengurangkan beban kognitif semasa insiden bertekanan tinggi, ketika pasukan tindak balas mungkin terlepas langkah kritikal.

Persediaan teknikal merangkumi penggunaan dan konfigurasi alat yang diperlukan oleh pasukan tindak balas semasa insiden. Kit alat IR penting: SIEM untuk pengagregatan dan perkaitan log, EDR untuk keterlihatan dan pembendungan endpoint, alat pengimejan Forensic (FTK, dd, Magnet AXIOM), pemerolehan memori (Magnet RAM Capture, WinPmem), tangkapan paket rangkaian (Wireshark, Zeek), serta saluran komunikasi luar jalur (sekiranya Email utama terjejas dalam insiden tersebut).

Banyak organisasi mengekalkan perjanjian penahanan dengan firma Incident Response khusus (Mandiant, CrowdStrike, Palo Alto Unit 42). Penahanan menjamin tindak balas keutamaan apabila insiden berlaku, dengan kadar yang dirunding lebih awal dan SLA yang ditetapkan (contohnya, pasukan tindak balas tiba di lokasi dalam masa 4 jam selepas pemberitahuan). Tanpa penahanan, pelibatan firma IR semasa pelanggaran besar boleh mengambil masa berhari-hari dan mengenakan harga premium. Firma penahanan juga menyediakan fasilitasi latihan tabletop, pemburuan ancaman dan penilaian pra-pelanggaran.

Latihan tabletop mensimulasikan senario insiden dalam format perbincangan di bilik mesyuarat tanpa menyentuh sistem produksi. Peserta menelusuri senario yang berkembang — serangan ransomware, Email penipuan CEO, compromise credentials — dan membincangkan tindakan yang akan diambil pada setiap titik keputusan. Latihan tabletop mendedahkan jurang dalam playbook, tanggungjawab peranan yang tidak jelas dan andaian yang belum diuji sebelum insiden sebenar mendedahkannya. Latihan ini hendaklah dijalankan setiap suku tahun untuk CSIRT dan setiap tahun untuk para eksekutif.

Komunikasi insiden mesti dirancang lebih awal. Pertimbangan utama: tempoh pemberitahuan peraturan (GDPR memerlukan pemberitahuan pelanggaran dalam masa 72 jam, HIPAA dalam masa 60 hari, manakala undang-undang pelanggaran negeri berbeza-beza), templat pemberitahuan pelanggan, kriteria pemberitahuan kepada penguat kuasa undang-undang (FBI untuk ransomware, Secret Service untuk penipuan kewangan), mesej perhubungan awam dan komunikasi dalaman kepada pekerja. Yang penting, komunikasi semasa insiden hendaklah menggunakan saluran luar jalur — penyerang mungkin memantau Email korporat.

Persediaan merangkumi penetapan prosedur pengumpulan bukti yang mengekalkan kebolehterimaan dari segi undang-undang. Keperluan utama: dokumentasikan susunan turun naik, gunakan penyekat tulis untuk pengimejan cakera, rekod hash kriptografi bagi semua bukti (SHA-256), dan dokumentasikan rantaian jagaan daripada pengumpulan hingga penyimpanan. Bukti yang tidak dapat disahkan — kerana prosedur tidak dipatuhi — mungkin tidak boleh diterima dalam prosiding undang-undang terhadap penyerang atau pekerja.

Organisasi tanpa persediaan IR yang matang lazimnya melakukan kesilapan yang merugikan semasa pelanggaran: pasukan tindak balas memasang semula imej sistem sebelum menangkap bukti Forensic (memusnahkan keupayaan untuk memahami perkara yang berlaku), berkomunikasi melalui saluran yang telah terjejas (memberi amaran kepada penyerang), meningkatkan tindak balas terlalu perlahan kerana klasifikasi tahap keterukan tidak jelas, tidak mempunyai kuasa untuk membuat keputusan pembendungan (memerlukan kelulusan berjam-jam), dan tidak dapat mengenal pasti sistem yang terjejas kerana inventori aset tidak lengkap. Setiap kegagalan ini boleh dicegah dengan persediaan.

Dalam pelajaran ini, anda telah mempelajari bahawa: IRP ialah dokumen utama yang mentakrifkan peranan, klasifikasi tahap keterukan dan prosedur komunikasi, playbook menyediakan panduan taktikal langkah demi langkah untuk jenis insiden tertentu, dan latihan tabletop serta perjanjian penahanan menyediakan pasukan untuk bertindak balas dengan berkesan sebelum insiden sebenar berlaku. Seterusnya, kita akan meneroka pengesanan dan analisis: mengenal pasti insiden sebenar.