Prosedur Incident Response (IR)
Prosedur Incident Response adalah kerangka kerja sistematis yang digunakan organisasi untuk mendeteksi, merespons, dan memulihkan diri dari insiden keamanan siber. Standar industri yang paling diakui secara global adalah NIST SP 800-61 Revision 2, yang membagi proses ini menjadi empat fase utama untuk memastikan efektivitas mitigasi dan minimalisasi dampak kerugian.
Empat Fase Utama Incident Response
| Fase | Tujuan Utama | Aktivitas Kunci |
|---|---|---|
| Preparation | Kesiapan | Pembentukan tim, penyediaan tools, dan pelatihan. |
| Detection & Analysis | Identifikasi | Monitoring log, validasi insiden, dan penentuan skala. |
| Containment, Eradication, & Recovery | Mitigasi | Isolasi sistem, penghapusan ancaman, dan pemulihan data. |
| Post-Incident Activity | Evaluasi | Lessons learned, dokumentasi, dan perbaikan prosedur. |
1. Preparation (Persiapan)
Fase ini adalah fondasi. Tanpa persiapan, respons akan kacau. Organisasi wajib memiliki Incident Response Plan (IRP) tertulis yang mencakup daftar kontak darurat, akses administratif, dan alat forensik digital. Pastikan tim memiliki akses ke sistem cadangan (backup) yang terisolasi dari jaringan utama.
2. Detection & Analysis
Deteksi dilakukan melalui pemantauan berkelanjutan pada SIEM (Security Information and Event Management), IDS/IPS, dan laporan pengguna. Setelah anomali terdeteksi, tim harus melakukan analisis untuk menentukan apakah itu benar-benar insiden atau false positive. Langkah krusial di sini adalah menentukan scope (ruang lingkup) insiden: sistem apa saja yang terdampak dan seberapa dalam akses penyerang.
3. Containment, Eradication, & Recovery
Ini adalah fase aksi teknis:
- Containment: Mengisolasi sistem yang terinfeksi agar ancaman tidak menyebar (misalnya, memutus koneksi VLAN atau mematikan akses internet server).
- Eradication: Menghapus akar penyebab (root cause), seperti menghapus malware, menutup celah kerentanan (patching), atau menonaktifkan akun pengguna yang dikompromikan.
- Recovery: Mengembalikan sistem ke kondisi operasional normal dari cadangan yang bersih dan memverifikasi integritas sistem sebelum kembali ke jaringan produksi.
4. Post-Incident Activity
Sering diabaikan, namun fase ini paling penting untuk jangka panjang. Lakukan pertemuan lessons learned untuk membahas: Apa yang berjalan baik? Apa yang gagal? Bagaimana mencegah insiden serupa di masa depan? Dokumentasikan seluruh kronologi insiden sebagai bukti forensik dan bahan evaluasi kebijakan keamanan.
Tips Troubleshooting Lapangan
Dalam situasi darurat, jangan pernah melakukan reboot atau mematikan server secara paksa sebelum melakukan memory dump (jika memungkinkan), karena tindakan tersebut akan menghapus bukti forensik yang tersimpan di RAM. Selalu gunakan protokol komunikasi yang aman (di luar jaringan yang sedang diserang) untuk koordinasi tim.