Incident Response
Pelajari siklus penanganan insiden keamanan, dari persiapan hingga pelajaran yang dipetik, agar dampak kejadian dapat ditekan.
Tujuan Pembelajaran
- Membedakan event, insiden, dan breach
- Menjelaskan fase siklus hidup incident response
- Memahami pentingnya runbook, peran, dan komunikasi
- Mengenali prinsip pelestarian bukti dan pelaporan pasca-insiden
01Event, insiden, dan breach
Event adalah kejadian apa pun yang dapat diamati pada sistem, misalnya satu kali login. Insiden adalah event yang melanggar atau mengancam kebijakan keamanan. Breach adalah insiden yang terbukti menyebabkan data terekspos atau diakses tanpa izin.
Perbedaan ini penting karena menentukan tingkat respons, siapa yang harus diberi tahu, dan apakah ada kewajiban pelaporan hukum.
02Siklus hidup incident response
Kerangka seperti NIST SP 800-61 menggambarkan siklus penanganan insiden sebagai fase yang saling terhubung, bukan garis lurus satu arah.
- Preparation: kebijakan, tim, alat, pelatihan, dan kontak darurat
- Detection and analysis: memastikan apakah benar insiden, menilai cakupan dan keparahan
- Containment, eradication, recovery: membatasi dampak, menghilangkan penyebab, memulihkan layanan
- Post-incident activity: evaluasi, perbaikan proses, dan dokumentasi
03Peran, runbook, dan komunikasi
Saat insiden, kebingungan peran adalah musuh terbesar. Tim yang matang menetapkan incident commander, penanggung jawab teknis, juru bicara, dan perwakilan hukum sebelum kejadian.
Runbook berisi langkah standar untuk skenario umum seperti akun terkompromi atau ransomware. Komunikasi dijaga terpusat dan faktual, termasuk jalur cadangan bila email sendiri ikut terdampak.
04Bukti dan pelajaran yang dipetik
Bukti digital harus dijaga keasliannya. Catat siapa yang menyentuh apa dan kapan (chain of custody), serta ambil salinan sebelum melakukan perubahan besar bila memungkinkan.
Setelah situasi stabil, adakan blameless post-mortem. Tujuannya mencari celah proses dan teknologi, bukan mencari siapa yang harus disalahkan.
Contoh Praktis (Aman)
Linimasa insiden sederhanaLinimasa membantu tim menyusun fakta secara berurutan dan menjadi bahan utama laporan pasca-insiden.
09:12 SIEM memberi alert: akun admin login di luar jam kerja 09:20 Analis memastikan bukan aktivitas sah 09:25 Akun dinonaktifkan, sesi aktif dicabut (containment) 09:50 Log diambil dan disimpan untuk analisis 11:30 Sandi direset, MFA diwajibkan, layanan normal (recovery) Hari+3 Post-mortem: tambah peringatan login anomali
Rangkuman
- Event, insiden, dan breach adalah tingkat kejadian yang berbeda
- Siklus IR mencakup persiapan, deteksi, penanganan, dan evaluasi
- Peran dan runbook yang jelas mempercepat respons saat tekanan tinggi
- Jaga bukti digital dan lakukan post-mortem tanpa mencari kambing hitam
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Fase manakah yang berfokus pada pembatasan dampak insiden agar tidak meluas?
Mengapa chain of custody penting?
Apa tujuan utama blameless post-mortem?