Incident Response Lifecycle

Pengantar

Incident Response Lifecycle adalah kerangka kerja terstruktur yang digunakan organisasi untuk mendeteksi, merespons, dan memulihkan diri dari insiden keamanan siber. Lifecycle ini memastikan bahwa setiap fase penanganan insiden berjalan secara sistematis, terdokumentasi, dan dapat diukur efektivitasnya. Tanpa lifecycle yang jelas, tim keamanan cenderung bereaksi secara sporadis dan tidak konsisten, yang dapat memperburuk dampak insiden.

Dua kerangka kerja utama yang menjadi acuan global dalam Incident Response Lifecycle adalah NIST SP 800-61 (National Institute of Standards and Technology) dan SANS PICERL (SANS Institute). Keduanya memberikan panduan komprehensif tentang bagaimana organisasi harus mempersiapkan, mendeteksi, menahan, memberantas, memulihkan, dan mengevaluasi insiden keamanan.

NIST SP 800-61 - Empat Fase Lifecycle

NIST SP 800-61 Rev. 2 mendefinisikan empat fase utama dalam Incident Response Lifecycle:

1. Preparation (Persiapan)

Fase ini adalah fondasi dari seluruh proses IR. Persiapan mencakup:

Pembentukan CSIRT (Computer Security Incident Response Team) dengan peran dan tanggung jawab yang jelas.
Penyusunan kebijakan dan prosedur - IR Policy, Incident Response Plan (IRP), dan Standard Operating Procedures (SOP).
Pengadaan alat dan infrastruktur - SIEM (misalnya Wazuh, Splunk, Elastic SIEM), EDR (misalnya CrowdStrike Falcon, SentinelOne), platform forensic (misalnya Autopsy, FTK Imager, Velociraptor).
Pelatihan dan simulasi - Tabletop Exercise, Red Team Exercise, dan Drill berkala.
SLA Response Time - Penetapan target waktu respons seperti:

Metrik	Target Waktu
Triage / First Response	15 - 30 menit
Containment (kritis)	1 - 4 jam
Eradication	8 - 24 jam
Recovery	24 - 72 jam
Laporan awal	1 jam

2. Detection & Analysis (Deteksi dan Analisis)

Fase ini berfokus pada identifikasi indikasi insiden melalui berbagai sumber:

Alert dari SIEM - deteksi berdasarkan rule (misalnya Sigma rules, Correlation rules).
Laporan pengguna - helpdesk melaporkan anomali seperti file terenkripsi, akun tidak bisa login.
Threat Intelligence Feeds - IOC (Indicator of Compromise) dari sumber seperti MISP, AlienVault OTX, VirusTotal.
Analisis Awal - triage untuk mengonfirmasi apakah insiden benar-benar terjadi (true positive) atau false alarm.

Tools yang digunakan:

Wazuh - SIEM open-source dengan FIM (File Integrity Monitoring) dan active response.
TheHive - platform case management untuk kolaborasi analis.
YARA - tools untuk mengidentifikasi malware berdasarkan pola.
Sigma - format rule universal untuk deteksi log.

3. Containment, Eradication & Recovery (Penahanan, Pemberantasan, dan Pemulihan)

Fase ini dibagi menjadi tiga sub-fase:

Containment:

Isolasi host terdampak dari jaringan.
Network segmentation atau pemblokiran IP jahat.
Sinkhole traffic untuk memonitor aktivitas malware.

Eradication:

Penghapusan malware menggunakan EDR atau forensic tools.
Patching kerentanan yang dimanfaatkan.
Rotasi credential (password, API key, token) yang bocor.

Recovery:

Restore sistem dari backup yang bersih.
Validasi bahwa sistem aman sebelum dikembalikan ke produksi.
Monitoring ketat pasca-recovery selama 48 - 72 jam.

Tools yang digunakan:

Velociraptor - endpoint visibility dan collection.
CrowdStrike Falcon - EDR dengan containment otomatis.
GRR Rapid Response - framework forensic jarak jauh.

4. Post-Incident Activity (Aktivitas Pasca-Insiden)

Fase ini sering diabaikan padahal paling penting untuk perbaikan jangka panjang:

Lessons Learned Meeting - membahas apa yang berjalan baik dan apa yang perlu diperbaiki.
Incident Report - dokumentasi lengkap termasuk timeline, root cause, impact analysis.
Metrics and Measurement - MTTD (Mean Time to Detect), MTTR (Mean Time to Respond), dwell time.
Recommendations - rekomendasi perbaikan kontrol keamanan, update playbook, dan pelatihan tambahan.

SANS PICERL - Enam Fase Lifecycle

SANS Institute mengembangkan PICERL yang lebih granular dengan enam fase:

1. Preparation

Sama seperti fase Preparation di NIST, namun SANS lebih menekankan pada:

Pembuatan Playbook IR untuk setiap jenis ancaman (ransomware, DDoS, data breach).
Penyediaan Jump Kit - laptop forensic, hard drive eksternal, kabel, tools yang sudah siap pakai.
Pengaturan Chain of Custody untuk kasus yang berpotensi ke proses hukum.

2. Identification

Fokus pada:

Verifikasi insiden melalui analisis log, alert SIEM, dan laporan pengguna.
Klasifikasi tingkat keparahan (Severity Level):
- Severity 1 (Kritis) - ransomware menyebar, data breach massal.
- Severity 2 (Tinggi) - infeksi malware lokal, akun kompromi.
- Severity 3 (Sedang) - scanning mencurigakan, phishing terisolasi.
- Severity 4 (Rendah) - false positive, policy violation ringan.

3. Containment

Isolasi ancaman agar tidak meluas:

Short-term containment - matikan interface jaringan, disable akun.
Long-term containment - implementasi firewall rule, proxy block, system quarantine.

4. Eradication

Membersihkan lingkungan dari jejak serangan:

Malware removal menggunakan EDR (misalnya Cortex XDR, CrowdStrike).
System reimage untuk host yang terinfeksi berat.
Verifikasi dengan vulnerability scanner bahwa tidak ada kerentanan tersisa.

5. Recovery

Mengembalikan sistem ke operasi normal:

Restore data dari backup yang valid.
Uji fungsionalitas dan keamanan sebelum go-live.
Monitoring pasca-recovery dengan alert threshold yang lebih sensitif.

6. Lessons Learned

Evaluasi menyeluruh:

Root Cause Analysis (RCA) menggunakan metode 5 Whys atau Fishbone Diagram.
Update playbook, detection rules, dan SIEM correlation rules.
Pelatihan ulang untuk tim dan user.

Perbandingan Framework: NIST vs SANS PICERL

Aspek	NIST SP 800-61	SANS PICERL
Jumlah Fase	4 fase	6 fase
Fokus Utama	Lifecycle makro, organisasi	Detail operasional, teknis
Penekanan pada	Post-Incident Activity	Lessons Learned dan Playbook
Fleksibilitas	Lebih umum, cocok untuk semua	Lebih spesifik, cocok untuk
	jenis organisasi	mature SOC
Dokumentasi	Incident Report, After-Action	Chain of Custody,
	Review	Evidence Log
Tools Pendukung	SIEM, EDR, Case Management	Playbook, SOAR, Orchestration

Peran CSIRT dalam Incident Response Lifecycle

CSIRT (Computer Security Incident Response Team) memiliki peran yang berbeda di setiap fase:

Peran	Fase	Tanggung Jawab
Incident Manager	Semua fase	Koordinasi, komunikasi, keputusan eskalasi
Triage Analyst	Detection & Analysis / Identification	Verifikasi alert, klasifikasi severity
Forensic Analyst	Containment, Eradication, Documentation	Bukti digital, chain of custody, analisis malware
SOC Analyst	Detection & Analysis	Monitoring SIEM, threat hunting
IT Operations	Recovery	Restore sistem, patch management
Legal & Compliance	Post-Incident / Lessons Learned	Regulasi, pelaporan ke regulator

SLA Response Time dalam Praktik

Tim Incident Response harus mematuhi Service Level Agreement (SLA) yang sudah ditetapkan:

Gold SLA: 15 menit untuk triage, 1 jam containment - untuk sistem critical (bank, kesehatan).
Silver SLA: 30 menit triage, 4 jam containment - untuk sistem high availability.
Bronze SLA: 1 jam triage, 8 jam containment - untuk sistem internal standar.

Contoh alat monitoring SLA:

TheHive5 - dashboard SLA dengan notifikasi eskalasi.
IRIS (Incident Response Intelligent System) - tracking waktu respons otomatis.
Jira Service Management - integrasi workflow IR dengan fitur SLA.

Kesimpulan

Incident Response Lifecycle adalah tulang punggung dari kemampuan organisasi dalam menghadapi serangan siber. Baik menggunakan NIST SP 800-61 maupun SANS PICERL, yang terpenting adalah konsistensi eksekusi di setiap fase. Organisasi harus:

Memiliki IR Plan yang terdokumentasi dan diuji secara berkala.
Menetapkan SLA response time yang realistis dan terukur.
Melengkapi CSIRT dengan tools dan otorisasi yang memadai.
Melakukan Lessons Learned setelah setiap insiden besar.
Terus memperbarui playbook berdasarkan threat intelligence terkini.

Dengan lifecycle yang matang, organisasi tidak hanya mampu merespons insiden dengan cepat, tetapi juga belajar dari setiap kejadian untuk menjadi lebih tangguh terhadap serangan di masa depan.