Incident Handling

Pengantar

Incident Handling adalah proses operasional yang menjalankan Incident Response Lifecycle dalam praktik. Jika lifecycle adalah kerangka kerja strategis, maka Incident Handling adalah taktik dan eksekusi di lapangan - langkah demi langkah mulai dari deteksi insiden hingga pemulihan penuh. Artikel ini membahas secara detail tahapan handling, strategi containment, teknik eradication, dan recovery yang didukung oleh contoh runbook untuk tiga jenis insiden paling umum: ransomware, data breach, dan DDoS.

Tahapan Detail Incident Handling

1. Triage - Penilaian Awal

Triage adalah langkah pertama setelah alert diterima. Tujuannya adalah memverifikasi apakah insiden genuine dan menentukan tingkat keparahannya.

Langkah Triage:

• Konfirmasi sumber alert (SIEM, EDR, laporan user, threat feed).
• Kumpulkan informasi awal: hostname, IP address, user account, timestamp.
• Periksa indicator of compromise (IOC) tambahan di lingkungan.
• Tentukan severity berdasarkan dampak bisnis (CIA Triad: Confidentiality, Integrity, Availability).

Contoh Triage Flow:

Alert: EDR mendeteksi process "encrypt.exe" di host WEB-01.
Triage:
1. Cek hash file di VirusTotal → positif ransomware.
2. Cek koneksi network dari WEB-01 → ada koneksi ke C2 (185.xxx.xxx).
3. Cek akun user yang login pada timestamp yang sama → user "joko.budi".
   Severity: KRITIS (Severity 1)
   Eskalasi: ke Incident Manager segera.

Tools Triage:

• Wazuh / Elastic SIEM - dashboard alert dan event correlation.
• TheHive - platform case management untuk tracking triage.
• VirusTotal - scan hash dan URL.
• MISP - IOC matching dan threat intelligence sharing.

2. Containment - Penahanan

Containment dibagi menjadi dua tahap: short-term dan long-term.

Short-Term Containment (Tindakan Segera)

Tujuannya adalah menghentikan penyebaran secara cepat, meskipun solusinya bersifat sementara.

Strategi Isolasi Host:

• Disable Network Interface - ifconfig eth0 down atau netsh interface set interface "Ethernet" admin=disable.
• Kill Malicious Process - melalui EDR console (CrowdStrike, SentinelOne) atau langsung melalui task manager.
• Disable User Account - net user joko.budi /active:no (Windows) atau usermod -L joko.budi (Linux).
• Quarantine via EDR - isolasi host ke VLAN quarantine secara otomatis.

Contoh Command Isolasi (Linux):

# Matikan interface jaringan
sudo ip link set eth0 down

# Simpan bukti sebelum isolasi
sudo tcpdump -i eth0 -w /evidence/pre-isolation.pcap

# Blokir IP C2 di firewall
sudo iptables -A OUTPUT -d 185.xxx.xxx.xxx -j DROP

Long-Term Containment (Solusi Permanen)

Setelah situasi terkendali, terapkan containment jangka panjang:

• Network Segmentation - pindahkan host terdampak ke segmen jaringan terisolasi dengan VLAN terpisah.
• Firewall Rules Permanen - blokir IP dan port yang diketahui digunakan attacker.
• Proxy Block - blokir domain C2 dan URL malicious di proxy server.
• Sinkhole - redirect traffic DNS ke sinkhole server untuk memonitor aktivitas malware yang mencoba callback ke C2.

Network Segmentation:

┌───────────────┐     ┌──────────────────┐
│ VLAN Produksi │ ==> │ VLAN Quarantine  │
│ 10.0.1.0/24   │     │ 10.0.99.0/24     │
│ (Akses penuh)  │     │ (Isolasi total)  │
└───────────────┘     └──────────────────┘

3. Eradication - Pemberantasan

Setelah ancaman terisolasi, langkah selanjutnya adalah membersihkan lingkungan secara menyeluruh.

Teknik Eradication:

• Malware Removal - menggunakan EDR dengan fitur kill and remove, atau forensic tools untuk manual removal.
• Patch Management - aplikasikan patch untuk kerentanan yang dieksploitasi (CVE yang relevan).
• Credential Rotation - reset semua password, API key, token, dan certificate yang mungkin bocor.
• System Reimage - untuk host yang terinfeksi parah (ransomware, rootkit), lakukan fresh install OS.
• Vulnerability Scan Ulang - pastikan tidak ada celah tersisa dengan tools seperti OpenVAS, Nessus, atau Qualys.

Contoh Eradication Flow:

1. EDR menghapus file ransomware dari semua host terdampak.
2. Tim IT melakukan patch server dengan update keamanan terbaru.
3. Reset password domain admin dan service account.
4. Rotasi API key untuk integrasi yang terpapar.
5. Scan ulang dengan Nessus → tidak ada critical vulnerability.
6. Host dengan enkripsi penuh: reimage dari golden image yang bersih.

Tools Eradication:

• CrowdStrike Falcon - EDR dengan realtime response.
• Cortex XDR - eradication melalui live terminal.
• Ansible / Puppet - patch automation di skala besar.
• CyberArk - privileged access management untuk credential rotation.

4. Recovery - Pemulihan

Pemulihan adalah fase paling kritis karena kesalahan di sini bisa menyebabkan insiden berulang.

Langkah Recovery:

1. Restore dari Backup - gunakan backup terakhir yang bersih (sebelum infeksi). Pastikan backup diuji integritasnya.
2. Validasi Integritas - bandingkan hash file sebelum dan sesudah restore untuk memastikan tidak ada backdoor.
3. Uji Coba - jalankan sistem di lingkungan staging terlebih dahulu.
4. Monitoring Ketat - aktifkan logging dan alerting yang lebih agresif selama 72 jam pertama.
5. Go-Live - setelah semua verifikasi selesai, kembalikan ke produksi.

Contoh Recovery Plan:

H+0: Restore database dari backup 2 hari sebelum infeksi.
H+0: Restore aplikasi dari snapshot VM yang bersih.
H+1: Uji fungsionalitas di staging environment.
H+2: Monitoring ketat - alert jika ada anomali traffic.
H+3: Go-live dengan approval Incident Manager.

Contoh Runbook Insiden

Runbook 1: Ransomware

Runbook 2: Data Breach

Runbook 3: DDoS Attack

Strategi Containment Berdasarkan Jenis Insiden

Alat dan Framework Pendukung

SIEM / Log Management:

• Wazuh, Splunk ES, Elastic SIEM, QRadar

EDR / XDR:

• CrowdStrike Falcon, SentinelOne, Cortex XDR, Microsoft Defender for Endpoint

Forensi dan Analisis:

• Velociraptor, Autopsy, FTK Imager, Volatility, YARA

Case Management / SOAR:

• TheHive, Cortex, DFIR-IRIS, Splunk SOAR, Shuffle

Network Security:

• Wireshark, tcpdump, Suricata, Zeek (Bro), pfSense

Incident Tracking:

• Jira Service Management, ServiceNow, TheHive

Kesimpulan

Incident Handling bukan sekadar prosedur - ia adalah seni mengambil keputusan cepat di bawah tekanan. Setiap fase mulai dari triage, containment, eradication, hingga recovery harus dijalankan dengan presisi. Kunci suksesnya terletak pada:

1. Playbook yang teruji - runbook yang sudah diuji melalui tabletop exercise dan simulasi.
2. Kolaborasi tim - CSIRT, IT Operations, Legal, dan Manajemen harus berkomunikasi secara real-time.
3. Tools yang terintegrasi - SIEM, EDR, SOAR, dan platform forensik harus saling terhubung.
4. Dokumentasi real-time - setiap langkah harus dicatat untuk keperluan laporan dan pembelajaran.

Dengan persiapan yang matang, organisasi dapat memangkas waktu respons secara signifikan - dari hari menjadi jam, dan dari jam menjadi menit.