Playbook IR (Incident Response Playbook)

Pengantar

Playbook IR adalah dokumen operasional yang berisi langkah-langkah terperintah dan terstandarisasi untuk menangani jenis insiden keamanan tertentu. Berbeda dengan Incident Response Plan (IRP) yang bersifat strategis, playbook bersifat taktis dan teknis - siapa melakukan apa, kapan, dan menggunakan alat apa. Playbook yang baik memungkinkan analyst level 1 (L1) sekalipun dapat merespons insiden dengan efektif tanpa harus menunggu instruksi supervisor.

Dalam konteks SOAR (Security Orchestration, Automation, and Response), playbook dapat diotomatisasi sehingga sebagian besar langkah respons berjalan tanpa intervensi manual.

Struktur Playbook IR yang Ideal

Playbook yang baik harus memiliki komponen berikut:

1. Metadata

Nama Playbook - jelas dan deskriptif (misal: "Playbook Phishing - Email dengan Lampiran Berbahaya").
ID Playbook - kode unik (misal: IR-PB-001).
Versi dan Tanggal Revisi - untuk tracking perubahan.
Penulis dan Approver - siapa yang membuat dan menyetujui.

2. Trigger (Pemicu)

Bagaimana playbook ini dipicu: alert SIEM, laporan pengguna, threat feed, atau manual.
Contoh trigger: "Email dilaporkan pengguna sebagai phishing" atau "Alert Wazuh: Rule ID 100001 - Malware Signature Match".

3. Severity Classification

Klasifikasi tingkat keparahan untuk menentukan prioritas respons:

Severity	Label	Contoh Insiden	Response Time
S1	Kritis	Ransomware menyebar, DDoS massive	15 menit
S2	Tinggi	Malware outbreak lokal, akun bocor	30 menit
S3	Sedang	Scanning mencurigakan, spam internal	1 jam
S4	Rendah	False positive, policy violation	4 jam

4. Response Steps

Langkah-langkah detail yang harus dilakukan, biasanya dibagi menjadi:

Triage & Verification - konfirmasi insiden.
Containment - hentikan penyebaran.
Eradication - bersihkan ancaman.
Recovery - kembalikan ke normal.
Documentation & Reporting - catat dan laporkan.

5. Tools Reference

Alat yang digunakan di setiap langkah: SIEM, EDR, forensic tools, komunikasi.

6. Escalation Matrix

Kepada siapa laporan harus naik jika insiden melampaui kewenangan analyst:

Level	Kondisi Eskalasi	Tujuan Eskalasi
SOC L1 Analyst	Insiden S3/S4, false positive	Resolve sendiri
SOC L2 Analyst	Insiden S2, perlu forensic dasar	Analisis lanjutan
SOC L3 / Forensic	Insiden S1, perlu deep forensic	Forensik mendalam
Incident Manager	Eskalasi dari semua level	Koordinasi + komunikasi
CISO / Legal	Data breach, regulatory notification	Manajemen risiko + hukum

7. Post-Response Tasks

Pembuatan incident report.
Update deteksi rules.
Rekomendasi untuk security improvement.

Contoh Playbook

Playbook 1: Phishing - Email dengan Lampiran Berbahaya

ID: IR-PB-001 Versi: 1.2 Severity: S2 - S3

Trigger:

Pengguna melaporkan email mencurigakan ke IT Helpdesk.
Email gateway (misal: Microsoft Defender, Mimecast) mendeteksi URL/lampiran jahat.

Response Steps:

Langkah	Aksi	Tools	PIC
1	Minta pengguna untuk tidak membuka lampiran/URL.	Email / Telepon	Helpdesk
2	Forward email asli (EML/MSG) ke tim security.	Email Client	Pengguna
3	Analisis header email: SPF, DKIM, DMARC.	mxtoolbox, dmarcian	SOC L1
4	Ekstrak IOC (URL, hash attachment, sender IP).	URLScan.io, VirusTotal	SOC L1
5	Cek apakah ada korban lain yang membuka lampiran.	SIEM (Wazuh)	SOC L2
6	Jika ada eksekusi: isolasi host terdampak.	EDR (CrowdStrike)	SOC L2
7	Blokir sender IP dan domain di email gateway.	Email Gateway	SOC L2
8	Hapus email dari semua inbox (search & delete).	Exchange Online / GWS	IT Ops
9	Kirim notifikasi ke seluruh pengguna.	Email blast	Security
10	Dokumentasikan di case management.	TheHive	SOC L1

Playbook 2: Malware Outbreak

ID: IR-PB-002 Versi: 2.1 Severity: S1 - S2

Trigger:

Alert EDR: beberapa host mendeteksi binary mencurigakan.
Peningkatan traffic C2 yang terdeteksi oleh NTA (Network Traffic Analysis).

Response Steps:

Langkah	Aksi	Tools	PIC
1	Verifikasi malware signature via VirusTotal.	VirusTotal, YARA	SOC L1
2	Identifikasi semua host terdampak.	EDR Console / SIEM	SOC L2
3	Isolasi host terdampak dari jaringan.	EDR Quarantine	SOC L2
4	Capture memory dan disk image sebelum cleanup.	Velociraptor, FTK Imager	Forensic
5	Analisis lateral movement melalui log network.	Zeek / Suricata	SOC L3
6	Blokir IOC (hash, IP C2, domain) di perimeter.	Firewall / Proxy	Security
7	Hapus malware dari host menggunakan EDR.	EDR Live Response	SOC L2
8	Patch kerentanan yang dieksploitasi.	WSUS / Ansible	IT Ops
9	Reset credential untuk akun yang terdampak.	CyberArk / AD	IT Ops
10	Update YARA rule untuk deteksi varian baru.	YARA	Forensic
11	Recovery dan monitoring 72 jam.	SIEM + EDR	SOC L1

Playbook 3: Unauthorized Access

ID: IR-PB-003 Versi: 1.0 Severity: S2 - S3

Trigger:

Alert SIEM: multiple failed login dari IP asing.
User melaporkan aktivitas aneh di akunnya.

Response Steps:

Langkah	Aksi	Tools	PIC
1	Verifikasi log login dari IP asing.	SIEM (Wazuh, Splunk)	SOC L1
2	Suspend akun yang dicurigai.	AD / IAM	SOC L2
3	Periksa apakah ada perubahan di akun (email forwarding, MFA change).	O365 / GWS Audit	SOC L2
4	Cek akses ke resource sensitif oleh akun tersebut.	CASB / DLP	SOC L3
5	Force logout semua session aktif.	Identity Provider	SOC L2
6	Reset password dan revoke token.	AD / Azure AD	IT Ops
7	Enable MFA jika belum aktif.	Duo / Azure MFA	IT Ops
8	Audit log aktivitas 30 hari ke belakang.	SIEM + UEBA	SOC L3
9	Blokir IP sumber di WAF / Firewall.	Firewall	Security
10	Laporkan ke pemilik data.	Email	Incident Mgr

Playbook 4: Data Exfiltration

ID: IR-PB-004 Versi: 1.1 Severity: S1

Trigger:

Alert DLP: volume data besar dikirim ke eksternal.
Anomali traffic: transfer data di atas threshold ke cloud storage pribadi.

Response Steps:

Langkah	Aksi	Tools	PIC
1	Blokir session jaringan yang mencurigakan.	Firewall / NGFW	SOC L2
2	Identifikasi pengguna dan device sumber.	UEBA / EDR	SOC L3
3	Capture network traffic untuk analisis.	Wireshark / tcpdump	Forensic
4	Suspend akun pengguna segera.	AD / IAM	SOC L2
5	Cari tahu data apa yang diambil.	DLP Console	SOC L3
6	Hubungi pemilik data dan legal.	Meeting / Email	Incident Mgr
7	Backup log dan bukti untuk forensik.	FTK Imager	Forensic
8	Periksa endpoint untuk malware data stealer.	EDR + YARA	SOC L3
9	Recovery: revoke API key, ganti password.	CyberArk / AD	IT Ops
10	Laporkan ke regulator jika data pribadi (GDPR, PDP).	Legal Team	CISO

Tools Platform untuk Playbook IR

TheHive

Platform case management open-source untuk kolaborasi analis IR. Fitur:

Membuat case dari alert SIEM secara otomatis.
Assign task ke analyst dengan SLA tracking.
Integrasi dengan MISP, Cortex, dan SIEM.
Template playbook yang dapat dikustomisasi.

Cortex

Platform orchestration untuk menjalankan analyzer dan responder secara otomatis:

Analyzers: VirusTotal, DomainTools, URLScan.io, MaxMind.
Responders: TheHive case update, email notification, firewall block.
Integrasi erat dengan TheHive.

DFIR-IRIS

Platform Incident Response modern dengan fitur:

Case management dengan timeline visual.
Evidence management dan chain of custody digital.
IOCs tracking (IP, domain, hash, email).
Reporting otomatis (PDF, DOCX).
Integrasi dengan TheHive dan MISP.
Dashboard SLA dan metrics.

Splunk SOAR (Phantom)

Platform SOAR enterprise:

Playbook Editor visual (drag-and-drop).
300+ integrasi dengan tools keamanan.
Automated containment actions.
Reporting dan compliance dashboard.

Shuffle

Platform SOAR open-source:

Workflow visual berbasis web.
Integrasi dengan Wazuh, TheHive, MISP.
Action automation via webhook dan API.
Cocok untuk organisasi dengan budget terbatas.

Automasi Playbook dengan SOAR

Keuntungan otomatisasi playbook menggunakan SOAR:

Tanpa SOAR (Manual)	Dengan SOAR (Otomatis)
Analyst membuka SIEM → cek alert → cek VirusTotal → tulis case → 15 - 30 menit	Playbook otomatis: SIEM → TheHive → VirusTotal → case siap dalam 1 - 2 menit
Containment: analyst login ke EDR → cari host → quarantine	SOAR trigger → EDR auto-quarantine host dalam hitungan detik
Reporting: analyst tulis manual di Word → 2 - 4 jam	SOAR generate report otomatis dari case data
Human error: skip langkah atau lupa tracking	Workflow terstandarisasi, semua langkah terekam

Contoh SOAR Workflow Sederhana (Shuffle):

Trigger: Alert Wazuh → "Malware Detected"
  ╠═ Langkah 1: Ekstrak hostname dan IP dari alert
  ╠═ Langkah 2: Query VirusTotal untuk hash file
  ╠═ Langkah 3: Jika malicious → buka case di TheHive
  ╠═ Langkah 4: Isolasi host via EDR API
  ╠═ Langkah 5: Kirim notifikasi ke Slack/MS Teams
  ╠═ Langkah 6: Tunggu approval Incident Manager
  ╚═ Langkah 7: Eskalasi ke SOC L2 jika timeout 15 menit

Best Practices Playbook

Uji secara berkala - lakukan tabletop exercise setiap kuartal untuk memvalidasi playbook.
Optimalkan terus - update playbook berdasarkan lessons learned dari insiden nyata.
Buat versi singkat - cheat sheet satu halaman untuk respons cepat di lapangan.
Integrasikan dengan SOAR - otomatisasi langkah-langkah yang repetitif.
Sertakan escalation path - jelas kapan dan ke siapa harus eskalasi.
Gunakan bahasa yang jelas - hindari jargon yang membingungkan analyst junior.
Dokumentasikan decision point - setiap percabangan keputusan harus jelas kriterianya.

Kesimpulan

Playbook IR adalah senjata utama tim Incident Response. Dengan playbook yang terstruktur, lengkap, dan terotomatisasi, organisasi dapat:

Memangkas waktu respons secara signifikan.
Memastikan konsistensi penanganan antar analyst.
Mengurangi kesalahan manusia (human error) saat krisis.
Memudahkan onboarding analyst baru.
Menyediakan dokumentasi yang langsung siap untuk audit dan compliance.

Investasi pada playbook dan SOAR bukanlah biaya - melainkan asuransi terhadap downtime dan kerugian akibat insiden keamanan siber.