Incident Report - Laporan Insiden Keamanan

Pengantar

Incident Report adalah dokumen formal yang mendokumentasikan seluruh rangkaian kejadian insiden keamanan siber, mulai dari deteksi awal hingga pemulihan dan rekomendasi. Dokumen ini memiliki beberapa fungsi penting:

1. Akuntabilitas - bukti bahwa insiden ditangani secara profesional dan terdokumentasi.
2. Kepatuhan Regulasi - memenuhi persyaratan GDPR, UU PDP Indonesia, PCI DSS, HIPAA, dan lainnya.
3. Pembelajaran Organisasi - bahan untuk perbaikan keamanan di masa depan.
4. Forensik Legal - sebagai bukti dalam proses hukum jika diperlukan.
5. Manajemen Risiko - dasar untuk kalkulasi kerugian dan klaim asuransi siber.

Artikel ini membahas struktur laporan insiden yang lengkap, template kronologi, evidence log, decision log, dan contoh laporan lengkap.

Struktur Laporan Insiden

Laporan insiden yang baik mengikuti struktur standar yang mudah dipahami oleh berbagai pemangku kepentingan:

1. Executive Summary (Ringkasan Eksekutif)

Bagian ini ditujukan untuk manajemen dan pemangku kepentingan non-teknis. Harus singkat, padat, dan langsung ke inti:

• Apa yang terjadi? - Jenis insiden (ransomware, data breach, DDoS).
• Kapan terjadi? - Timeline kejadian.
• Apa dampaknya? - Sistem terdampak, data yang terekspos, kerugian finansial.
• Apa yang sudah dilakukan? - Langkah containment dan recovery.
• Status saat ini? - Apakah sudah pulih? Masih dalam investigasi?

2. Timeline Kronologi

Urutan kejadian berdasarkan waktu. Setiap entri harus mencakup:

• Timestamp - waktu kejadian (format ISO 8601: YYYY-MM-DD HH:MM TZ).
• Deskripsi - apa yang terjadi.
• Sumber Informasi - dari mana informasi didapat (SIEM, log, laporan user).
• Pihak yang Terlibat - siapa yang melakukan tindakan.

3. Findings (Temuan)

Hasil investigasi teknis:

• Root Cause - penyebab utama insiden.
• Attack Vector - bagaimana attacker masuk.
• Scope - seberapa luas dampaknya.
• IOCs - IP, domain, hash, email yang teridentifikasi.

4. Impact Analysis (Analisis Dampak)

Penilaian dampak berdasarkan aspek:

5. Root Cause Analysis (RCA)

Penjelasan teknis tentang akar penyebab insiden. Gunakan metode 5 Whys atau Fishbone Diagram:

Contoh RCA - Ransomware via Phishing:

Mengapa ransomware bisa masuk?
1. Mengapa? → User membuka lampiran email phishing.
2. Mengapa? → Email tidak terfilter oleh email gateway.
3. Mengapa? → Rule email gateway tidak diupdate selama 3 bulan.
4. Mengapa? → Proses update signatur tidak terjadwal.
5. Mengapa? → Tidak ada SOP untuk maintenance email security.
Root Cause: Tidak adanya SOP pemeliharaan email security gateway.

6. Remediation (Perbaikan)

Tindakan yang sudah dan akan dilakukan:

7. Lessons Learned

Pelajaran yang diambil dari insiden ini:

• Apa yang berjalan baik?
• Apa yang perlu diperbaiki?
• Rekomendasi untuk pencegahan di masa depan.

8. Appendix (Lampiran)

• Evidence log lengkap.
• Screenshot alert dan dashboard.
• Command execution history.
• Chain of custody form.
• Log file referensi.

Template Kronologi Incident

Template berikut dapat digunakan untuk mencatat timeline insiden secara real-time:

INCIDENT TIMELINE
Case ID: IR-2025-0042
Insiden: Ransomware - LockBit 3.0
Lokasi: DC-Jakarta

| Timestamp (UTC+7)         | Deskripsi                                                | Sumber Info     | PIC        |
|---------------------------|----------------------------------------------------------|-----------------|------------|
| 2025-06-15 08:15:00       | Alert EDR: file encryption terdeteksi di WEB-01          | EDR Console     | SOC L1     |
| 2025-06-15 08:17:00       | Verifikasi: hash file cocok dengan LockBit 3.0           | VirusTotal      | SOC L1     |
| 2025-06-15 08:20:00       | Isolasi WEB-01 dari jaringan produksi                    | EDR Quarantine  | SOC L2     |
| 2025-06-15 08:25:00       | Cek host lain: DB-01 dan APP-01 juga terinfeksi          | SIEM + EDR      | SOC L2     |
| 2025-06-15 08:30:00       | Isolasi DB-01 dan APP-01                                 | EDR Quarantine  | SOC L2     |
| 2025-06-15 08:35:00       | Nonaktifkan SMB share di semua server                    | IT Operations   | SysAdmin   |
| 2025-06-15 08:40:00       | Notifikasi ke Incident Manager dan CISO                  | MS Teams        | SOC L3     |
| 2025-06-15 09:00:00       | Incident declared - Severity 1 (Kritis)                  | Meeting         | Inc Mgr    |
| 2025-06-15 09:15:00       | Mulai forensic imaging untuk WEB-01 dan DB-01            | FTK Imager      | Forensic   |
| ...                       | ...                                                      | ...             | ...        |
| 2025-06-15 18:00:00       | Restore DB dari backup terakhir (13 Juni 2025)           | Veeam           | IT Ops     |
| 2025-06-15 20:00:00       | Restore WEB-01 dari golden image                         | VMware Snapshot | IT Ops     |
| 2025-06-16 06:00:00       | Validasi sistem: vulnerability scan selesai - clean       | Nessus          | QA         |
| 2025-06-16 08:00:00       | Go-live: WEB-01 dan APP-01 kembali ke produksi           | NOC             | IT Ops     |
| 2025-06-16 08:00:00       | Monitoring ketat dimulai - alert threshold diturunkan    | SIEM            | SOC L1     |
| 2025-06-16 10:00:00       | Update YARA rule untuk deteksi varian LockBit baru       | YARA            | Forensic   |

Template Evidence Log

Setiap barang bukti digital harus dicatat dalam evidence log:

EVIDENCE LOG
Case ID: IR-2025-0042

| No | Item ID        | Deskripsi                     | Source         | Hash (SHA-256)                                              | Akuisisi       | Custodian |
|----|---------------|-------------------------------|----------------|-------------------------------------------------------------|----------------|-----------|
| 1  | EV-001        | Memory dump WEB-01            | Velociraptor   | a3f5b2c8d1e9...                                            | 15/06 09:15    | Rudi F   |
| 2  | EV-002        | Disk image DB-01 (SSD 500GB)  | FTK Imager     | b4e6c3d9f0a1...                                            | 15/06 09:20    | Rudi F   |
| 3  | EV-003        | Network capture (60 menit)    | tcpdump        | c5d7e4a0b1f2...                                            | 15/06 08:20    | Anita S  |
| 4  | EV-004        | File sampel ransomware        | EDR Console    | d6e8f5b1c2a3...                                            | 15/06 08:15    | SOC L1   |
| 5  | EV-005        | Email phishing (EML)          | User Report    | e7f9a6c2d3b4...                                            | 15/06 10:00    | SOC L1   |

Chain of Custody untuk setiap evidence harus mencatat:

• Siapa yang mengakuisisi bukti.
• Kapan dan di mana.
• Siapa yang memegang bukti setelahnya.
• Setiap transfer antar pihak.
• Tujuan penggunaan bukti.

Template Decision Log

Setiap keputusan penting selama penanganan insiden harus dicatat:

DECISION LOG
Case ID: IR-2025-0042

| No | Timestamp      | Keputusan                          | Alasan                                     | Decision Maker | Disetujui Oleh |
|----|---------------|------------------------------------|--------------------------------------------|----------------|----------------|
| 1  | 15/06 08:20   | Isolasi WEB-01 dari jaringan       | Mencegah penyebaran ransomware             | SOC L2         | SOC L3         |
| 2  | 15/06 08:35   | Nonaktifkan SMB share global       | Mencegah lateral movement via SMB          | SysAdmin       | Incident Mgr   |
| 3  | 15/06 09:00   | Deklarasi insiden Severity 1       | Ransomware menyebar ke 3 server            | Incident Mgr   | CISO           |
| 4  | 15/06 09:30   | Tidak membayar tebusan             | Backup tersedia, pembayaran mendanai       | CISO           | Board          |
|                |                                  | kriminal                                |                |                |
| 5  | 15/06 14:00   | Reimage server, bukan cleanup manual| Rootkit terdeteksi di memory dump          | Forensic       | Incident Mgr   |
| 6  | 15/06 16:00   | Pelaporan ke BSSN (regulator)       | Kewajiban UU PDP Pasal 46                  | Legal          | CISO           |

Contoh Laporan Insiden Lengkap

INCIDENT REPORT - RANSOMWARE LOCKBIT 3.0

Case ID: IR-2025-0042 Tanggal Laporan: 20 Juni 2025 Status: Closed

Executive Summary

Pada tanggal 15 Juni 2025 pukul 08:15 WIB, tim SOC mendeteksi aktivitas enkripsi file di server WEB-01 (web server produksi) melalui alert EDR CrowdStrike Falcon. Investigasi awal mengonfirmasi bahwa varian ransomware LockBit 3.0 telah berhasil menginfeksi sistem melalui lampiran email phishing yang dibuka oleh karyawan di divisi Marketing.

Dalam waktu 5 menit, tim SOC L2 berhasil mengisolasi server terdampak. Namun, investigasi lebih lanjut menemukan bahwa ransomware telah menyebar ke DB-01 (database server) dan APP-01 (application server) melalui koneksi SMB. Total 3 server produksi terdampak.

Dampak insiden:

• Downtime: 8 jam (08:15 - 16:00 WIB) untuk DB-01, 24 jam (08:15 - 08:00 WIB H+1) untuk WEB-01 dan APP-01.
• Data: Data transaksi 3 hari (13 - 15 Juni) perlu direstore dari backup. Tidak ada data pelanggan yang bocor.
• Biaya: Estimasi biaya respons, forensic, dan recovery: Rp 450 juta.
• Reputasi: Tidak ada pemberitaan negatif. Pelanggan diinformasikan melalui email pribadi.

Tindakan yang diambil:

1. Isolasi 3 server terdampak dalam 15 menit pertama.
2. Forensic imaging untuk analisis mendalam.
3. Restore data dari backup yang bersih.
4. Reimage server yang terinfeksi.
5. Reset semua password sistem dan akun layanan.
6. Implementasi MFA untuk semua akses remote.

Status: SELESAI. Semua sistem kembali beroperasi normal mulai 16 Juni 2025 pukul 08:00 WIB.

Timeline Kronologi

(Lihat template kronologi di atas - timeline lengkap 48 jam)

Root Cause

Akar penyebab menggunakan metode 5 Whys:

1. User membuka lampiran email phishing berisi macro berbahaya.
2. Email gateway tidak mendeteksi karena rule signature belum diupdate.
3. Tidak ada jadwal update rutin untuk signature email gateway.
4. Tidak ada SOP maintenance untuk security appliances.
5. Security awareness training tidak mencakup simulasi phishing.

Root Cause Utama: Kurangnya proses maintenance keamanan dan pelatihan keamanan yang tidak memadai.

Remediation Plan

Lessons Learned

Berjalan Baik:

• Response time containment: 15 menit (di bawah SLA 1 jam).
• Backup dan restore berjalan sesuai prosedur.
• Tim koordinasi berjalan efektif via MS Teams.

Perlu Diperbaiki:

• Email gateway signature tidak diupdate - perlu automasi.
• Tidak ada segmentasi jaringan antara server produksi.
• User tidak cukup terlatih mendeteksi phishing.

Rekomendasi:

1. Implementasi network micro-segmentation untuk server produksi.
2. Automasi update signature security appliances.
3. Simulasi phishing bulanan dengan training interaktif.
4. Implementasi Zero Trust Architecture untuk akses server.

Tools untuk Incident Report

DFIR-IRIS

Platform IR modern dengan fitur reporting otomatis:

• Generate PDF/DOCX report langsung dari data case.
• Timeline visual drag-and-drop.
• Evidence management terintegrasi.
• IOC dan indicator tracking.
• Export laporan siap audit.

TheHive (Case Management)

• Task management untuk setiap langkah penanganan.
• Template case untuk setiap jenis insiden.
• Log aktivitas otomatis dari setiap tindakan analyst.
• Integrasi dengan Cortex untuk enrichment otomatis.
• Export data ke JSON/CSV untuk laporan kustom.

Jira Service Management

• Workflow approval untuk setiap langkah.
• SLA tracking dan notifikasi.
• Knowledge base untuk known incidents.
• Dashboard dan reporting untuk management.

Templating Tools

• Pandoc - konversi markdown ke PDF/DOCX/HTML.
• Markdown + Mermaid - untuk timeline dan diagram.
• Google Docs / Word - template laporan yang sudah disetujui legal.

Best Practices Penulisan Incident Report

1. Tulis real-time - jangan menunggu insiden selesai. Catat setiap langkah saat terjadi.
2. Gunakan bahasa yang jelas - hindari jargon yang tidak perlu. Eksekutif harus bisa mengerti executive summary.
3. Fakta, bukan opini - "EDR mendeteksi 3 file" bukan "Sepertinya ada banyak file".
4. Sertakan bukti - screenshot, hash, log file sebagai lampiran.
5. Jaga rantai bukti - setiap evidence harus tercatat chain of custody-nya.
6. Review dan approve - laporan harus direview oleh Incident Manager dan Legal sebelum didistribusikan.
7. Rahasiakan informasi sensitif - redact informasi yang tidak perlu (password, PII yang tidak relevan).

Kesimpulan

Incident Report adalah produk akhir dari setiap insiden keamanan - dokumen yang akan dibaca oleh manajemen, auditor, regulator, bahkan pengadilan. Laporan yang baik harus:

1. Akurat dan berbasis fakta.
2. Tersusun rapi dengan struktur yang jelas.
3. Mencakup timeline, evidence, dan keputusan penting.
4. Memberikan rekomendasi yang actionable untuk pencegahan.

Dengan menggunakan platform seperti IRIS atau TheHive, pembuatan laporan insiden dapat diotomatisasi secara signifikan, mengurangi beban administratif analyst dan memastikan tidak ada detail yang terlewat.