Alert Triage
Alert triage adalah proses awal dan paling kritis dalam operasi Security Operations Center (SOC). Triage bertujuan menyaring noise dari ribuan alert harian, mengelompokkan insiden yang benar-benar memerlukan tindakan, dan memastikan response tepat diberikan dalam waktu yang terukur.
Proses Triage: Filter → Group → Prioritize → Escalate
- Filter - Hapus known false positive dan benign activity secara otomatis. Gunakan allowlist berbasis IP, domain, hash, atau rule exclusion di SIEM.
- Group - Kelompokkan alert yang memiliki root cause sama ke dalam satu case atau incident. Contoh: 50 alert brute force dari IP yang sama → satu kejadian.
- Prioritize - Tentukan alert mana yang harus ditangani segera berdasarkan severity dan criticality aset terdampak.
- Escalate - Jika analisis Level-1 tidak dapat menyelesaikan, escalate ke Level-2 atau Level-3 sesuai playbook.
Severity vs Priority
Severity adalah tingkat keparahan teknis dari alert (ditentukan aturan deteksi), sedangkan priority adalah urgensi bisnis setelah mempertimbangkan konteks aset. Sebuah alert severity Medium pada server produksi e-commerce bisa memiliki priority High. Matriks severity × asset criticality menentukan prioritas akhir.
Common Alert Types
| Jenis Alert | Contoh | Tipikal Severity |
|---|---|---|
| Malware | Deteksi ransomware, trojan, loader | High - Critical |
| Brute Force | RDP/SSH gagal 100+ kali | Medium - High |
| Anomaly | Login dari lokasi tidak biasa, data exfiltration | Variatif |
| Policy Violation | USB mass storage, install software ilegal | Low - Medium |
Triage Playbook
Playbook triage mendefinisikan langkah demi langkah untuk setiap alert type:
- Verify - Apakah alert berasal dari rule yang valid? Apakah log source masih healthy?
- Contextualize - Kumpulkan konteks: user, host, timestamp, source/destination IP, proses terkait.
- Validate - Apakah IOC (IP, domain, hash) dikenal sebagai malicious? Cek VirusTotal, Threat Intelligence.
- Determine severity - Berapa jumlah host terdampak? Apakah data sensitif terlibat?
- Take action - Ikuti playbook: contain, eradicate, atau escalate.
False Positive Analysis
False positive (FP) adalah musuh utama efisiensi SOC. Setiap FP harus dianalisis penyebabnya - apakah rule terlalu broad, baseline belum tuned, atau threshold terlalu rendah. Dokumentasi FP digunakan untuk memperbaiki aturan deteksi. Rasio FP ideal di bawah 10% dari total alert.
Escalation Criteria
Alert di-escalate jika:
- Analis Level-1 tidak memiliki akses atau kewenangan melakukan containment.
- Dibutuhkan forensic analysis mendalam (memory dump, disk imaging).
- Insiden melibatkan data sensitif yang memerlukan DPIA atau notifikasi regulatory.
- Serangan masih active dan perlu incident response tim khusus.
SLA for Alerts
Setiap tier alert memiliki SLA:
- Critical: 15 menit untuk first response, 1 jam untuk resolution.
- High: 30 menit first response, 4 jam resolution.
- Medium: 2 jam first response, 8 jam resolution.
- Low: 8 jam first response, 24 jam resolution.
SLA diukur dari alert generated hingga case resolved atau escalated.
Documentation & Case Management
Setiap alert yang ditangani harus didokumentasikan dalam sistem case management seperti TheHive. Dokumentasi mencakup: alert ID, timestamp, analyst, action taken, artifact, resolution. TheHive memungkinkan kolaborasi multi-analyst, MITRE ATT&CK mapping, dan integrasi dengan MISP untuk threat intelligence sharing - menjadikannya tulang punggung dokumentasi operasional SOC modern.