Recovery

Recovery adalah proses mengembalikan sistem dan data ke kondisi berfungsi setelah terjadi insiden - baik akibat serangan siber, kerusakan hardware, kesalahan konfigurasi, maupun bencana alam. Tanpa rencana recovery yang matang, downtime bisa berlangsung berhari-hari atau data hilang permanen.

Disaster Recovery Plan (DRP)

DRP adalah dokumen formal yang menjabarkan langkah-langkah yang harus diambil untuk memulihkan infrastruktur TI setelah bencana. Komponen utama DRP:

1. Inventory aset - daftar server, aplikasi, database, dan ketergantungannya.
2. Contact list - tim yang bertanggung jawab (ops, security, vendor, manajemen).
3. Recovery procedures - langkah detail untuk setiap skenario (server failure, data corruption, full site disaster).
4. Communication plan - bagaimana dan kepada siapa status recovery dikomunikasikan.
5. DRP testing schedule - jadwal simulasi dan drill tahunan.

Simpan DRP di lokasi yang dapat diakses tanpa koneksi ke infrastruktur yang down - misalnya di cloud terpisah, cetak fisik, atau USB drive yang disimpan di safe.

RTO & RPO

Dua metrik kunci dalam recovery:

• RTO (Recovery Time Objective) - waktu maksimal yang diterima untuk memulihkan service setelah insiden. Contoh: server kritis harus pulih dalam 4 jam → RTO = 4 jam.
• RPO (Recovery Point Objective) - jumlah maksimal data yang boleh hilang diukur dalam waktu. Contoh: backup tiap 1 jam → RPO maksimal 1 jam.

Semakin ketat RTO dan RPO, semakin mahal infrastruktur yang dibutuhkan (real-time replication, hot standby). Tentukan RTO/RPO berdasarkan tingkat kritis aplikasi.

Recovery from Backup

Bare Metal Recovery

Untuk server fisik atau VM yang rusak total:

1. Boot menggunakan media instalasi atau ISO recovery (SystemRescue, Clonezilla live).
2. Partisi ulang disk sesuai layout asli.
3. Restore image-level backup (Veeam, Clonezilla, dd).
4. Verifikasi boot loader (GRUB) dan kernel.

Tools khusus bare metal: Veeam Bare Metal Recovery, Clonezilla, ReaR (Relax-and-Recover).

File Level Recovery

Untuk kerusakan file individual atau konfigurasi:

1. Mount backup terbaru (lokal atau remote).
2. Copy file yang dibutuhkan ke direktori asli.
3. Restore permission dan ownership jika perlu (chown, chmod).
4. Restart service terkait.

Bootable Media (ISO, PXE)

Siapkan media boot untuk situasi darurat:

• ISO SystemRescue - tool serbaguna untuk repair sistem, partisi, dan restore.
• PXE boot - untuk recovery massal, gunakan server PXE dengan menu berisi ISO recovery, utilitas disk, dan network boot.
• Live USB - simpan beberapa USB bootable dengan sistem rescue di lokasi aman.

System Rescue

Langkah-langkah rescue server yang tidak bisa boot:

1. Boot dari media rescue (SystemRescue atau live Ubuntu).
2. Mount root filesystem ke /mnt.
3. Chroot ke environment yang rusak: chroot /mnt /bin/bash.
4. Repair bootloader, kernel, atau konfigurasi yang korup.
5. Exit chroot, unmount, reboot.

Recovery Testing

DRP hanya sebagus hasil testing-nya. Lakukan:

• Tabletop exercise - simulasi diskusi skenario tanpa benar-benar restore.
• Partial recovery test - restore satu server non-kritis secara penuh.
• Full DR drill - simulasi bencana total, restore seluruh infrastruktur di environment terpisah.

Dokumentasikan temuan setiap test dan perbaiki DRP berdasarkan hasil tersebut.

Incident Response Integration

Recovery harus terintegrasi dengan Incident Response Plan (IRP). Setelah insiden keamanan:

1. Containment - isolasi server yang terkena dampak.
2. Forensic - ambil image forensik sebelum wipe.
3. Eradication - bersihkan malware atau backdoor.
4. Recovery - restore dari backup yang bersih (pastikan backup tidak terkontaminasi).
5. Post-mortem - analisis root cause dan perbaiki prosedur.

Post-Recovery Validation

Setelah restore selesai, lakukan validasi:

• Semua service berjalan (systemctl status, ps aux).
• Data utuh (sample check, checksum, row count database).
• Konektivitas jaringan dan DNS berfungsi.
• Monitoring mengembalikan status normal.
• Tidak ada anomaly (log mencurigakan, user tak dikenal).

Immutable Backup

Backup yang tidak bisa diubah (immutable) melindungi dari ransomware. Simpan backup di storage dengan WORM (Write Once Read Many) - misalnya S3 Object Lock, tape WORM, atau repo Borg dengan append-only mode. Immutable backup menjamin bahwa meskipun admin account compromised, backup yang lalu tidak bisa dihapus atau dienkripsi.

Recovery adalah tujuan akhir dari backup - pastikan Anda tidak hanya memiliki backup, tetapi juga kemampuan untuk benar-benar pulih saat terjadi krisis.