Forensik digital untuk administrator dan tim keamanan

Informatec Digital » Sumber daya » Forensik digital untuk administrator dan tim keamanan

El Forensik digital telah menjadi elemen kunci. Hal ini relevan bagi setiap administrator sistem atau petugas keamanan yang harus menangani insiden, pelanggaran data, atau investigasi internal. Ini bukan lagi hanya urusan laboratorium kepolisian atau lembaga keamanan besar: saat ini hal tersebut memengaruhi operasional sehari-hari perusahaan, administrasi publik, dan organisasi dari semua ukuran.

Sepanjang artikel ini kita akan melihatnya secara sangat komprehensif. Apa sebenarnya forensik digital, bagaimana integrasinya dengan keamanan siber, proses dan alat apa yang digunakan, apa implikasi hukumnya, dan apa peran administrator? di seluruh ekosistem ini. Kami juga akan meninjau kerangka kerja seperti NIST, DFIR, Cyber ​​​​Elimination Chain, model Diamond, dan MITRE ATT&CK, serta respons insiden dan keberlanjutan bisnis, untuk memberi Anda gambaran umum yang komprehensif dan praktis.

Apa itu forensik digital dan mengapa hal itu sangat penting bagi administrator?

El forensik digital (atau forensik komputer) Disiplin ilmu ini bertanggung jawab untuk mengidentifikasi, mengumpulkan, melestarikan, menganalisis, dan menyajikan bukti digital yang diperoleh dari perangkat, sistem, dan jaringan dengan cara yang andal secara teknis dan dapat diterima secara hukum. Bidang ini tidak terbatas pada ranah kriminal: juga digunakan dalam investigasi internal, litigasi perdata, audit, dan kepatuhan terhadap peraturan.

Asal usulnya dapat ditelusuri kembali ke tahun 80-an dengan semakin populernya komputer pribadiNamun baru pada tahun 2000-an dan awal abad ke-21 negara-negara seperti Amerika Serikat mulai menstandarisasi prosedur dan kebijakan, didorong oleh meningkatnya kejahatan siber dan desentralisasi penegakan hukum.

Saat ini, disiplin ilmu ini telah berkembang pesat karena volume data digital yang sangat besar yang kita hasilkan di semua jenis perangkat: komputer, ponsel pintar, tablet, sistem IoTKendaraan terhubung, infrastruktur cloud, dan layanan online. Masing-masing sumber ini dapat berisi informasi penting untuk merekonstruksi apa yang terjadi dalam suatu insiden, mulai dari penipuan hingga pelanggaran data besar-besaran.

Bagi seorang administrator sistem atau jaringan, forensik digital sangat penting karena Hal ini memungkinkan kita untuk memahami "bagaimana, kapan, dan mengapa" suatu serangan atau insiden terjadi., mengidentifikasi sejauh mana kerusakan yang sebenarnya, menentukan data apa yang terpengaruh, dan menyimpan bukti yang mungkin dibutuhkan dalam proses hukum atau disiplin.

Profil pakar forensik digital dan peran administrator

Un ahli forensik digital atau ahli forensik komputer Profesional ini berspesialisasi dalam menyelidiki perangkat, sistem, dan jaringan untuk mengekstrak bukti yang dapat diterima. Fungsi tipikalnya meliputi pemulihan informasi yang terhapus, analisis metadata, rekonstruksi garis waktu, dan menjaga rantai bukti secara ketat.

Administrator sistem, keamanan, atau jaringan, tanpa harus menjadi ahli, Mereka biasanya yang pertama mendeteksi indikator adanya pelanggaran. dan menemukan bukti potensial: log peristiwa anomali, tangkapan lalu lintas, file mencurigakan, sistem yang disusupi, dll. Itulah mengapa sangat penting bagi mereka untuk mengetahui dasar-dasar penanganan bukti dan tidak secara tidak sengaja menghancurkan atau mengubahnya.

Di banyak organisasi, manajer pada akhirnya menjalankan fungsi-fungsi seperti: analis forensik digital, spesialis respons insiden, pakar internal, penyelidik kejahatan siber, konsultan keamanan dan kepatuhan, atau manajer keamananMungkin juga ada profil yang mengkhususkan diri dalam lingkungan tertentu: jaringan, komputasi awan, blockchain dan mata uang kripto, atau lingkungan yang sangat diatur.

Pasar kerja di bidang ini sedang berkembang pesat: Peluang kerja di bidang forensik komputer dan keamanan siber tumbuh jauh di atas rata-rata., didorong oleh maraknya serangan siber, kerja jarak jauh, komputasi awan, serta tuntutan regulasi dan kepatuhan.

Pentingnya forensik digital dalam keamanan siber modern

Dari perspektif keamanan siber perusahaan, forensik digital Ini adalah pilar fundamental dari strategi pertahanan apa pun.khususnya di lingkungan dengan jumlah titik akhir yang besar, pekerjaan jarak jauh, dan penggunaan layanan cloud yang intensif. Perannya tidak terbatas pada "meninjau kembali" setelah suatu insiden, tetapi terus menerus memberikan masukan untuk langkah-langkah pencegahan.

Di antara kontribusi utamanya, forensik digital memungkinkan mengidentifikasi akar penyebab suatu insiden, mendukung penahanan dan koreksi serangan, menghasilkan intelijen yang dapat ditindaklanjuti untuk memperkuat kontrol (firewall, EDR, MFA, segmentasi, dll.), dan mendokumentasikan seluruh proses untuk audit dan kepatuhan peraturan.

Disiplin ini terintegrasi secara alami dengan respons insiden keamananBahkan, solusi canggih menggabungkan kedua konsep tersebut dalam apa yang dikenal sebagai DFIR (Digital Forensics and Incident Response), sebuah pendekatan gabungan di mana alat forensik dengan cepat menganalisis bukti, menentukan vektor dan ruang lingkup serangan, dan kemudian mengotomatiskan atau memandu tindakan penahanan dan perbaikan.

Bagi administrator, ini berarti bahwa Banyak platform keamanan saat ini sudah menggabungkan fitur DFIR.: dari pencarian hadiah (Perburuan Ancaman), termasuk analisis memori, korelasi dengan intelijen ancaman, dan rekonstruksi serangan menggunakan garis waktu terperinci.

Faktor-faktor yang mendorong pertumbuhan pasar forensik digital

Pasar untuk solusi dan layanan forensik digital Saat ini, transaksi yang dilakukan bernilai miliaran dolar dan terus tumbuh dengan laju dua digit.dengan proyeksi akan berlipat ganda dalam dekade berikutnya. Beberapa faktor menjelaskan pertumbuhan ini.

En primer lugar, el peningkatan terus-menerus dalam serangan siber dan pelanggaran dataDidorong oleh perluasan perangkat yang terhubung dan IoT, hal ini telah melipatgandakan peluang bagi penyerang dan kebutuhan akan investigasi terperinci setelah insiden terjadi.

Kedua, file persyaratan peraturan dalam perlindungan data dan privasi Mereka mengharuskan organisasi untuk memahami apa yang terjadi selama pelanggaran keamanan, mendokumentasikannya, dan seringkali melaporkannya dalam tenggat waktu yang sangat ketat. Forensik digital adalah alat yang memungkinkan mereka untuk menunjukkan ketelitian dan memberikan informasi yang andal kepada pihak berwenang, klien, dan mitra.

Ketiga, teknologi seperti kecerdasan buatan dan pembelajaran mesin Mereka merevolusi cara menganalisis data forensik dalam jumlah besar, mengidentifikasi pola anomali, mengklasifikasikan bukti berdasarkan relevansi, mendeteksi malware tersembunyi, dan merekonstruksi insiden jauh lebih cepat daripada pendekatan manual tradisional.

Akhirnya, adopsi massal Komputasi awanOtomatisasi dan hiperkonektivitas telah menghasilkan skenario penelitian baru: lingkungan hibrida, kontainer, SaaS, infrastruktur multicloud, di mana forensik membutuhkan teknik dan alat khusus.

Proses dan tahapan analisis forensik digital menurut NIST.

Agar investigasi berjalan teliti dan hasilnya dapat lolos uji teknis dan hukum, sangat penting untuk mengikuti sebuah prosedur. proses metodologis yang terdefinisi dengan baikInstitut Standar dan Teknologi Nasional (NIST) mengusulkan model yang diterima secara luas berdasarkan empat fase dasar.

Yang pertama adalah pengumpulan atau perolehan dataDi sini, sumber informasi potensial (disk, perangkat seluler, log, memori, lalu lintas jaringan, layanan cloud) diidentifikasi, diberi label, didokumentasikan, dan salinan forensik diperoleh dengan mengikuti prosedur ketat untuk menghindari perubahan konten atau metadata-nya. Prioritasnya adalah menangkap data yang paling mudah berubah terlebih dahulu, seperti RAM, dan kemudian data yang kurang mudah berubah, seperti disk atau cadangan.

Fase kedua adalah penyelidikanProses ini melibatkan pengolahan salinan yang diperoleh melalui kombinasi teknik manual dan otomatis. Proses seperti dekompresi, dekripsi, penyaringan informasi yang tidak relevan, dan ekstraksi artefak spesifik (riwayat penelusuran, log, file sementara, log sistem, dll.) dapat diterapkan. Tujuannya adalah untuk menyaring volume data yang sangat besar menjadi kumpulan bukti yang berpotensi berguna dan mudah dikelola.

Fase ketiga adalah analisis yang tepatDi mana hasil pemeriksaan diinterpretasikan, urutan waktu direkonstruksi, fakta dari berbagai sumber dikorelasikan, dan pertanyaan yang memotivasi penyelidikan dijawab: apa yang terjadi, kapan, bagaimana, dari mana, dengan alat apa, dan apa dampaknya terhadap kerahasiaan, integritas, dan ketersediaan.

Fase keempat dan terakhir adalah laporanHal ini mencakup pendokumentasian seluruh proses yang diikuti, mendeskripsikan temuan secara jelas dan objektif, membenarkan alat dan metodologi yang digunakan, menunjukkan keterbatasan yang ditemui, dan mengusulkan, jika perlu, tindakan tambahan (sumber data baru untuk diperiksa, peningkatan kontrol, perubahan konfigurasi, dll.).

Jenis-jenis bukti digital dan rantai kepemilikan

Dalam konteks hukum, bukti dapat diklasifikasikan sebagai langsung atau tidak langsungdan juga berdasarkan konsep-konsep seperti bukti terbaik, bukti penguat, atau bukti tidak langsung. Di ranah digital, kita berbicara tentang file, log jaringan, isi memori, log aplikasi, artefak pengguna, dan masih banyak lagi.

La bukti terbaik Bukti ini biasanya berupa bukti yang diawetkan dalam keadaan aslinya, seperti perangkat fisik yang disita atau gambar utuh bit demi bit, sementara bukti penguat mendukung atau memperkuat hipotesis yang berasal dari bukti yang lebih unggul tersebut. Bukti tidak langsung atau bukti situasional adalah bukti yang, dikombinasikan dengan fakta-fakta lain, membantu membangun penjelasan yang masuk akal tentang apa yang terjadi.

Agar bukti ini dapat diterima dan dipercaya, sangat penting untuk menjaga rantai pengawasan yang ketatArtinya, catatan rinci tentang siapa yang mengumpulkan setiap barang bukti, kapan, bagaimana, di mana barang bukti itu disimpan, akses apa yang dimilikinya, dan operasi apa yang telah dilakukan padanya. Setiap celah atau manipulasi yang tidak beralasan dapat sepenuhnya menghancurkan sebuah kasus.

Selain itu, sangat penting untuk melestarikan integritas dan keaslian dataPraktik yang umum dilakukan adalah selalu mengerjakan salinan forensik, tidak pernah pada aslinya, dan menggunakan fungsi hash kriptografi (seperti SHA-256) untuk secara berkala memverifikasi bahwa salinan tersebut belum diubah. Dalam kasus memori volatil, alat khusus digunakan untuk menangkapnya sebelum mesin dimatikan, karena jika tidak, informasi tersebut akan hilang.

Urutan pengumpulan bukti dan volatilitas data

IETF, dalam RFC 3227-nya, merekomendasikan sebuah urutan pengumpulan bukti menurut volatilitasnyaData yang paling mudah berubah, seperti isi RAM, proses yang sedang berjalan, koneksi jaringan aktif, atau cache, harus ditangkap terlebih dahulu, karena data tersebut dapat hilang segera setelah sistem dimatikan atau dihidupkan kembali.

Selanjutnya, Anda harus memperoleh data yang kurang fluktuatifIni termasuk file sementara, log sistem, isi disk, konfigurasi perangkat, dan akhirnya, informasi yang tersimpan pada media penyimpanan permanen atau cadangan. Sepanjang seluruh proses, wajib untuk mencatat informasi tentang sistem sumber dengan cermat: perangkat keras, perangkat lunak, versi, pengguna yang memiliki akses, konfigurasi yang relevan, dll.

Analis atau administrator yang bertindak sebagai penanggung jawab pertama harus menghindari tindakan impulsif seperti mematikan mesin, memformat, menginstal ulang, atau "membersihkan" sistem. Tindakan apa pun seperti ini dapat menghancurkan bukti yang tidak dapat diubah. dan menghambat baik penyelidikan maupun pembelaan organisasi tersebut di hadapan pihak berwenang atau pengadilan.

Alat-alat utama untuk analisis forensik digital

Pekerjaan forensik modern bergantung pada seperangkat alat khusus yang Metode ini memungkinkan pemeriksaan berbagai jenis bukti secara metodis dan dapat diandalkan.Di antara yang paling banyak digunakan adalah beberapa paket dan utilitas sumber terbuka dan komersial.

Autopsi, misalnya, adalah platform grafis berdasarkan The Sleuth Kit Hal ini mempermudah analisis sistem file, pemulihan data yang terhapus, pemeriksaan metadata, studi aktivitas web, dan pemrosesan data dalam jumlah besar. Metode ini sangat umum digunakan dalam investigasi peralatan pengguna dan media penyimpanan.

Wireshark adalah alat referensi untuk forensik jaringanPerangkat ini mampu menangkap dan mendekode paket secara real-time atau dari file pcap. Hal ini memungkinkan identifikasi komunikasi yang mencurigakan, lalu lintas ke domain komando dan kontrol, pola eksfiltrasi data, atau upaya untuk mengeksploitasi kerentanan, yang sangat penting untuk merekonstruksi vektor serangan.

Volatilitas berfokus pada Analisis memori RAMDengan mengekstrak dump memori, alat ini dapat mengungkap proses aktif, koneksi terbuka, modul yang dimuat, artefak malware yang tidak meninggalkan jejak di disk, dan banyak elemen lain yang sering terlewatkan oleh alat tradisional. Hal ini sangat penting dalam investigasi malware canggih atau serangan yang hanya berjalan di memori.

FTK Imager terutama digunakan untuk membuat citra forensik yang akurat dari perangkat penyimpananPerangkat lunak ini dapat memverifikasi integritas data menggunakan hash dan memulihkan data yang terhapus atau rusak. Ini adalah alat yang sangat umum dalam fase pengumpulan bukti, baik di lingkungan bisnis maupun dalam investigasi hukum.

Terakhir, Kerangka Kerja Forensik Digital (DFF) menawarkan platform yang dapat diperluas untuk pengumpulan dan analisis data digitalPerangkat lunak ini memiliki antarmuka grafis dan kemampuan untuk menangani sejumlah besar informasi dan kasus yang kompleks. Karena bersifat open source, perangkat lunak ini memungkinkan penyesuaian sesuai dengan kebutuhan spesifik setiap organisasi atau situasi.

Hubungan antara forensik digital, kecerdasan buatan, dan MFA (Multi-Factor Authentication).

Hubungan antara forensik digital dan keamanan siber bersifat dua arah: sementara keamanan berfokus pada mencegah dan mendeteksi seranganTim forensik menyelidiki apa yang terjadi untuk meningkatkan pertahanan tersebut. Sinergi ini ditingkatkan dengan munculnya kecerdasan buatan (AI) dan teknik otentikasi canggih.

Algoritma AI yang diterapkan di bidang forensik membantu untuk menganalisis volume data, file, dan lalu lintas yang sangat besar, mengidentifikasi pola anomali, mengklasifikasikan bukti berdasarkan relevansi, mendeteksi malware yang terus bermutasi, atau bahkan menyimpulkan rangkaian peristiwa dari sinyal yang tersebar.

Dikombinasikan dengan sistem seperti otentikasi multi-faktor (MFA) dan otentikasi biometrikAnalisis forensik dapat mengungkap upaya pencurian identitas, akses mencurigakan dengan faktor otentikasi kedua yang disusupi, kegagalan konfigurasi dalam sistem akses, atau kekurangan dalam manajemen identitas.

Selain itu, informasi yang diperoleh dari investigasi forensik memberikan masukan platform intelijen ancaman dan kerangka kerja seperti IDS/IPS, SIEM atau XDR, yang pada gilirannya menggunakan AI dan pembelajaran mesin untuk memperkuat pertahanan dan mengotomatiskan sebagian dari respons insiden.

Implikasi hukum, kepatuhan, dan privasi

Ketika terjadi pelanggaran data atau insiden signifikan, forensik digital sangat penting. memainkan peran kunci dalam mematuhi kewajiban hukum dan peraturan.Pertama, hal ini berfungsi untuk melestarikan bukti secara andal, menciptakan catatan dan log yang tidak dapat diubah dan secara akurat mencerminkan apa yang terjadi.

Kedua, hal ini membantu organisasi untuk mematuhi kewajiban pelaporan Ditetapkan oleh peraturan perlindungan data dan keamanan siber: tenggat waktu untuk memberitahukan pelanggaran, identifikasi kategori data yang terpengaruh, perkiraan jumlah orang yang terdampak, kemungkinan penyebab insiden, dan langkah-langkah perbaikan yang diambil.

Ketiga, forensik digital harus benar-benar menghormati hak privasi karyawan dan pelangganAkses terhadap data pengguna dalam kerangka investigasi harus dibenarkan secara hukum, proporsional, dan terdokumentasi. Peraturan seperti... GDPR Eropa atau CCPA di California menetapkan batasan yang sangat jelas yang harus dipatuhi oleh perusahaan.

Bagi administrator, realitas ini berarti bahwa mereka tidak hanya harus berpikir dalam istilah teknis, tetapi juga dalam hal... kepatuhan dan tata kelola: penyimpanan log, kebijakan pemantauan, manajemen persetujuan, prosedur untuk mengakses data pribadi selama investigasi, dll.

Penanganan bukti, proses forensik, dan penentuan pelaku serangan.

Dalam banyak kasus, analis keamanan siber tingkat atas Mereka adalah pihak pertama yang mendeteksi perilaku anomali dan menemukan bukti awal aktivitas kriminal atau pelanggaran. Mengetahui cara menangani bukti tersebut sangat penting untuk melindungi organisasi dan mencegah kerusakan pada nilai pembuktiannya.

Proses forensik, menurut pedoman NIST, terstruktur sebagai berikut: Empat langkah utama: pengumpulan, pemeriksaan, analisis, dan pelaporan.Seperti yang telah dijelaskan. Setiap fase harus didokumentasikan dalam prosedur internal yang, pada gilirannya, memenuhi persyaratan peraturan atau standar organisasi.

Setelah penyelidikan, saatnya untuk... atribusi seranganArtinya, untuk mencoba mengidentifikasi pelaku yang bertanggung jawab: seorang karyawan yang tidak puas, kelompok kriminal, geng terorganisir, negara, atau jenis musuh lainnya. Penentuan pelaku ini jarang didasarkan pada bukti langsung; melainkan bergantung pada korelasi taktik, teknik, dan prosedur (TTP), pola infrastruktur, gaya pengkodean, atau jejak yang sudah diketahui dari kampanye lain.

Sumber dan kerangka kerja intelijen ancaman seperti MITRE ATT & CK Mereka membantu mengkorelasikan temuan suatu insiden dengan kampanye sebelumnya oleh aktor yang dikenal, memungkinkan kesimpulan yang masuk akal untuk ditarik tentang siapa yang berada di balik serangan tersebut dan tujuan apa yang dikejarnya, selalu dengan berhati-hati agar tidak mengubah spekulasi menjadi fakta.

Rantai Pembunuhan Siber: Mematahkan Serangan dalam Beberapa Fase

Cyber ​​Kill Chain, yang dikembangkan oleh Lockheed Martin, menggambarkan Tujuh langkah umum yang diikuti penyerang untuk berhasil menyelesaikan intrusi.Dengan mengetahui hal tersebut, administrator dan analis dapat mendeteksi dan memblokir serangan sesegera mungkin, sehingga mengurangi dampaknya.

Langkah-langkah ini berkisar dari pengenalan awal (pengumpulan informasi publik, pemindaian jaringan, penelusuran organisasi) hingga pengiriman persenjataan dan muatan (persiapan malware atau exploit dan penyebarannya melalui phishing, situs web yang disusupi, perangkat USB, dll.), melalui proses eksploitasi, instalasi backdoor, pembentukan command and control (C2) dan tindakan akhir pada target (pencurian data, enkripsi sistem, penggunaan jaringan untuk serangan lain, dll.).

Untuk pertahanan, idenya adalah putuskan rantai tersebut pada salah satu mata rantai tersebutSemakin cepat serangan terdeteksi dan diblokir, semakin sedikit kerusakan yang ditimbulkannya. Misalnya, kebijakan penyaringan email yang baik dan kampanye kesadaran pengguna dapat menetralkan fase pengiriman, sementara segmentasi yang tepat dan kontrol hak akses yang ketat dapat mencegah pergerakan lateral dan tindakan yang ditargetkan.

Analisis forensik, dengan merekonstruksi secara retrospektif setiap langkah yang diambil penyerang, memungkinkan penyempurnaan kontrol keamanan. untuk memutus rantai serangan di masa depan pada tahap yang semakin awal., memperkuat posisi pertahanan global organisasi tersebut.

Model Berlian untuk Analisis Intrusi

Model Berlian menawarkan cara lain untuk memahami insiden, mendefinisikannya sebagai interaksi antara Empat elemen utama: musuh, kemampuan, infrastruktur, dan korban.Suatu peristiwa intrusi digambarkan sebagai situasi di mana pihak lawan menggunakan suatu kemampuan, yang didukung oleh suatu infrastruktur, untuk menyerang korban.

Selain itu, model ini memperkenalkan metakarakteristik seperti cap waktu (kapan itu terjadi), fase (pada titik mana dalam siklus serangan itu berada), hasil (dampak pada kerahasiaan, integritas, dan ketersediaan), arah kejadian, metodologi (misalnya, phishing, pemindaian port, DDoS) dan sumber daya yang digunakan.

Dari perspektif administrator, model ini memungkinkan Visualisasikan bagaimana berbagai peristiwa saling terkait dalam kampanye yang kompleks., bagaimana proses tersebut bergeser dari korban awal yang dikompromikan ke korban lain di dalam organisasi, dan bagaimana infrastruktur komando dan kontrol yang sama dapat diarahkan terhadap target yang berbeda.

Dengan memetakan peristiwa-peristiwa ini terhadap Cyber ​​Kill Chain, diperoleh gambaran yang sangat komprehensif tentang operasi musuh, dan peluang konkret untuk meningkatkan deteksi, respons, dan ketahanan dapat diidentifikasi.

Respons insiden dan siklus hidup menurut NIST.

La tanggapan atas insiden Hal ini mencakup metode, kebijakan, dan prosedur yang digunakan suatu organisasi untuk mempersiapkan, mendeteksi, menahan, memberantas, dan memulihkan diri dari insiden keamanan. Standar NIST 800-61 mendefinisikan siklus hidup dalam empat fase utama.

Yang pertama adalah persiapandi mana kemampuan respons (CSIRT atau CSIRC) dibentuk, kebijakan dan rencana dibuat, prosedur didefinisikan, peran ditetapkan, dan tim diberikan alat, akses ke log, citra sistem yang bersih, dokumentasi aset kritis, diagram jaringan, dan, secara umum, semua sumber daya yang diperlukan.

Fase kedua adalah deteksi dan analisisDi sini, infrastruktur dipantau secara terus menerus menggunakan logDengan menggunakan alat EDR, IDS/IPS, SIEM, peringatan pengguna, dll., potensi insiden diidentifikasi, false positive dibedakan dari masalah sebenarnya, ruang lingkup dan dampaknya ditentukan, dan pemangku kepentingan internal dan eksternal diberitahu.

Fase ketiga menggabungkan penahanan, pemberantasan, dan pemulihanStrategi penahanan terbaik dipilih berdasarkan jenis insiden (mengisolasi perangkat, melakukan segmentasi jaringan, memblokir domain, mencabut kredensial, dll.), malware atau penyebab utamanya diberantas (menerapkan patch, menghapus akun yang terkompromikan, membersihkan konfigurasi), dan layanan serta data dipulihkan. salinan cadangan atau melalui rekonstruksi terkontrol.

Fase keempat mencakup hal-hal berikut: aktivitas pasca kejadian: tinjauan rinci atas semua yang terjadi, dokumentasi lengkap, analisis pelajaran yang dipetik, identifikasi perbaikan yang diperlukan dalam kebijakan, alat, arsitektur, pelatihan dan proses, serta tinjauan waktu respons dan efektivitas CSIRT.

Persyaratan penyimpanan dan pelaporan data insiden

Setelah respons teknis terhadap suatu insiden selesai, saatnya untuk Mengelola data dan bukti yang dihasilkan dengan benar.Ini bukan tentang menyimpan semuanya selamanya, tetapi tentang melestarikan apa yang berguna untuk tujuan hukum, peraturan, audit, dan peningkatan keamanan.

Waktu retensi bergantung pada faktor-faktor seperti kemungkinan tindakan hukum (dalam hal ini bukti mungkin harus disimpan selama bertahun-tahun), jenis data (misalnya, email, catatan, salinan forensik), aturan internal organisasi dan kewajiban yang ditetapkan oleh undang-undang atau peraturan tertentu.

Selain itu, organisasi dapat memperoleh manfaat dari berbagi informasi tentang insiden dengan komunitas khusus, basis data khusus industri, atau kerangka kerja pertukaran seperti VERIS, selalu dengan menghormati kerahasiaan dan persyaratan hukum. Hal ini membantu meningkatkan intelijen ancaman global dan belajar dari pengalaman orang lain.

Secara paralel, tim hukum harus meninjau apa yang persyaratan pelaporan dan komunikasi Berikut ini berlaku untuk insiden tersebut: pemberitahuan kepada otoritas perlindungan data, regulator industri, pelanggan yang terdampak, pemasok utama, perusahaan asuransi siber, dll., dan koordinasi pesan dengan cara yang konsisten dengan temuan investigasi forensik.

Pemulihan bencana dan kelangsungan bisnis

Di luar insiden keamanan siber "murni", organisasi perlu mempertimbangkan hal-hal berikut: bencana yang sangat memengaruhi operasi merekaBaik itu bencana alam (banjir, kebakaran, gempa bumi) maupun yang disebabkan oleh manusia (sabotase, kegagalan besar, serangan dahsyat).

Rencana Pemulihan Bencana (DRP) mendefinisikan bagaimana fasilitas dan aset yang terdampak akan dinilai, diselamatkan, diperbaiki, dan dipulihkan Selama dan setelah bencana. Ini mencakup inventaris sistem kritis, prioritas pemulihan, prosedur operasional, pihak yang bertanggung jawab, pemasok utama, dan mekanisme komunikasi.

Kontrol pemulihan dibagi menjadi pencegahan, deteksi dan perbaikanYang pertama adalah upaya untuk mencegah terjadinya bencana atau mengurangi kemungkinannya; yang kedua memungkinkan deteksi situasi anomali atau peningkatan risiko; dan yang ketiga diaktifkan setelah kejadian untuk memulihkan operasi normal.

Rencana Kelangsungan Bisnis (Business Continuity Plan/BCP) melangkah lebih jauh daripada Rencana Pemulihan Bencana (Disaster Recovery Plan/DRP), dengan mempertimbangkan bagaimana menjaga agar fungsi-fungsi penting organisasi tetap berjalan bahkan ketika kantor pusat atau sistem yang biasa digunakan tidak tersedia. Hal ini mungkin melibatkan pemindahan operasional ke lokasi lain, penggunaan infrastruktur alternatif, mengandalkan penyedia eksternal, atau menerapkan pengaturan kerja jarak jauh yang diperpanjang.

Semua ini didasarkan pada sebuah analisis dampak bisnis (BIA)yang mengidentifikasi proses-proses penting, ketergantungan sistem, waktu henti maksimum yang dapat ditoleransi, kerugian yang dapat diterima, dan sumber daya yang dibutuhkan untuk mempertahankan atau memulihkan layanan dalam tingkat yang dapat diterima.

Bagi seorang administrator atau manajer teknis, visi yang luas ini berarti bahwa Keamanan digital dan forensik tidak berakhir ketika suatu insiden ditutup.Hal tersebut merupakan bagian dari siklus berkelanjutan persiapan, respons, dan peningkatan yang terintegrasi dengan kesinambungan bisnis dan manajemen risiko organisasi secara keseluruhan.

Kondisi saat ini mengharuskan administrator dan tim keamanan untuk berkolaborasi. Pengetahuan teknis mendalam tentang forensik digital, pemahaman tentang kerangka kerja seperti NIST, DFIR, MITRE ATT&CK, Cyber ​​​​Deletion Chain dan Diamond Model, serta kepekaan terhadap isu-isu hukum, privasi, dan keberlanjutan.Hanya dengan cara ini mereka dapat menyelidiki insiden secara teliti, mempertahankannya dalam lingkungan peradilan jika perlu, memperkuat postur keamanan secara efektif, dan memastikan bahwa organisasi dapat terus berfungsi bahkan dalam skenario kritis.