Hal-hal yang perlu diperhatikan setelah insiden keamanan siber di perusahaan Anda

Menemukan bahwa organisasi Anda baru saja mengalami insiden keamanan siber. Ini bukanlah cara terbaik untuk memulai hari: sistem terkunci, layanan terhenti, panggilan dari pelanggan yang khawatir, dan tim teknis tampak ketakutan. Tetapi di luar kejutan awal, yang benar-benar membuat perbedaan adalah apa yang Anda lakukan dalam beberapa jam berikutnya: apa yang Anda selidiki, siapa yang Anda beri tahu, apa yang Anda simpan sebagai bukti, dan bagaimana Anda memulihkan operasi tanpa meninggalkan celah bagi penyerang.

Tanggapilah dengan tenang, cepat, dan sistematis. Ini adalah kunci untuk memastikan serangan tetap menjadi ancaman serius dan tidak meningkat menjadi bencana finansial, hukum, dan reputasi. Pada bagian berikut, Anda akan menemukan panduan komprehensif, berdasarkan praktik terbaik untuk respons insiden, forensik digital, dan perencanaan keberlanjutan bisnis, yang mencakup semua hal yang harus Anda tinjau setelah insiden keamanan siber dan bagaimana mengatur tinjauan tersebut untuk belajar dari pengalaman, memperkuat pertahanan, dan mematuhi kewajiban hukum.

Apa yang sebenarnya terjadi: Memahami insiden dan tingkat keseriusannya

Sebelum menyentuh apa pun secara membabi buta, Anda perlu memahami jenis serangan apa yang Anda hadapi.Ransomware yang mengenkripsi server-server penting tidak sama dengan intrusi diam-diam untuk mencuri data atau akses tidak sah ke situs web perusahaan. Identifikasi yang tepat menentukan semua hal yang terjadi selanjutnya.

Salah satu tugas pertama adalah mengklasifikasikan insiden tersebut. Tergantung pada jenis serangan yang dominan: ransomware, pencurian informasi rahasia, peretasan akun perusahaan, modifikasi situs web, eksploitasi kerentanan, dan lain-lain. Seiring berjalannya analisis dan ditemukannya aset yang terpengaruh, klasifikasi awal sering berubah, sehingga disarankan untuk mendokumentasikan evolusi ini.

Selain itu, sangat penting untuk menemukan vektor input.Pesan phishing dengan lampiran berbahaya, tautan palsu, drive USB yang terinfeksi, RDP yang terekspos ke internet, kerentanan server yang belum ditambal, kredensial yang dicuri, kesalahan konfigurasi cloud… Mengidentifikasi titik akses ini memungkinkan Anda untuk lebih mendefinisikan ruang lingkup dan, yang terpenting, menutup pintu untuk mencegah hal itu terjadi lagi.

Aspek lain yang perlu dicermati dengan saksama adalah apakah serangan tersebut tampak terarah atau oportunistik.Kampanye massal berupa email generik, pemindaian otomatis untuk kerentanan yang diketahui, atau bot yang mengeksploitasi layanan yang terekspos biasanya menunjukkan serangan acak. Namun, ketika ditemukan pengetahuan mendalam tentang lingkungan, referensi spesifik ke perusahaan, atau penggunaan alat khusus industri, kemungkinan besar itu adalah serangan yang ditargetkan.

Dari situ, semua aset yang berpotensi terkompromikan harus dicantumkan.: stasiun kerja, Server LinuxBasis data, layanan cloud, aplikasi bisnis, perangkat seluler, dan sistem apa pun yang berbagi jaringan atau kredensial dengan tim yang awalnya terdampak. Semakin akurat inventaris ini, semakin mudah untuk menentukan ruang lingkup insiden yang sebenarnya dan memprioritaskan respons.

Kumpulkan dan simpan bukti tanpa mengurangi keabsahan pembuktian.

Begitu insiden terdeteksi, godaan alami yang muncul adalah memformat, menghapus, dan memulai dari awal.Namun, itu biasanya merupakan kesalahan besar dari sudut pandang forensik dan hukum. Jika Anda ingin mengajukan pengaduan, klaim asuransi, atau sekadar memahami apa yang terjadi, Anda perlu menyimpan bukti yang sah.

Langkah pertama adalah mengisolasi sistem yang terpengaruh tanpa mematikannya secara tiba-tiba.Untuk mencegah kehilangan data dalam memori atau perubahan catatan penting, prosedur yang biasa dilakukan adalah memutuskan sambungan dari jaringan, memblokir akses jarak jauh, dan menghentikan layanan yang tidak penting, tetapi tetap membiarkan peralatan tetap menyala hingga citra forensik dapat diperoleh.

Membuat salinan lengkap disk dan sistem adalah praktik dasar.Sangat disarankan untuk membuat setidaknya dua salinan: satu pada media yang hanya dapat ditulis (misalnya, DVD-R atau BD-R) untuk keperluan forensik, dan satu lagi pada media baru untuk digunakan dalam pemrosesan, analisis, dan, jika perlu, pemulihan data. Hard drive yang dilepas dari sistem harus disimpan di lokasi yang aman, bersama dengan salinan yang telah dibuat.

Informasi penting harus didokumentasikan untuk setiap media yang digunakan.Siapa yang membuat salinan tersebut, kapan, pada sistem apa, dengan alat apa, dan siapa yang kemudian mengakses media tersebut. Mempertahankan rantai pengawasan yang ketat sangat penting jika bukti ini perlu disajikan kemudian kepada hakim atau perusahaan asuransi.

Selain citra disk, log dan jejak juga harus diamankan. dari semua jenis: log sistem, aplikasi, firewall, VPN, server email, proxy, perangkat jaringan, solusi EDR/XDR, SIEM, dll. Log ini berfungsi untuk merekonstruksi serangan dan mengidentifikasi pergerakan lateral, eksfiltrasi data, atau persistensi penyerang.

Sebaiknya segera dilakukan penilaian apakah perlu mengambil tindakan hukum.Dalam kasus tersebut, sangat disarankan untuk melibatkan ahli forensik khusus yang dapat mengarahkan pengumpulan bukti, menggunakan alat yang tepat, dan menyiapkan laporan teknis yang sah secara hukum. Semakin cepat mereka dilibatkan, semakin kecil risiko kontaminasi atau kehilangan bukti yang berguna.

Dokumentasi insiden: apa yang perlu dicatat

Saat serangan sedang ditangani dan sistem sedang dipulihkan, dokumentasi mudah terabaikan.Namun, hal itu sering terlewatkan, baik untuk analisis selanjutnya maupun untuk memenuhi kewajiban regulasi. Itulah mengapa penting untuk mencatat semuanya dari awal.

Sangat bermanfaat untuk menetapkan tanggal dan waktu deteksi secara akurat.serta gejala pertama yang diamati: peringatan dari alat keamanan, anomali kinerja, akun terkunci, pesan ransomware, keluhan pengguna, dll. Jika diketahui, perkiraan waktu dimulainya serangan atau pelanggaran keamanan juga harus dicatat.

Secara paralel, daftar sistem, layanan, dan data yang terpengaruh harus disusun.Menunjukkan apakah aset tersebut merupakan aset penting bagi bisnis atau aset pendukung. Informasi ini sangat penting untuk memprioritaskan pemulihan dan menghitung dampak ekonomi dan operasional dari insiden tersebut.

Setiap tindakan yang dilakukan selama respons harus dicatat.Apa saja yang telah dinonaktifkan, perubahan kata sandi apa yang telah dilakukan, patch apa yang telah diterapkan, layanan apa yang telah dihentikan atau dipulihkan, langkah-langkah penahanan apa yang telah diambil, dan kapan. Ini bukan dimaksudkan sebagai novel, melainkan garis waktu yang jelas dan mudah dipahami.

Selain itu, perlu juga mencatat nama semua orang yang terlibat. Dalam manajemen krisis: siapa yang mengkoordinasi, teknisi mana yang terlibat, pemilik bisnis mana yang diinformasikan, penyedia eksternal mana yang membantu, dan sebagainya. Hal ini kemudian membantu meninjau kinerja tim dan kesesuaian peran yang didefinisikan dalam rencana respons.

Salah satu aspek yang terkadang terlupakan adalah menyimpan salinan komunikasi yang relevan.Email yang berkirim dengan klien, pesan penyelamatan, percakapan dengan perusahaan asuransi, komunikasi dengan pihak berwenang, obrolan internal tentang keputusan penting, dan lain sebagainya. Informasi ini dapat sangat berharga untuk investigasi forensik, untuk menunjukkan ketelitian kepada regulator, dan untuk meningkatkan protokol komunikasi krisis.

Pemberitahuan kepada lembaga, klien, dan pihak ketiga yang terlibat.

Ketika awan debu awal mulai mengendap, saatnya untuk memberi tahu orang yang berwenang.Ini bukan pilihan: dalam banyak kasus, peraturan mewajibkannya, dan dalam kasus lain, transparansi sangat penting untuk menjaga kepercayaan.

Jika insiden tersebut melibatkan data pribadi (pelanggan, karyawan, pengguna, pasien, siswa…), perlu untuk meninjau kewajiban berdasarkan Peraturan Perlindungan Data Umum (GDPR) dan undang-undang setempat. Di Spanyol, ini berarti memberitahukan kepada Badan Perlindungan Data Spanyol (AEPD) ketika ada risiko terhadap hak dan kebebasan individu, biasanya dalam waktu maksimal 72 jam sejak mengetahui pelanggaran tersebut.

Kapan suatu kejadian dapat dianggap sebagai tindak pidana? (ransomware, pemerasan, penipuan, pencurian informasi sensitif, ancaman terhadap infrastruktur penting), disarankan untuk melaporkan insiden ini kepada Pasukan Keamanan Negara. Di Spanyol, unit-unit seperti Brigade Investigasi Teknologi Kepolisian Nasional atau Kelompok Kejahatan Telematika Guardia Civil biasanya turun tangan, dan mereka juga dapat berkoordinasi dengan organisasi internasional.

Di tingkat negara bagian terdapat pusat-pusat khusus yang patut diperhatikan., seperti INCIBE-CERT untuk warga dan entitas swasta, atau CSIRT khusus sektor lainnya. Memberi tahu mereka dapat memberikan dukungan teknis tambahan, akses ke informasi intelijen tentang ancaman serupa, alat dekripsi, atau petunjuk tentang kampanye yang sedang berlangsung.

Perusahaan yang memiliki polis asuransi siber harus meninjau kembali ketentuan pemberitahuan.Hal ini karena banyak perusahaan asuransi mensyaratkan pemberitahuan dalam tenggat waktu yang sangat ketat dan mensyaratkan pertanggungan dengan mengikuti pedoman respons tertentu dan menggunakan penyedia layanan yang disetujui.

Terakhir, saatnya memikirkan komunikasi dengan pelanggan, mitra, dan karyawan.Jika data telah disalahgunakan atau layanan penting terpengaruh, lebih baik karyawan diberitahu langsung oleh organisasi, daripada melalui kebocoran atau laporan pers. Pesan yang jelas dan jujur, yang menjelaskan apa yang telah terjadi secara umum, informasi apa yang mungkin terpengaruh, langkah-langkah apa yang sedang diambil, dan langkah-langkah apa yang direkomendasikan bagi mereka yang terpengaruh, biasanya merupakan strategi terbaik untuk melindungi reputasi.

Untuk menahan, mengisolasi, dan membatasi kemajuan penyerang.

Begitu dipastikan bahwa insiden nyata telah terjadi, perlombaan melawan waktu pun dimulai. untuk mencegah penyerang bergerak lebih jauh, mencuri lebih banyak data, atau menyebabkan kerusakan tambahan seperti mengenkripsi cadangan atau membahayakan lebih banyak akun.

Langkah pertama adalah mengisolasi sistem yang terkompromikan dari jaringan.Hal ini berlaku untuk koneksi kabel maupun nirkabel. Dalam banyak kasus, cukup dengan memutuskan sambungan antarmuka jaringan, mengkonfigurasi ulang VLAN, atau menerapkan aturan firewall khusus untuk memblokir komunikasi yang mencurigakan. Tujuannya adalah untuk menahan penyerang tanpa menghancurkan bukti atau mematikan sistem secara sembarangan.

Selain isolasi fisik atau logis, penting untuk meninjau akses jarak jauh.VPN, desktop jarak jauh, koneksi pihak ketiga, akses istimewa, dll. Mungkin perlu untuk menonaktifkan sementara akses tertentu sampai jelas kredensial mana yang mungkin telah disalahgunakan.

Pemblokiran akun dan kredensial yang mencurigakan harus dilakukan dengan tepat.Dimulai dari akun dengan hak akses tinggi, akun layanan yang terekspos, pengguna yang terlibat langsung dalam intrusi, atau mereka yang menunjukkan aktivitas anomali, disarankan untuk memberlakukan perubahan kata sandi secara luas setelah situasi lebih terkendali, dengan memprioritaskan akun-akun penting terlebih dahulu.

Langkah yang lebih teknis adalah memperkuat segmentasi dan penyaringan lalu lintas. Untuk mencegah pergerakan lateral dan komunikasi komando dan kontrol, aturan firewall, IDS/IPS, solusi EDR/XDR, dan kontrol lainnya berperan, memungkinkan pemblokiran domain, IP, dan pola lalu lintas berbahaya yang diidentifikasi selama analisis.

Pada saat yang sama, data cadangan harus diamankan.Jika cadangan data berada secara daring atau dapat diakses dari sistem yang terkompromikan, ada risiko bahwa cadangan tersebut juga dapat dienkripsi atau dimanipulasi. Disarankan untuk memutuskan sambungannya, memverifikasi integritasnya, dan menyimpannya untuk fase pemulihan, setelah Anda yakin bahwa cadangan tersebut aman.

Forensik digital: merekonstruksi serangan dan menemukan kerentanan.

Setelah ancaman berhasil diatasi, bagian "forensik digital" yang sebenarnya dimulai.Pekerjaan teliti untuk merekonstruksi langkah demi langkah apa yang dilakukan penyerang, bagaimana dia masuk, apa yang dia sentuh, dan berapa lama dia berada di dalam.

Analisis forensik dimulai dengan memproses bukti yang telah dikumpulkan.Citra disk, tangkapan memori, log sistem dan jaringan, sampel malware, file yang dimodifikasi, dll., serta pembelajaran dari insiden dunia nyata seperti kegagalan dalam solusi EDRAlat khusus digunakan untuk merekonstruksi garis waktu, melacak perubahan konfigurasi, mengidentifikasi proses yang mencurigakan, dan memetakan koneksi jaringan yang tidak biasa.

Salah satu tujuan utamanya adalah untuk menemukan kerentanan yang dieksploitasi dan celah keamanan.Hal ini dapat mencakup perangkat lunak yang sudah usang, konfigurasi default, port terbuka yang tidak beralasan, akun tanpa otentikasi dua faktor, izin yang berlebihan, kesalahan pengembangan, atau kegagalan segmentasi jaringan. Daftar kelemahan ini kemudian akan menjadi dasar untuk tindakan perbaikan, serta alat untuk Manajemen Postur Keamanan Aplikasi (ASPM).

Analisis ini juga menentukan cakupan sebenarnya dari serangan tersebut.Hal ini mencakup penentuan sistem mana yang sebenarnya telah disusupi, akun mana yang telah digunakan, data apa yang telah diakses atau dieksfiltrasi, dan berapa lama penyerang memiliki kemampuan untuk bergerak bebas. Dalam lingkungan yang kompleks, hal ini mungkin memerlukan peninjauan detail selama berhari-hari atau berminggu-minggu.

Ketika terdapat indikasi kebocoran data, log jaringan dan basis data diperiksa lebih mendalam. untuk mengukur seberapa banyak informasi yang telah bocor, ke tujuan mana, dan dalam format apa. Informasi ini sangat penting untuk menilai dampak hukum dan reputasi, serta kewajiban pemberitahuan kepada pihak berwenang dan pihak yang terkena dampak.

Semua pekerjaan ini tercermin dalam laporan teknis dan eksekutif.Laporan-laporan ini tidak hanya harus menjelaskan aspek teknis serangan, tetapi juga implikasinya terhadap bisnis dan rekomendasi untuk perbaikan. Laporan ini berfungsi sebagai dasar untuk membenarkan investasi keamanan, meninjau proses internal, dan memperkuat pelatihan staf.

Menilai kerugian, data yang bocor, dan dampaknya terhadap bisnis.

Di luar aspek teknis semata, setelah suatu insiden terjadi, angka dan konsekuensinya perlu dipertimbangkan secara menyeluruh.Artinya, untuk menilai dampaknya dalam hal operasional, ekonomi, hukum, dan reputasi.

Pertama, dampak operasional dianalisis.Ini termasuk: layanan yang terhenti, gangguan produksi, waktu henti sistem penting, keterlambatan pengiriman atau proyek, ketidakmampuan untuk membuat faktur, pembatalan janji temu atau intervensi, dan lain sebagainya. Informasi ini menjadi dasar untuk memperkirakan kerugian akibat gangguan bisnis.

Kemudian, data yang terpengaruh harus diperiksa dengan sangat cermat.Informasi pribadi pelanggan, karyawan, pemasok, atau pasien; data keuangan; rahasia dagang; kekayaan intelektual; kontrak; rekam medisCatatan akademik, dan sebagainya. Setiap jenis data memiliki risiko dan kewajiban yang berbeda.

Untuk data pribadi, tingkat sensitivitasnya harus dinilai. (misalnya, data kesehatan atau keuangan dibandingkan dengan informasi kontak sederhana), volume catatan yang terekspos, dan kemungkinan penggunaan yang jahat seperti penipuan, pencurian identitas, atau pemerasan. Penilaian ini menentukan apakah perlu memberi tahu Badan Perlindungan Data Spanyol (AEPD) dan pihak-pihak yang terkena dampak, serta langkah-langkah kompensasi apa yang harus ditawarkan.

Ketiga, dampak ekonomi langsung dihitung.Biaya-biaya ini mencakup layanan keamanan siber eksternal, pengacara, komunikasi krisis, pemulihan sistem, pengadaan mendesak alat keamanan baru, lembur, perjalanan, dan lain-lain. Selain itu, ada dampak tidak langsung yang lebih sulit diukur, seperti kehilangan pelanggan, kerusakan reputasi, denda peraturan, atau penalti kontrak.

Terakhir, dampak reputasi dan kepercayaan pemangku kepentingan dinilai.Ini termasuk reaksi dari pelanggan, investor, mitra, media, dan karyawan. Insiden yang ditangani dengan buruk, dengan sedikit transparansi atau respons yang lambat, dapat menimbulkan kerugian reputasi yang berlangsung selama bertahun-tahun, bahkan jika secara teknis telah diselesaikan dengan benar.

Pemulihan yang aman: memulihkan sistem tanpa memperkenalkan kembali musuh.

Setelah dipahami apa yang terjadi dan penyerang telah diusir, fase memulai ulang sistem dimulai. dan kembali normal. Terburu-buru hanya akan mendatangkan kerugian jika Anda ingin menghindari infeksi ulang atau membiarkan celah keamanan tetap aktif.

Langkah pertama adalah menetapkan prioritas pemulihan.Tidak semua sistem sama pentingnya untuk kelangsungan bisnis: perlu untuk mengidentifikasi sistem mana yang benar-benar penting (penagihan, pesanan, sistem pendukung, platform layanan pelanggan, komunikasi dasar) dan memulihkannya terlebih dahulu, sementara sistem yang bersifat sekunder atau murni administratif dipulihkan kemudian.

Sebelum melakukan pemulihan, sistem harus dibersihkan atau diinstal ulang.Dalam banyak kasus, opsi teraman adalah memformat dan menginstal ulang dari awal, kemudian menerapkan patch dan konfigurasi yang diperkuat, daripada mencoba "membersihkan" sistem yang terinfeksi secara manual. Ini termasuk meninjau dengan cermat skrip startup, tugas terjadwal, akun layanan, kunci registri, dan mekanisme persistensi apa pun yang mungkin ada.

Pemulihan data harus dilakukan dari cadangan yang terverifikasi. agar tidak terganggu. Untuk melakukan ini, cadangan dianalisis dengan alat anti-malware, dan tanggal ditinjau untuk memilih versi sebelum dimulainya insiden. Jika memungkinkan, disarankan untuk terlebih dahulu memulihkan di lingkungan pengujian yang terisolasi dan memverifikasi bahwa semuanya berfungsi dengan benar dan tanpa tanda-tanda aktivitas berbahaya.

Selama proses pemulihan sistem dan layanan, pemantauan harus dilakukan secara intensif.Tujuannya adalah untuk segera mendeteksi setiap upaya penyerang untuk terhubung kembali, aktivitas anomali, lonjakan lalu lintas yang tidak terduga, atau akses yang tidak biasa. Solusi seperti EDR/XDR, SIEM, atau layanan pemantauan terkelola (MDR) sangat membantu dalam pengawasan yang lebih baik ini.

Manfaatkan fase rekonstruksi untuk meningkatkan kontrol keamanan. Ini keputusan yang cerdas. Misalnya, kebijakan kata sandi dapat diperkuat, otentikasi multi-faktor, memperkuat segmentasi jaringan, mengurangi hak akses yang berlebihan, menerapkan daftar putih aplikasi, atau menerapkan alat deteksi intrusi dan kontrol akses tambahan.

Pelajaran yang didapat dan perbaikan berkelanjutan setelah insiden tersebut

Setelah keadaan darurat berlalu, saatnya untuk duduk dengan tenang. dan menganalisis apa yang berjalan dengan baik, apa yang salah, dan apa yang dapat ditingkatkan. Memperlakukan insiden tersebut sebagai latihan nyata adalah hal yang benar-benar meningkatkan tingkat kematangan keamanan siber.

Biasanya dilakukan peninjauan pasca-insiden. Pertemuan ini melibatkan perwakilan dari bidang TI, keamanan, bisnis, hukum, komunikasi, dan, jika ada, vendor eksternal. Pertemuan ini meninjau jadwal waktu, keputusan yang dibuat, tantangan yang dihadapi, hambatan, dan titik buta dalam deteksi atau respons.

Salah satu hasil dari tinjauan ini adalah untuk menyesuaikan rencana respons insiden.: mendefinisikan ulang peran dan kontak, meningkatkan templat komunikasi, menyempurnakan prosedur teknis, memperjelas kriteria eskalasi, atau menambahkan kasus penggunaan spesifik (misalnya, serangan ransomware, kebocoran data, atau insiden cloud).

Solusi penting lainnya adalah memprioritaskan langkah-langkah keselamatan struktural. Berdasarkan kerentanan yang terdeteksi: perbarui sistem, perkuat konfigurasi, segmentasikan jaringan, tinjau aturan firewall, terapkan MFA jika belum ada, batasi akses jarak jauh, terapkan prinsip hak akses minimal, dan tingkatkan inventaris aset.

Pada saat yang sama, insiden tersebut biasanya menyoroti perlunya pelatihan dan kesadaran yang lebih banyak.Latihan simulasi phishing, lokakarya respons praktis, sesi tentang praktik terbaik untuk penanganan informasi, dan latihan simulasi di atas meja membantu staf mengetahui cara bertindak dan mengurangi risiko kesalahan manusia yang menyebabkan begitu banyak pelanggaran keamanan.

Organisasi dengan sumber daya internal yang lebih sedikit dapat mempertimbangkan untuk melakukan outsourcing layanan terkelola. seperti pemantauan 24/7, deteksi dan respons terkelola (MDR), atau tim respons insiden eksternal yang melengkapi CSIRT internal. Hal ini sangat relevan terutama ketika pemantauan berkelanjutan tidak dapat dipertahankan atau ketika lingkungan sangat kompleks.

Pada akhirnya, setiap insiden yang dianalisis secara menyeluruh akan menjadi pengungkit untuk perbaikan. Hal ini memperkuat ketahanan, mempercepat kemampuan respons, dan mengurangi kemungkinan serangan serupa berhasil di masa mendatang. Memandang manajemen insiden sebagai siklus berkelanjutan dari persiapan, deteksi, respons, dan pembelajaran adalah yang membedakan organisasi yang hanya "memadamkan api" dari organisasi yang benar-benar muncul lebih kuat dengan setiap pukulan.

Mempertahankan pandangan komprehensif tentang apa yang harus dicari setelah insiden keamanan siber. —mulai dari mengidentifikasi serangan hingga mengamankan bukti, berkomunikasi dengan pihak ketiga, pemulihan yang aman, dan pembelajaran yang didapat— memungkinkan Anda untuk beralih dari kepanikan yang improvisasi ke respons yang profesional dan terstruktur, yang mampu membatasi kerusakan, mematuhi peraturan, dan secara nyata memperkuat keamanan organisasi.