Incident Handling

Insiden
•    Insiden merupakan bagian dari kehidupan elektronik
•    Tidak sengaja vs disengaja
•    Sering terjadi pada waktu yang kurang “pas” (misal: admin sedang tidak ada, sedang ada deadline)
Contoh
•    Wabah virus
•    Spam mail, mailbomb
•    Previlage attack, rootkit, intrusion
•    DoS attack
•    Harus dipikirkan skenario lain yang mungkin terjadi
•    Definisi dari “incident”
Apakah yang berikut ini termasuk insiden?
•    Ancaman (threat), hoax, virus
•    computer intrusion, DoS attack, insider theft information, any unathorized or unlawful network-based activity
Definisi
•    David Theunissen, “Corporate Incident Handling Guidelines”:
Incidents is “the act of violating or threatening to violate an explicit or implied security policy”
•    Kevin Mandia & Chris Prosise, “Incident Response”:
“Incidents are events that interrupt normal operating procedure and precipitate some level of crisis”
Tujuan dari “Incident Handling”
•    Memastikan bahwa insiden terjadi atau tidak terjadi
•    Melakukan pengumpulan informasi yang akurat
•    Melakukan pengambilan dan penanganan bukti-bukti
•    Menjaga agar kegiatan berada dalam kerangka hukum (misalnya masalah privacy, legal action)
•    Meminimalkan gangguan terhadap operasi bisnis dan jaringan
•    Membuat laporan yang akurat berserta rekomendasinya

Metodologi

•    From Kevin Mandia & Chris Prosise
“Incident Response”

•    Pre-incident preparation

•    Detection of incidents

•    Initial response

•    Response strategy formulation

•    Duplication (forensic backups)

•    Investigation

•    Security measure implementation

•    Network monitoring

•    Recovery

•    Follow-up

Permasalahan Incident Handling
Teknis
•    Apa saja yang harus dilaporkan?
•    Apakah ada informasi yang confidential?
(nomor IP, userid, password, data, files)
•    Perlunya packet scrubbing?
•    Terlalu sedikit/banyak data yang dilaporkan
•    Ketersediaan trouble ticketing system, help desk (24 jam?)
•    Data-data log sering tidak tersedia sehingga menyulitkan incident handling

Permasalahan Incident Handling 2

•    Non-teknis

•    Organisasi:

•    Kemana (kepada siapa) harus melapor jika terjadi insiden? Perlunya “Incident Response Team” (IRT)

•    Melapor ke organisasi yang lebih tinggi di luar institusi lokal? (misal ke ID-CERT, APSIRC, CERT)
Untuk keperluan statistik (ada wabah regional?)

•    Hubungan dengan policy & procedures, SOP yang seringkali tidak dimiliki oleh institusi

•    Ketersediaan SDM

•    Kualifikasi apa yang dibutuhkan?
budi.paume.itb.ac.id/courses/ec5010/incident-handling.ppt