Apa itu deteksi, investigasi, dan respons ancaman (TDIR)?

Siklus proses TDIR adalah proses berulang yang berfungsi untuk mengidentifikasi potensi ancaman, memahami sifat dan tingkat keparahan ancaman, lalu memobilisasi tindakan untuk menahan atau memberantas ancaman. Melalui peningkatan berkelanjutan, tim mengembangkan rencana respons insiden yang komprehensif. Setiap fase siklus proses memainkan peran penting dalam membangun pertahanan yang terstruktur dengan baik terhadap ancaman.

Deteksi ancaman adalah tahap pertama TDIR, yang mana Anda terus memantau lingkungan Anda untuk mengidentifikasi potensi insiden keamanan. Tahap ini bergantung pada pengumpulan dan analisis data dari seluruh infrastruktur Anda untuk menemukan aktivitas mencurigakan, anomali, atau pola serangan yang diketahui. Sasarannya adalah untuk menghasilkan peringatan dini yang memicu investigasi dan respons sebelum ancaman dapat menyebabkan kerugian serius.

Tim keamanan menggunakan beberapa proses dan teknologi selama deteksi ancaman:

• Pemantauan dan pemberitahuan: Sistem mengumpulkan log dan peristiwa dari endpoint, jaringan, dan aplikasi, lalu menghasilkan pemberitahuan saat kondisi atau batasan yang telah ditentukan sebelumnya terpenuhi. Google Security Operations - Deteksi menyediakan kemampuan SIEM yang memusatkan pemantauan ini di seluruh lingkungan Anda.
• Integrasi kecerdasan ancaman: Feed ancaman eksternal dan database kerentanan memberikan konteks tentang ancaman yang muncul, indikator berbahaya yang diketahui, dan taktik penyerang. Kecerdasan ini membantu Anda mengidentifikasi ancaman yang sesuai dengan pola serangan yang diketahui.
• Analisis perilaku: Model machine learning menetapkan dasar pengukuran perilaku normal pengguna dan sistem, lalu menandai penyimpangan yang dapat mengindikasikan kompromi. Teknik ini menangkap ancaman yang tidak sesuai dengan aturan deteksi berbasis signature.
• Deteksi anomali: Analisis statistik mengidentifikasi pola yang tidak biasa dalam traffic jaringan, akses sistem, atau pergerakan data yang memerlukan penyelidikan lebih lanjut. Anomali ini sering kali mengungkapkan serangan yang menghindari metode deteksi tradisional.

Investigasi adalah tahap saat Anda menganalisis ancaman yang terdeteksi untuk memahami sifat, cakupan, dan potensi dampaknya terhadap organisasi Anda. Sasarannya adalah untuk membangun gambaran lengkap tentang apa yang terjadi sehingga Anda dapat menginformasikan respons yang efektif. Organisasi perlu mengikuti langkah-langkah penting saat menyelidiki ancaman:

• Memvalidasi dan menentukan cakupan ancaman: Pastikan apakah pemberitahuan tersebut merupakan insiden keamanan nyata atau positif palsu dengan memeriksa bukti dan konteksnya.
• Menilai dampak dan akar masalahnya: Analisis bagaimana ancaman memasuki lingkungan Anda, kerentanan atau kesalahan konfigurasi apa yang dieksploitasi, dan tindakan apa yang dilakukan penyerang. Google Cloud Threat Intelligence memberikan konteks tentang taktik penyerang dan informasi kampanye yang membantu Anda memahami asal dan kemungkinan tujuan ancaman.
• Menentukan perbaikan dan mendorong respons: Berdasarkan temuan investigasi Anda, tentukan tindakan apa yang diperlukan untuk menahan dan menghilangkan ancaman. Google Security Operations—Investigasi membantu Anda mengorelasikan peristiwa dan bukti untuk membuat linimasa yang menginformasikan strategi respons Anda.

Respons adalah tahap saat Anda mengambil tindakan untuk mengatasi, memberantas, dan memulihkan diri dari ancaman yang teridentifikasi. Fase ini melibatkan pelaksanaan rencana respons insiden Anda untuk menghentikan penyebaran ancaman, menghapus artefak berbahaya, dan memulihkan sistem yang terpengaruh ke operasi normal. Sasarannya adalah meminimalkan kerusakan pada organisasi Anda dan kembali berbisnis secepat mungkin.

Tim keamanan menjalankan beberapa jenis tindakan selama tahap respons:

• Strategi pembatasan: Mengisolasi sistem yang disusupi dari jaringan untuk mencegah pergerakan lateral, mencabut kredensial yang mungkin telah dicuri, dan memblokir alamat IP atau domain berbahaya di perimeter Anda.
• Langkah-langkah perbaikan: Hapus malware dan artefak berbahaya lainnya dari sistem yang terpengaruh, patch kerentanan yang dieksploitasi, dan tutup celah keamanan yang memungkinkan terjadinya kompromi awal.
• Prosedur pemulihan: Pulihkan sistem dan data dari cadangan yang bersih, reset kredensial yang disusupi, dan verifikasi bahwa semua akses berbahaya telah dihentikan. Google Security Operations - Respons mengotomatiskan banyak tugas pemulihan ini untuk mempercepat pemulihan ke operasi normal.

Penerapan TDIR mengharuskan Anda untuk menilai kemampuan saat ini, mengembangkan framework yang sesuai dengan kebutuhan organisasi, dan men-deploy teknologi yang tepat untuk mendukung setiap tahap siklus proses.

Proses implementasi biasanya mengikuti langkah-langkah berikut:

1. Menilai postur keamanan Anda saat ini: Evaluasi kemampuan deteksi, proses investigasi, dan prosedur respons yang ada untuk mengidentifikasi celah dan kelemahan. Dokumentasikan sumber data yang saat ini Anda pantau, alat yang digunakan tim Anda, dan berapa lama waktu yang dibutuhkan untuk mendeteksi dan merespons insiden.
2. Mengembangkan strategi dan framework TDIR: Tentukan tujuan untuk setiap tahap siklus proses TDIR berdasarkan profil risiko dan persyaratan kepatuhan Anda. Buat playbook yang mendokumentasikan cara tim Anda menangani berbagai jenis insiden keamanan, dan tetapkan metrik untuk mengukur performa Anda.
3. Pilih dan terapkan teknologi dan alat yang tepat: Pilih solusi yang terintegrasi dengan infrastruktur keamanan yang ada dan memberikan kemampuan di seluruh deteksi, investigasi, dan respons. Deploy alat ini dengan cara yang memberi tim keamanan Anda visibilitas terpadu dan kemampuan untuk bertindak cepat saat ancaman teridentifikasi.

Organisasi dapat menghadapi beberapa kendala saat menerapkan TDIR:

• Kelebihan data: Alat keamanan menghasilkan log dan pemberitahuan dalam jumlah besar yang dapat membebani kemampuan tim Anda untuk menganalisisnya secara efektif. Tanpa pemfilteran dan prioritas yang tepat, ancaman penting akan terkubur dalam derau.
• Kesenjangan keterampilan: TDIR memerlukan keahlian dalam analisis ancaman, forensik digital, dan respons insiden yang sulit ditemukan dan dipertahankan oleh banyak organisasi. Kekurangan tenaga ahli pengamanan cyber membuat sulit untuk menempatkan staf operasi keamanan yang memadai.
• Integrasi alat: Banyak organisasi menjalankan alat keamanan dari berbagai vendor yang tidak berbagi data atau mengoordinasikan tindakan, sehingga menciptakan silo yang memperlambat investigasi. Menghubungkan sistem yang berbeda-beda ini memerlukan upaya yang signifikan.
• Kejenuhan pemberitahuan: Tingkat positif palsu yang tinggi menyebabkan analis menjadi tidak sensitif terhadap pemberitahuan, sehingga meningkatkan risiko ancaman nyata diabaikan atau diberhentikan. Menyesuaikan aturan deteksi untuk mengurangi derau sekaligus mempertahankan sensitivitas adalah tantangan yang berkelanjutan.

Organisasi dapat mengoptimalkan upaya TDIR mereka dengan mengikuti praktik berikut:

• Kembangkan proses dan playbook yang jelas: Dokumentasikan prosedur operasi standar untuk jenis insiden umum agar tim Anda dapat merespons secara konsisten dan efisien.
• Berinvestasi dalam teknologi yang tepat: Pilih platform terintegrasi yang menyediakan kemampuan di seluruh deteksi, investigasi, dan respons, bukan mengumpulkan solusi khusus yang membuat data silo. Cari alat yang mengotomatiskan tugas berulang dan memberi tim Anda konteks yang mereka perlukan untuk mengambil keputusan dengan cepat.
• Latih tim keamanan: Berikan edukasi berkelanjutan tentang ancaman yang muncul, teknik serangan baru, dan proses TDIR organisasi Anda. Lakukan latihan dan simulasi tabletop yang memungkinkan tim Anda berlatih merespons insiden di lingkungan yang terkontrol.
• Tinjau dan tingkatkan strategi TDIR secara berkala: Ukur performa Anda menggunakan metrik seperti waktu rata-rata untuk mendeteksi dan waktu rata-rata untuk merespons, lalu identifikasi peluang untuk peningkatan. Lakukan peninjauan pasca-insiden setelah setiap peristiwa keamanan yang signifikan untuk memahami hal yang berjalan baik dan hal yang perlu disesuaikan.