Menyambung tulisan terdahulu di https://rungga.blogspot.com/2015/03/whats-incident-problem-information.html
Jadi sekarang niatnya ingin lebih memperluas tulisan itu agar saya ga lupa dan siapa tahu bisa berguna suatu saat. Tulisan ini juga dibantu sama AI untuk dapat mempersingkat agar saya tidak terlalu panjang sampai berhalaman ^_^
Oke langsung mulai. Salah satu kesalahan yang paling sering saya temui ketika membangun Security Operation Center (SOC) adalah masih banyak yang menganggap semua alert dari SIEM harus dibuat menjadi tiket Incident.
Padahal kenyataannya tidak demikian. Kalau setiap alert langsung dijadikan Incident, jumlah tiket akan membengkak, analyst akan mengalami alert fatigue, dan tim justru akan kesulitan menemukan ancaman yang benar-benar berbahaya.
Nah, pada artikel ini kita akan membahas bagaimana cara membedakan Security Event, Security Incident, dan Service Request berdasarkan praktik terbaik IT Service Management (ITSM) serta implementasinya pada SOC menggunakan SIEM seperti FortiSIEM.
Di dunia IT Service Management (ITSM) atau lebih dikenal melalui framework ITIL dan ISO/IEC 20000, terdapat tiga proses yang sering kali terdengar mirip, padahal memiliki tujuan yang berbeda. Ketiga proses tersebut adalah Event Managemen, Incident Management dan Request Fulfillment.
Memahami perbedaannya merupakan fondasi utama sebelum membangun proses SOC yang baik.
Jadi Event adalah setiap aktivitas atau kejadian yang berhasil dideteksi oleh suatu sistem dan memiliki arti bagi operasional layanan. Namun perlu dipahami bahwa tidak semua event berarti ada masalah.
Banyak event hanya bersifat informasional atau bahkan sudah berhasil ditangani secara otomatis oleh perangkat keamanan. Karena itulah mayoritas Event tidak perlu dibuat tiket. Event cukup dicatat, dipantau, atau digunakan sebagai data analisis.
Event baru akan naik status apabila membutuhkan tindakan lebih lanjut. Sebagai contoh:
- Disk server mencapai utilisasi 80% tetapi layanan masih berjalan normal.
- Firewall berhasil menolak satu percobaan brute force.
- IPS mendeteksi exploit kemudian langsung melakukan action Dropped.
- Backup sempat gagal sekali tetapi retry berikutnya berhasil.
Semua contoh tersebut masih termasuk Event, bukan Incident.
Oke sudah mulai terbayang dan puyeng? Janganlah mari kita lanjut lagi (ini gaya saya bukan AI loh). Berbeda dengan Event, Incident adalah kondisi ketika terjadi gangguan terhadap layanan atau terdapat indikasi kompromi yang harus segera ditangani.
Fokus utama Incident Management adalah memulihkan kondisi secepat mungkin serta melakukan investigasi penyebabnya.
Contohnya antara lain:
- Database server mati sehingga aplikasi tidak dapat diakses.
- Akun administrator berhasil diambil alih oleh attacker.
- Malware berhasil masuk ke endpoint.
- Firewall gagal memblokir exploit dan terdapat indikasi host telah terkompromi.
Pada kondisi inilah SOC akan membuat Security Incident Ticket agar proses investigasi dan penanganan dapat dilakukan secara terstruktur.
Kita lanjut lagi ke penjelasan yang terakhir. Berbeda lagi dengan Incident, Service Request merupakan permintaan layanan yang bersifat rutin, standar, dan memiliki risiko rendah.
Service Request bukan muncul karena adanya gangguan, melainkan karena pengguna atau administrator membutuhkan tindakan tertentu.
Contohnya:
- Membuat akun email untuk karyawan baru.
- Menambah kapasitas storage sebesar 100 GB.
- Membuka port firewall sesuai prosedur.
- Melakukan whitelist aplikasi tertentu.
- Memblokir IP Address yang telah dipastikan berbahaya.
Semua aktivitas tersebut merupakan pekerjaan operasional yang telah memiliki prosedur baku.
Oke di bawah ini saya kasih contoh nyata biar tambah lieur yah (hahahaaa):
| Situasi | Kategori | Alasan |
|---|---|---|
| Disk server mencapai 80% | Event | Baru berupa peringatan, layanan masih normal |
| Database server mati | Incident | Layanan terganggu |
| Membuat akun email | Service Request | Permintaan standar |
| Backup gagal namun retry berhasil | Event | Sudah pulih otomatis |
| Menambah kapasitas storage | Service Request | Permintaan terencana |
Ini dia yang menarik bahwa di SOC, perbedaan ketiga istilah ini jauh lebih penting. Misalnya terdapat satu percobaan brute force ke server. Firewall langsung mendeteksi aktivitas tersebut kemudian melakukan aksi Deny.
Apakah ini Incident?
Jawabannya belum tentu.
Selama firewall berhasil menghentikan serangan dan tidak ada dampak terhadap sistem, maka kondisi tersebut masih dikategorikan sebagai Security Event.
Contoh lain nih ye biar makin paham, IPS mendeteksi exploit terhadap aplikasi web kemudian melakukan action Dropped. Artinya exploit memang terjadi, tetapi berhasil dihentikan sebelum mencapai server.
Kondisi ini juga masih termasuk Security Event.
Sebaliknya, apabila brute force berhasil memperoleh akses ke akun administrator, atau exploit berhasil dijalankan sehingga server mengalami kompromi, maka statusnya berubah menjadi Security Incident.
Di sinilah analyst harus melakukan investigasi lebih lanjut sampai dia puyeng dah dan nenggak espresso sampai berapa shot dah, hahahaa.
Lanjut dlu deh dan biasanya nemuin pertanyaan begini "Pak/Mas gimana nih dengan serangan yang masif????". Misalnya terdapat ribuan serangan dari satu alamat IP.
Apakah otomatis menjadi Incident?
Jawabannya tidak selalu.
Serangan masif sebenarnya hanyalah kumpulan dari banyak Security Event. Selama seluruh serangan berhasil diblokir oleh Firewall atau IPS, maka belum tentu menjadi Incident.
Namun apabila terdapat indikasi bahwa sebagian serangan berhasil menembus pertahanan atau menyebabkan dampak terhadap layanan, maka statusnya berubah menjadi Security Incident.
Perbedaan utamanya selalu sama:
Apakah sudah ada dampak atau indikasi kompromi?
Jika jawabannya belum, maka masih berupa Event.
Jika jawabannya ya, maka menjadi Incident.
Gimana mulai cerah atau gelap? Kalau gelap kabur aja dlu tapi itu mah kata politikus yang nyinyir dan nye nye nye. Padahal itu hak setiap orang mau pergi atau tetap tinggal dan yang terpenting mah tetap cinta tanah air. Wuuuussshhh fokus jangan nyerempet nanti dicubit bapak itu.
Lalu Bagaimana dengan Permintaan Memblokir IP?
Misalnya si analyst menemukan satu IP Address yang terus melakukan scanning dan brute force. Administrator kemudian meminta agar IP tersebut diblokir permanen pada firewall.
Apakah ini Incident?
Jawabannya bukan.
Aktivitas tersebut merupakan Service Request, karena yang diminta hanyalah tindakan operasional standar berupa pemblokiran IP. Namun apabila pemblokiran dilakukan sebagai bagian dari proses containment sebuah Incident yang sedang berlangsung, maka aktivitas tersebut menjadi task di dalam Incident, bukan Service Request yang berdiri sendiri.
Begini agar lebih mudah diingat, berikut aturan sederhana yang banyak digunakan pada SOC modern.
Security Event:
- Aktivitas berhasil dideteksi.
- Firewall atau IPS berhasil melakukan deny, drop, atau block.
- Tidak ada dampak terhadap sistem.
- Tidak membutuhkan investigasi lanjutan.
Biasanya hanya disimpan di SIEM dan tidak dibuat tiket.
Security Incident
- Ada indikasi kompromi.
- Ada dampak terhadap layanan.
- Mitigasi belum pasti berhasil.
- Membutuhkan investigasi analyst.
Pada kondisi ini dibuat Incident Ticket.
Service Request
- Aktivitas operasional rutin.
- Telah memiliki prosedur baku.
- Risiko rendah.
- Memerlukan tindakan administrator.
Contohnya:
- Block IP
- Whitelist
- Membuka port firewall
- Onboarding log source
- SIEM Rule Tuning
Segitu dulu ya bray tulisan ini dan jika banyak kesalahan, dimaklumin saja karena seorang Newbie kaya saya yah masih butuh belajar lebih lanjut.
Terima kasih kepada para pengunjung baik yang membaca atau cuman numpang lewat. Semoga bisa jadi amal jariyah saya.
