Incident Response & Forensik Digital

📋 Daftar Isi

Pengenalan Incident Response
Incident Response Lifecycle
Detection & Analysis
Containment & Eradication
Forensik Digital
Quiz Pemahaman

1. Pengenalan Incident Response

Incident Response (IR) adalah pendekatan sistematis untuk menangani dan mengelola kejadian keamanan siber (security incident) — mulai dari serangan malware, data breach, DDoS, insider threat, hingga ransomware. Tujuan utamanya adalah meminimalkan dampak insiden, memulihkan operasional secepat mungkin, dan mempelajari pelajaran untuk mencegah kejadian serupa di masa depan.

Setiap organisasi — dari startup kecil hingga korporasi besar — membutuhkan Incident Response Plan (IRP). Tanpa rencana yang terstruktur, respons terhadap insiden akan kacau, membuang waktu berharga, dan memperparah kerusakan. Menurut riset IBM, organisasi dengan IR plan yang teruji menghemat rata-rata $2.66 juta per breach dibanding yang tidak punya.

Apa yang Termasuk Security Incident?

Jenis Insiden	Deskripsi	Tingkat Keparahan
Data Breach	Data sensitif (PII, financial, kesehatan) diakses atau dicuri pihak tidak berwenang	🔴 Kritis
Ransomware	Data dienkripsi oleh penyerang dan diminta tebusan	🔴 Kritis
DDoS Attack	Layanan menjadi tidak tersedia karena serangan flood	🟠 Tinggi
Malware Infection	Sistem terinfeksi virus, trojan, worm, atau rootkit	🟠 Tinggi
Unauthorized Access	Pihak tidak berwenang berhasil masuk ke sistem	🟠 Tinggi
Phishing Success	Karyawan mengklik link phising atau memberikan kredensial	🟡 Sedang
Insider Threat	Karyawan atau kontraktor menyalahgunakan akses	🟠 Tinggi
Policy Violation	Pelanggaran kebijakan keamanan yang tidak langsung berdampak	🟢 Rendah

Incident Response Team (CSIRT)

Peran	Tanggung Jawab	Skills yang Dibutuhkan
IR Manager / Lead	Koordinasi tim, komunikasi stakeholder, pengambilan keputusan	Leadership, komunikasi, manajemen krisis
Security Analyst	Analisis log, SIEM, identifikasi anomali	SIEM, networking, OS internals
Forensic Analyst	Investigasi bukti digital, chain of custody	Disk forensics, memory analysis, malware analysis
Threat Hunter	Proaktif mencari indikator kompromi (IOC)	MITRE ATT&CK, threat intelligence
Legal / Compliance	Kewajiban hukum, notifikasi breach, GDPR/PODK	Regulasi, privacy law, documentation
Communications	Press release, komunikasi eksternal	PR, crisis communication

Diagram: Situasi Insiden Keamanan

flowchart TB
    subgraph incidents["🚨 SECURITY INCIDENT SCENARIOS"]
        direction TB
        R["🔴 Ransomware\n• Data Encrypted\n• Files Locked"]
        D["🟠 Data Breach\n• PII/PCI Leaked\n• Sensitive Data Exposed"]
        DD["🟡 DDoS Attack\n• Service Down\n• Traffic Flood"]
        I["🟣 Insider Threat\n• Credential Abuse\n• Data Exfiltration"]
    end
    
    R & D & DD & I --> IR["🎯 Incident Response\nTeam Activation"]

    style incidents fill:#0a0a12,stroke:#ef4444,stroke-width:2px
    style R fill:#2a0f0f,stroke:#ef4444,stroke-width:1.5px
    style D fill:#2a1f0a,stroke:#f59e0b,stroke-width:1.5px
    style DD fill:#0f1d3a,stroke:#60a5fa,stroke-width:1.5px
    style I fill:#1a0f2e,stroke:#a78bfa,stroke-width:1.5px
    style IR fill:#0f2a1f,stroke:#3ecf8e,stroke-width:2px

2. Incident Response Lifecycle (NIST SP 800-61)

Framework incident response yang paling banyak digunakan adalah NIST SP 800-61 (Computer Security Incident Handling Guide). Framework ini mendefinisikan 4 fase utama yang membentuk siklus berkelanjutan:

4 Fase Incident Response

Fase	Aktivitas Utama	Durasi Khas	Tujuan
1. Preparation	Setup tools, training tim, buat IR plan	Continuous	Siap menghadapi insiden sebelum terjadi
2. Detection & Analysis	Monitoring, alert triage, analisis	Menit - Jam	Deteksi insiden dan tentukan ruang lingkup
3. Containment, Eradication & Recovery	Isolasi, hapus ancaman, pulihkan sistem	Jam - Hari	Hentikan kerusakan dan kembalikan operasional
4. Post-Incident Activity	Lessons learned, laporan, perbaikan	Minggu	Belajar dan tingkatkan kesiapan

Preparation — Kesiapan Sebelum Insiden

Text — Incident Response Checklist

INCIDENT RESPONSE PREPARATION CHECKLIST
========================================

Dokumen & Rencana:
  ☐ Incident Response Plan (IRP) — didokumentasikan dan di-review tahunan
  ☐ Contact list — nomor telepon semua anggota IR team 24/7
  ☐ Escalation matrix — siapa yang dihubungi berdasarkan severity
  ☐ Communication templates — email/notifikasi untuk berbagai scenario
  ☐ Legal/regulatory requirements — GDPR, UU ITE, PODK, PCI-DSS

Tools & Infrastructure:
  ☐ SIEM terkonfigurasi (Splunk, ELK, Wazuh)
  ☐ EDR solution (CrowdStrike, SentinelOne, Defender ATP)
  ☐ Forensic toolkit (Autopsy, Volatility, FTK, CAINE)
  ☐ Network monitoring (Wireshark, Zeek/Bro, NetFlow)
  ☐ Backup system — tested & verified (3-2-1 rule)
  ☐ Isolated forensic workstation
  ☐ Write-blockers untuk disk imaging
  ☐ Secure communication channel (encrypted chat, out-of-band)

Tim & Training:
  ☐ IR team terbentuk dengan peran jelas
  ☐ Tabletop exercise — simulasi insiden tanpa eksekusi teknis
  ☐ Red team/blue team exercise
  ☐ Training forensik untuk analyst
  ☐ Runbook untuk scenario umum (ransomware, data breach, DDoS)

Infrastructure Resilience:
  ☐ Network segmentation — isolasi segment kritis
  ☐ Redundant systems — failover untuk critical services
  ☐ Immutable backups — backup yang tidak bisa dihapus/dimodifikasi
  ☐ Out-of-band management — akses ke infrastruktur di luar jaringan utama

💡 Tips Preparation

Latih IR plan secara berkala — minimal 2x setahun dengan tabletop exercise
Pastikan ada out-of-band communication — jika sistem utama dikompromikan, tim masih bisa berkomunikasi
Simpan salinan IR plan di beberapa lokasi offline — paper copy di brankas, USB di lokasi terpisah
Bangun relationship dengan LE (law enforcement), CERT, dan vendor security sebelum insiden terjadi

3. Detection & Analysis

Fase Detection & Analysis adalah ketika tim IR mengidentifikasi bahwa insiden keamanan sedang terjadi atau sudah terjadi. Tantangan terbesar di fase ini adalah signal-to-noise ratio — membedakan insiden yang nyata dari false positive yang sangat banyak. Rata-rata SOC (Security Operations Center) menerima ribuan alert per hari, tetapi hanya sebagian kecil yang benar-benar insiden.

Sumber Deteksi

Sumber	Tools/Platform	Contoh Alert
SIEM	Splunk, Elastic SIEM, Wazuh, QRadar	Multiple failed logins, data exfiltration pattern
EDR	CrowdStrike, SentinelOne, Carbon Black	Suspicious process execution, fileless malware
NDR	Darktrace, Vectra, Zeek	Lateral movement, C2 beaconing, unusual DNS
User Reports	Help desk, email phishing report button	Phishing email, suspicious pop-ups
Threat Intel	MISP, OTX, VirusTotal	Known IOC match, compromised credentials
External	Law enforcement, vendor advisory, media	Zero-day notification, data leak on dark web

Log Analysis & SIEM Query

Splunk SPL — Contoh SIEM Detection Queries

# =============================================
# SIEM DETECTION QUERIES — Contoh Splunk SPL
# =============================================

# 1. Brute Force Detection — Multiple failed logins followed by success
index=windows sourcetype=WinEventLog:Security EventCode=4625
| stats count as failed_count by src_ip, user
| where failed_count >= 10
| join type=left src_ip
  [search index=windows sourcetype=WinEventLog:Security EventCode=4624
   | stats latest(_time) as success_time by src_ip, user]
| where isnotnull(success_time)
| table src_ip, user, failed_count, success_time
# ALERT: Brute force succeeded! Investigate immediately.

# 2. Lateral Movement — SMB/RDP connections to multiple hosts
index=network sourcetype=firewall
  (dest_port=445 OR dest_port=3389 OR dest_port=5985)
| stats dc(dest_ip) as unique_hosts, values(dest_ip) as targets by src_ip
| where unique_hosts >= 5
| table src_ip, unique_hosts, targets
# ALERT: Possible lateral movement from src_ip!

# 3. Data Exfiltration — Large outbound data transfer
index=network sourcetype=firewall action=allowed direction=outbound
| stats sum(bytes_out) as total_bytes by src_ip, dest_ip
| where total_bytes > 1073741824  # > 1 GB
| eval gb=round(total_bytes/1073741824, 2)
| table src_ip, dest_ip, gb
# ALERT: Large data transfer — possible exfiltration!

# 4. PowerShell Empire / Cobalt Strike Beacon
index=windows sourcetype=WinEventLog:Security EventCode=4104
| search ScriptBlockText IN ("*Invoke-Mimikatz*", "*Invoke-WebRequest*",
  "*DownloadString*", "*EncodedCommand*", "*bypass*")
| table _time, Computer, ScriptBlockText, UserName
# ALERT: Malicious PowerShell execution detected!

# 5. Credential Dumping — LSASS access
index=windows sourcetype=Sysmon EventCode=10
  TargetImage="*\\lsass.exe"
| table _time, SourceImage, TargetImage, GrantedAccess, Computer
# ALERT: Possible credential dumping attempt!

Incident Classification & Triage

Text — Incident Triage Flowchart

Diagram

4. Containment, Eradication & Recovery

Setelah insiden terkonfirmasi dan diklasifikasikan, langkah selanjutnya adalah menghentikan penyebaran (containment), menghilangkan ancaman (eradication), dan memulihkan operasional (recovery). Kecepatan di fase ini sangat krusial — setiap menit keterlambatan bisa berarti kerusakan yang lebih besar.

Containment Strategy

Strategi	Aksi	Kapan Digunakan	Risiko
Network Isolation	Putus target dari jaringan (VLAN, firewall rule)	Malware active, lateral movement	Operasional terganggu
Account Disable	Disable/reset akun yang dikompromikan	Compromised credentials	User tidak bisa bekerja
DNS Sinkhole	Redirect C2 domain ke sinkhole server	Malware C2 communication	Minimal
Full Shutdown	Matikan sistem yang terinfeksi	Ransomware spreading cepat	Data di RAM hilang
Monitor & Watch	Biarkan attacker aktif, pantau pergerakannya	Butuh intel tentang attacker	Attacker sadar dipantau

Ransomware Response Playbook

Text — Ransomware Incident Response Playbook

Diagram

5. Forensik Digital

Forensik Digital adalah proses pengumpulan, preservasi, analisis, dan presentasi bukti digital secara sistematis dan forensik-sound (tidak merusak bukti). Tujuannya adalah mengetahui apa yang terjadi (what), kapan terjadi (when), bagaimana terjadi (how), siapa pelakunya (who), dan apa dampaknya (impact). Hasil forensik juga bisa digunakan sebagai bukti di pengadilan.

Cabang Forensik Digital

Cabang	Target	Tools	Yang Dicari
Disk Forensics	Hard drive, SSD, USB	Autopsy, FTK, EnCase	File terhapus, log, browser history, registry
Memory Forensics	RAM (volatile data)	Volatility, Rekall	Running processes, network connections, injected code
Network Forensics	Packet capture (PCAP)	Wireshark, Zeek, NetworkMiner	Exfiltrated data, C2 traffic, lateral movement
Mobile Forensics	Smartphone, tablet	Cellebrite, Magnet AXIOM	Messages, call logs, app data, location
Cloud Forensics	Cloud infrastructure	CSP audit logs, Custodian	API calls, access logs, configuration changes
Log Forensics	System/application logs	SIEM, grep, ELK	Timeline, IOCs, attacker activity

Disk Forensics — Membuat Forensic Image

Bash — Forensic Disk Imaging

# =============================================
# DISK FORENSICS — Evidence Collection
# =============================================

# ATURAN EMAS: JANGAN PERNAH bekerja langsung pada original evidence!
# Selalu buat forensic copy (bit-for-bit image)

# 1. Menggunakan dd — membuat raw disk image
# Pastikan target disk terpasang sebagai READ-ONLY (write blocker)
sudo dd if=/dev/sdb of=/forensics/evidence/disk_image.dd bs=4M status=progress

# 2. Menggunakan dc3dd (forensic-aware dd)
# dc3dd otomatis hash setiap byte yang dibaca
sudo dc3dd if=/dev/sdb of=/forensics/evidence/disk_image.dd \
  hof=/forensics/evidence/disk_image.sha256 log=/forensics/evidence/dc3dd.log

# 3. Menggunakan FTK Imager (Linux CLI)
# Membuat E01 format (EnCase Evidence File) — format standar forensik
sudo ewfmount /dev/sdb /mnt/ewf/

# 4. Verifikasi integritas — hash harus sama sebelum dan sesudah imaging
# Hash original disk
sudo sha256sum /dev/sdb
# Hash image file
sha256sum /forensics/evidence/disk_image.dd
# Kedua hash HARUS IDENTIK!

# 5. Menggunakan Autopsy (GUI-based forensics)
# Install: sudo apt install autopsy
# Buka browser: http://localhost:9999/autopsy
# Buat new case → Add disk image → Analisis

# 6. File Recovery — mencari file yang dihapus
# Menggunakan foremost
foremost -t all -i disk_image.dd -o /forensics/evidence/recovered_files/

# Menggunakan photorec (bagus untuk recovery foto/dokumen)
photorec disk_image.dd

# 7. Timeline Analysis
# Membuat timeline dari semua aktivitas di disk
fls -r -m / /dev/sdb > bodyfile.txt
mactime -b bodyfile.txt -d > timeline.csv
# Hasil: timestamp semua file creation, modification, access, deletion

Memory Forensics dengan Volatility

Bash — Memory Forensics

# =============================================
# MEMORY FORENSICS — Volatility 3
# =============================================

# Collect memory dump (harus dilakukan SEBELUM shutdown!)
# Linux:
sudo lime-readmem /dev/mem -o /forensics/evidence/memory.lime

# Windows (dengan WinPmem):
winpmem_mini_x64.exe /forensics/evidence/memory.raw

# Volatility 3 — Analisis memory dump
# Install: pip install volatility3

# 1. Identifikasi OS dari memory dump
vol -f memory.raw windows.info

# 2. List semua running processes
vol -f memory.raw windows.pslist
vol -f memory.raw windows.pstree   # Dengan parent-child relationship

# 3. Deteksi process injection
vol -f memory.raw windows.malfind
# Mencari memory section yang executable tapi bukan bagian dari PE yang sah

# 4. List network connections
vol -f memory.raw windows.netscan
# Hasil: semua koneksi network aktif saat memory di-dump

# 5. Dump process memory (untuk analisis malware)
vol -f memory.raw windows.memmap --pid 1234 --dump

# 6. Extract hashes dari memory (credential dumping)
vol -f memory.raw windows.hashdump

# 7. List DLL yang dimuat
vol -f memory.raw windows.dlllist --pid 1234

# 8. Cek command history
vol -f memory.raw windows.cmdline
# Semua perintah yang dijalankan di sistem

# 9. Scan untuk malware signatures
vol -f memory.raw windows.vadyarascan --yara-file malware_rules.yar

Chain of Custody

Text — Chain of Custody Form

CHAIN OF CUSTODY FORM
=====================
Evidence ID : IR-2026-0042-001
Description : Dell Latitude 5520 Laptop - Server Admin
Serial Number : 5XK9M23
Collection Date : 2026-07-15 14:30 WIB
Collected By : Ahmad Forensic, CHFI
Location Found : Server Room, Rack A3, Shelf 2
Initial Condition:
- Laptop dalam keadaan ON (screen locked)
- Power adapter tercolok
- USB drive SanDisk 32GB tercolok di port USB kanan
Evidence Handling:
Date/Time Action By To Condition
07-15 14:30 Collected Ahmad Evidence Sealed
Memory dumped Locker #3
07-15 14:45 Disk imaged Ahmad Lab Imaging OK
07-15 16:00 Transferred Ahmad Budi Sealed bag
07-16 09:00 Analysis started Budi - Lab access
Hashes:
Disk Image SHA-256: a1b2c3d4e5f6...
Memory Dump SHA-256: f6e5d4c3b2a1...
USB Drive SHA-256: 1a2b3c4d5e6f...
Notes:
- Sistem tidak dimatikan untuk preservasi memory
- Write blocker digunakan untuk disk imaging
- Semua proses didokumentasikan dengan foto/video

⚠️ Prinsip Utama Forensik Digital

Act, Don't React — Ikuti prosedur, jangan panik
Never work on original evidence — Selalu buat forensic copy
Preserve volatile data first — RAM hilang saat dimatikan
Document everything — Setiap langkah harus tercatat
Maintain chain of custody — Siapa, kapan, apa yang dilakukan
Use write blockers — Cegah perubahan pada evidence
Hash everything — Bukti integritas dengan SHA-256