Microsoft 365 / Menyelidiki peringatan keamanan dan merespons insiden
Saat Anda menerima peringatan keamanan Microsoft 365, jangan langsung menutupnya hanya dengan melihat tingkat keparahannya. Anda harus memeriksa waktu terjadinya, sumber deteksi, pengguna/perangkat/email yang terdampak, dan peringatan terkait. Beberapa peringatan untuk insiden yang sama dapat digabung menjadi satu insiden, jadi tinjau baik peringatan individu maupun seluruh insiden secara bersamaan.
Perbedaan antara peringatan dan insiden
Peringatan mencatat aktivitas mencurigakan yang terdeteksi. Insiden menggabungkan peringatan dan bukti terkait untuk membantu memahami rangkaian serangan. Panduan Microsoft untuk menyelidiki insiden Defender menjelaskan cara meninjau peringatan, aktivitas, aset, dan bukti secara bersamaan. Tampilan serta fitur investigasi otomatis yang tersedia bergantung pada produk dan lisensi organisasi.
Siapkan akses dan pilih layar investigasi
Buka Incidents & alerts → Alerts di portal Microsoft Defender. Nama menu dan klasifikasi dalam panduan ini mengikuti antarmuka berbahasa Inggris. Meskipun Anda dapat melihatnya dengan izin pembaca keamanan, itu tidak berarti Anda dapat melakukan tindakan respons seperti memblokir akun atau mengisolasi perangkat. Pertama, periksa model izin Defender organisasi Anda, cakupan tanggung jawab, dan lisensi produk, serta tunjuk personel investigasi dan respons.
Pengalaman kasus insiden berada dalam pratinjau, dan pengalaman insiden versi lama tetap tersedia. Jika organisasi Anda menggunakan kasus insiden, buka Cases → Incident, pilih kasusnya, dan tinjau peringatan, aset, bukti, dan aktivitasnya. Navigasi yang berbeda tidak serta-merta berarti log hilang. Gunakan panduan investigasi kasus insiden Microsoft untuk mencocokkan instruksi dengan layar dan izin yang tersedia. Dalam model kontrol akses berbasis peran (RBAC) yang terpadu, Security Data Read memungkinkan melihat dan menyelidiki, sedangkan Security Data Manage juga memungkinkan manajemen kasus; izin untuk tindakan respons tertentu bergantung pada tindakan dan layanan yang terkait.
Daftar periksa respons awal
- Buka daftar insiden atau peringatan di portal Microsoft Defender. Tentukan personel yang bertanggung jawab dalam tim dan catat nomor insiden untuk menghindari penanganan yang sama berulang kali.
- Periksa tingkat keparahan, waktu deteksi, dan akun, email, serta perangkat yang terdampak. Jangan menyimpulkan bahwa pelanggaran keamanan benar-benar terjadi hanya berdasarkan judul peringatan.
- Dalam rincian insiden, tinjau peringatan terkait, urutan aktivitas, bukti, dan hasil tindakan otomatis. Periksa arti status dan klasifikasi dalam panduan Microsoft untuk menyelidiki peringatan.
- Jika terdapat kemungkinan tinggi ancaman nyata dan kerusakan sedang berlangsung, segera beri tahu personel yang bertanggung jawab sesuai dengan prosedur respons insiden organisasi, dan tentukan lingkup dampak serta langkah-langkah isolasi/pemblokiran yang disetujui. Simpan bukti yang diperlukan untuk investigasi sambil menahan ancaman; jangan menunda penahanan yang mendesak secara tidak perlu.
- Catat penyebab dan tindakan yang diambil, serta periksa apakah aktivitas yang sama terjadi pada pengguna atau perangkat lain. Pantau untuk memastikan peringatan tidak muncul kembali setelah langkah-langkah diambil.
Catat bukti dan buat garis waktu investigasi
Catat tidak hanya nama peringatan tetapi juga ID peringatan/insiden, produk deteksi, waktu aktivitas awal dan terbaru beserta zona waktunya, serta informasi identifikasi pengguna, perangkat, atau email target. Periksa entitas yang sebenarnya untuk menghindari kebingungan antara file dengan nama yang sama atau akun yang mirip. Jangan buka URL atau lampiran berbahaya langsung di PC kerja sehari-hari.
Hubungkan secara kronologis peristiwa yang telah dikonfirmasi seperti 'email diterima → peringatan terkait tautan → login → akses ke data'. Jangan berasumsi bahwa semua peristiwa terjadi; bedakan antara bukti yang ada dan fakta yang tidak diketahui. Misalnya, meskipun pengguna menyangkal telah mengeklik, log terkait tetap harus diperiksa, dan kebocoran kata sandi tidak boleh dikonfirmasi hanya berdasarkan catatan klik.
Selidiki apakah ada peringatan yang memengaruhi pengguna lain terkait pengirim, file, atau URL yang sama. Hal ini karena meskipun peringatan yang memengaruhi satu akun ditutup, aktivitas yang sama mungkin terus terjadi di akun lain. Simpan materi di lokasi manajemen insiden yang disetujui dan jangan memposting email asli, informasi pengguna, atau log akses di saluran publik.
Cara menilai peringatan phishing
| Situasi yang dikonfirmasi | Apa yang harus diperiksa atau dilakukan terlebih dahulu |
|---|---|
| Pesan dikarantina dan tidak dikirim ke pengguna | Periksa hasil karantina dan apakah dikirim ke penerima lain. Tentukan apakah itu serangan yang terdeteksi/diblokir |
| Tiba di kotak masuk, tetapi tindakan pengguna belum dikonfirmasi | Selidiki pengenal pesan dan lingkup pengiriman, dan biarkan petugas keamanan menentukan kebutuhan untuk penghapusan atau pemblokiran pesan |
| Dikonfirmasi bahwa pengguna memasukkan kata sandi pada halaman yang ditautkan | Prioritaskan respons karena kemungkinan kompromi akun. Lanjutkan dengan memblokir akses, memeriksa sesi, dan metode autentikasi sesuai prosedur yang disetujui |
| Dikonfirmasi eksekusi berbahaya atau kerusakan yang sedang berlangsung pada perangkat | Segera alihkan ke orang yang bertanggung jawab untuk mencegah kerusakan yang sedang berlangsung dan verifikasi status penyelesaian isolasi dan tindakan yang disetujui. |
Tindakan pada beberapa layanan mungkin diperlukan. Untuk pengiriman email, periksa pelacakan pesan; untuk login dan autentikasi, lanjutkan ke log masuk Microsoft Entra. Mengganti kata sandi pengguna saja tidak cukup. Petugas terkait harus menentukan cakupan penyelidikan agar metode autentikasi mencurigakan, aturan penerusan email, dan izin aplikasi tidak dibiarkan tetap aktif.
Jika tindakan otomatis ditampilkan, bedakan status diminta, tertunda, gagal, dan selesai. Fitur investigasi atau respons otomatis mungkin tidak tersedia pada produk tertentu. Adanya tombol respons di portal tidak berarti tindakan sudah dijalankan. Simpan bukti sambil melakukan pemblokiran mendesak sesuai prosedur; jangan menunda penghentian dampak yang sedang berlangsung secara tidak perlu.
Apakah peringatan yang tampak sebagai positif palsu boleh langsung diabaikan?
Tidak. Bandingkan bukti dengan penjelasan petugas yang bertanggung jawab untuk menentukan apakah perubahan kebijakan atau pekerjaan operasional normal memicu peringatan. Jika peringatan diklasifikasikan sebagai positif palsu, catat bukti pendukung dan cakupannya. Jangan menonaktifkan aturan peringatan secara luas karena serangan nyata dapat terlewat. Jika positif palsu yang sama berulang, pertimbangkan penyesuaian dengan cakupan sempit yang didukung hasil penyelidikan.
Bedakan peringatan yang benar mendeteksi dan memblokir ancaman nyata dari peringatan yang keliru menganggap aktivitas normal sebagai aktivitas berbahaya. Tidak adanya kerusakan tidak otomatis membuat peringatan menjadi positif palsu. Untuk pengujian atau pekerjaan operasional yang disetujui, cocokkan permintaan kerja, waktu pelaksanaan, target, dan bukti, lalu catat klasifikasi serta penetapan yang sesuai. Pada tampilan peringatan, True positive (ancaman nyata), Informational, expected activity (aktivitas yang diharapkan), dan False positive (positif palsu) merupakan kesimpulan yang berbeda. Jika penyesuaian atau penekanan peringatan dapat dibenarkan, batasi target yang terkena dan tetapkan tanggal kedaluwarsa atau peninjauan.
Verifikasi pemulihan sebelum menutup insiden
- Kondisi terkini akun dan perangkat yang terdampak serta ada tidaknya peringatan tambahan
- Tindakan otomatis dan manual yang telah dijalankan serta tindakan yang mungkin perlu dibatalkan
- Penyelesaian pemberitahuan kepada pengguna dan pencatatan insiden internal
- Penanggung jawab tindak lanjut pencegahan kejadian berulang, misalnya kebijakan, pelatihan, dan metode autentikasi
Catatan penutupan insiden harus memuat gejala awal, cakupan dampak, bukti pendukung, hasil nyata tindakan otomatis dan manual, serta pekerjaan lanjutan yang belum selesai. Mengubah status peringatan menjadi Resolved tidak dengan sendirinya menghilangkan ancaman. Tutup insiden setelah memastikan akun dan perangkat yang terdampak sudah terlindungi dan kegiatan bisnis telah pulih. Tinjau pemblokiran sementara atau perubahan kebijakan secara terpisah. Petugas yang bertanggung jawab hanya boleh membatalkan tindakan jika pembatalannya didukung bukti dan sesuai cakupan persetujuan.
