Materi
SP 800-61 Rev. 3 meminta organisasi mendokumentasikan prosedur untuk jenis insiden dan ancaman yang paling umum, karena prosedur untuk setiap situasi mustahil dibuat. Banyak organisasi menuangkannya sebagai playbook: langkah atau tugas yang bisa langsung dikerjakan orang pada skenario tertentu; CISA menerbitkan contoh playbook untuk instansi pemerintah AS. CISA mencatat proses baku itu memudahkan koordinasi, pelacakan tindakan, dan katalog insiden, serta memandu analisis. CISA juga menegaskan strategi penahanan bergantung pada skenario: penahanan perangkat pemeras berbeda dari penahanan lawan canggih yang tidak meninggalkan berkas.
Dua langkah playbook paling dekat dengan pekerjaan analis log. Pertama, menentukan cakupan: dari indikator yang sudah diketahui, cari sistem, perangkat, dan akun lain yang mungkin ikut terdampak; IoC dan TTP baru yang ditemukan diumpankan kembali ke alat deteksi, sehingga cakupan insiden diperbarui seiring waktu. Kedua, mencari akar masalah dan kondisi yang memungkinkannya. Baris RS.AN-03 di SP 800-61r3 merincinya: urutan kejadian dan aset yang terlibat, kerentanan dan ancaman yang berperan, lalu akar masalah yang mendasar atau sistemik. Glosarium NIST menyebut analisis akar masalah sebagai pendekatan sistem untuk mengenali penyebab yang mendasari.
Contoh: gejalanya deretan login gagal lalu satu login berhasil dari 203.0.113.45; sebab langsungnya kata sandi akun budi tertebak; akar masalahnya layanan SSH terbuka ke internet dengan login kata sandi tanpa MFA. Memblokir IP menghentikan gejala, sedangkan menutup akar masalah mencegah serangan serupa dari alamat lain.
