Materi
NIST SP 800-83 Rev. 1 menyusun penanganan insiden malware di komputer meja dan laptop dalam fase persiapan, deteksi dan analisis, penahanan, pembersihan, pemulihan, dan pelajaran. Penahanan punya dua tujuan: menghentikan penyebaran dan mencegah kerusakan lebih lanjut. Untuk insiden yang terisolasi, caranya antara lain memutus komputer dari jaringan atau mematikannya. NIST mengingatkan bahwa memutus jaringan belum tentu menghentikan kerusakan, karena malware bisa terus merusak atau mengirim data, jadi pembersihan dimulai secepatnya.
Pembersihan bukan hanya menghapus malware, tetapi juga menutup kelemahan yang membuatnya masuk, misalnya tambalan yang belum dipasang atau folder bersama yang tidak terlindungi. NIST meminta komputer dibangun ulang, bukan sekadar dibersihkan, bila penyerang sempat memperoleh akses setingkat administrator, berkas sistem diganti trojan atau rootkit, komputer tidak stabil setelah dibersihkan, atau luas infeksinya diragukan. Membangun ulang berarti memasang ulang sistem operasi dan aplikasi, lalu memulihkan data dari cadangan yang diketahui bersih. NIST mencatat malware bisa ikut tersimpan di cadangan.
Pemulihan mengembalikan fungsi dan data komputer, lalu mencabut penahanan sementara. Untuk dugaan rootkit di Windows, Microsoft Defender Offline memindai dari lingkungan tepercaya di luar kernel Windows normal. Bila BitLocker aktif di drive sistem, perlindungannya ditangguhkan dulu, karena tanpa itu komputer bisa meminta kunci pemulihan saat restart ke lingkungan pemindaian.
| Fase | Tujuan | Contoh tindakan |
|---|---|---|
| Penahanan | Hentikan penyebaran dan kerusakan | Putus dari jaringan, laporkan |
| Pembersihan | Hapus malware dan tutup celahnya | Pindai, pasang tambalan, atau bangun ulang |
| Pemulihan | Kembalikan fungsi dan data | Pulihkan dari cadangan bersih, cabut penahanan |
