Digital Forensics & IR Readiness sa Thailand

Walang organisasyong nagpaplano na mabreach. Pero ang mga malinis na nakakabangon ay may iisang katangian: naghanda sila ng evidence bago ito kailanganin. Kapag sumapit ang insidente (ransomware, insider exfiltration, compromised account), ang pagitan ng dalawang linggong recovery at dalawang buwang legal quagmire ay halos laging napagpapasyahan ng mga desisyong ginawa buwan pa ang layo, sa kalmado.

Ang digital forensics and incident response (DFIR) readiness ay ang disiplina ng paggawa ng mga desisyong iyon nang mas maaga.

Nagsisimula ang forensics bago pa ang insidente #

Una sa mga tuntunin ng forensics: hindi mo mai-imbestigahan ang hindi mo na-preserve. Sa oras na matuklasan ang insidente, nawala na ang evidence na sana ay hawak mo (logs, memory, network captures, file metadata) kung hindi mo ito na-configure nang maaga.

Malinaw na sinasabi ng RFC 3227, ang foundational guidance sa evidence collection: planning discipline ang forensics, hindi emergency. Ang praktikal na readiness ay:

• Centralised, off-host logging: para hindi kayang burahan ng attacker na nakompromiso ang server ang sarili niyang bakas.
• Retention na tugma sa obligations mo: parehong humihiling ang Thai PDPA at Bank of Thailand guidance ng makatotohanang retention windows, at ang kulang na retention ay finding na rin.
• Clock synchronisation: para maging posible talaga ang timeline analysis sa iba’t ibang systems.
• Natest na chain of custody: para defensible sa legal o regulatory proceeding ang anumang kolektahin mo, hindi itatapon bilang tampered.

Walang glamorous dito. Lahat ay mapagpapasyahan kapag dumating ang insidente.

Bakit hindi kaya ng IT team mo ito sa ilalim ng pressure #

Habang tumatakbo ang insidente, tatlong trabaho sabay ang internal team mo: paghawak ng damage, pagpapatakbo ng negosyo, pagsagot sa leadership. Ikaapat na trabaho ang forensics at iba ang mindset na kailangan: mabagal, metodikal at adversarial, dahil posibleng humantong sa regulator o korte ang mga findings.

Iyan ang argumento ng retainer: pre-arranged na relasyon sa forensics team na kilala ang environment mo, sumasagot sa napagkasunduang SLA, at nagpe-preserve ng evidence sa defensible standard habang nakafocus ang staff mo sa recovery. Ang alternatibo, cold-calling sa forensics firm sa gitna ng crisis, ay gastos sa oras na wala ka na.

Business metric ang bilis #

Dalawang numero ang pinakamahalaga sa incident response:

• MTTD: mean time to detect. Gaano katagal gumana ang attacker bago mo namalayan. Linggo o buwan ang sukatan ng karamihan sa breaches, hindi minuto.
• MTTR: mean time to respond and recover. Gaano katagal mula discovery hanggang containment at restoration.

Binibigyang-balangkas ng NIST SP 800-61 ang buong incident response lifecycle para pababain ang parehong numero. Bawat oras ng dwell time ay mas maraming exfiltration, lateral movement at legal exposure. Detection engineering at tested response plan ang dalawang leverb na tunay na gumagalaw sa metrics na ito.

Regulatory reality sa Thailand #

Hindi lang IT problema ang insidente; notification problem din ito. May breach-notification duties sa data controllers ang PDPA ng Thailand, at inaasahan ng Bank of Thailand na mag-abiso ang mga financial institutions sa loob ng tinukoy na timelines para sa material cyber incidents. Ang pagkamali sa mga fakto sa abiso na iyon, o ang hindi kakayahang suportahan ang kuwento mo gamit ang evidence, ay nagpapadoble ng security failure tungong compliance failure.

Ang forensic readiness ang nagpapahintulot sa iyo ng tumpak, napapanahon at defensible na abiso, hindi panikong hula.

Ang Retained DFIR & Internal Investigations namin ay may standby response team na may guaranteed SLAs at court-admissible evidence handling, at ang Cyber Crisis Tabletop Exercises namin ay nagpe-pressure-test ng plano bago mo ito kailanganin.