Microsoft Sentinel: SIEM Cloud

Microsoft Sentinel adalah platform Security Information and Event Management (SIEM) dan Security Orchestration, Automation, and Response (SOAR) berbasis cloud. Platform ini menyerap log dan sinyal dari seluruh lingkungan digital Anda — Azure, server lokal, cloud lain, dan aplikasi SaaS — menerapkan AI dan pembelajaran mesin untuk mendeteksi ancaman, serta membantu analis keamanan menyelidiki dan merespons insiden dalam skala besar.

Alat manajemen log tradisional mengumpulkan dan menyimpan log untuk kepatuhan dan pencarian. SIEM melangkah lebih jauh dengan mengorelasikan peristiwa di berbagai sumber data, menerapkan aturan deteksi untuk mengidentifikasi pola serangan, dan memprioritaskan insiden untuk penyelidikan manusia. Sentinel menambahkan kemampuan SOAR — mengotomatiskan tindakan respons berulang (seperti memblokir IP atau mengatur ulang kata sandi) melalui buku pedoman, sehingga analis dapat berfokus pada penyelidikan yang kompleks.

Sentinel dibangun di atas ruang kerja Log Analytics. Semua data yang diserap disimpan sebagai tabel di ruang kerja dan dapat dikueri menggunakan Kusto Query Language (KQL). Anda mengaktifkan Sentinel di ruang kerja Log Analytics, menghubungkan sumber data, lalu fitur analitik, perburuan, dan otomasi Sentinel tersedia untuk data yang tersimpan di sana. Ruang kerja ini berfungsi sebagai bidang data tunggal untuk Sentinel dan Azure Monitor.

Konektor data mengalirkan log dan pemberitahuan dari berbagai sumber ke Sentinel. Konektor bawaan Microsoft (tanpa kode, cukup dengan satu tombol pengalih) mencakup log masuk Entra ID, Azure Activity, pemberitahuan Defender for Cloud, Microsoft 365, dan Defender XDR. Hub konektor mencakup sumber pihak ketiga, termasuk Cisco, Palo Alto, AWS CloudTrail, Okta, Salesforce, dan banyak lainnya melalui Common Event Format (CEF) atau Syslog. Lebih dari 200 konektor tersedia dari Content Hub.

Aturan analitik adalah mesin pendeteksi Sentinel. Setiap aturan menjalankan kueri KQL sesuai jadwal (setiap 5 menit hingga setiap 24 jam) dan membuat pemberitahuan ketika kueri mengembalikan hasil. Sentinel menyediakan ratusan templat bawaan yang mencakup pola serangan yang umum dikenal. Anda dapat mengimpor templat dari Content Hub dan menyesuaikannya, atau menulis aturan sendiri untuk logika pendeteksian ancaman khusus organisasi.

Saat aturan analitik aktif, pemberitahuannya dikelompokkan menjadi insiden — wadah untuk investigasi potensi pelanggaran keamanan. Grafik investigasi memetakan hubungan antara entitas dalam insiden secara visual: akun, IP, host, URL, dan berkas. Analis menelusuri grafik untuk memahami dampak serangan, beralih ke pemberitahuan terkait, dan menentukan apakah insiden tersebut merupakan positif benar yang memerlukan respons atau positif palsu yang harus ditutup.

Perburuan ancaman di Sentinel adalah pencarian proaktif terhadap ancaman yang belum memicu pemberitahuan. Analis keamanan menulis atau menggunakan kueri perburuan ancaman (KQL) yang telah dibuat sebelumnya untuk mencari indikator kompromi yang sulit terlihat — serangan bertahap dengan intensitas rendah, pergerakan lateral, dan penahapan data — yang dapat menghindari aturan pendeteksian otomatis. Baris menarik yang ditemukan selama perburuan dapat dipromosikan menjadi penanda dan dikaitkan dengan insiden untuk investigasi formal.

Buku pedoman di Sentinel adalah alur kerja Azure Logic Apps yang mengotomatiskan tindakan respons insiden. Saat insiden dibuat (atau pemberitahuan aktif), buku pedoman dapat secara otomatis: mengirim pemberitahuan Teams/email kepada analis yang sedang bertugas, memblokir IP berbahaya di Azure Firewall, mencabut token penyegaran pengguna yang telah disusupi di Entra ID, membuat tiket ServiceNow, atau mengisolasi VM dari jaringan. Kemampuan SOAR ini secara signifikan mengurangi waktu rata-rata untuk merespons (MTTR).

Sentinel memetakan setiap aturan analitik ke kerangka kerja MITRE ATT&CK, yaitu taksonomi taktik dan teknik penyerang yang diakui secara global. Tampilan cakupan MITRE ATT&CK menampilkan peta panas yang menunjukkan taktik dan teknik mana yang dicakup oleh aturan analitik Anda serta celah yang masih ada. Hal ini membantu tim keamanan memprioritaskan penulisan aturan pendeteksian baru untuk meningkatkan cakupan terhadap teknik yang relevan dengan lanskap ancaman mereka.

Sentinel menyertakan puluhan buku kerja (dasbor berparameter yang dibangun di atas Log Analytics) untuk memvisualisasikan data keamanan. Templatnya mencakup Azure Activity, pola masuk Entra ID, ancaman email Microsoft 365, lalu lintas firewall, dan banyak lagi. Manajer pusat operasi keamanan (SOC) menggunakan buku kerja untuk pengarahan serah terima giliran dan analisis tren, sedangkan analis menggunakannya untuk menemukan anomali dengan cepat tanpa menulis KQL mentah.

Sentinel ditagihkan berdasarkan volume data yang diserap ke ruang kerja Log Analytics yang mendasarinya. Ada dua model harga. Bayar Sesuai Pemakaian mengenakan biaya per GB yang diserap dan cocok untuk volume yang lebih kecil atau tidak dapat diprediksi. Reservasi Kapasitas menetapkan komitmen terhadap volume penyerapan harian minimum (100 GB, 200 GB, dan seterusnya) dengan diskon besar per GB. Pemberitahuan keamanan Microsoft Defender for Cloud diserap secara gratis; ruang kerja baru yang mengaktifkan Sentinel juga gratis selama 90 hari pertama.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: Sentinel adalah SIEM dan SOAR berbasis cloud yang dibangun di atas ruang kerja Log Analytics menggunakan KQL, aturan analitik mendeteksi ancaman dengan menjalankan kueri KQL terjadwal dan membuat insiden, serta buku pedoman mengotomatiskan tindakan respons menggunakan Logic Apps untuk mengurangi MTTR. Selanjutnya, kita akan mempelajari Azure DDoS Protection dan Azure Firewall.