Log, Syslog, dan Peringatan

Catatan adalah rekaman berstempel waktu tentang suatu peristiwa: proses masuk, perubahan antarmuka, paket yang dibuang, atau kesalahan. Catatan adalah ingatan jaringan. Ketika terjadi kerusakan, catatan memungkinkan Anda merekonstruksi apa yang terjadi dan kapan. Tanpa pencatatan, pemecahan masalah hanya menjadi dugaan. Dengan pencatatan, Anda memiliki bukti untuk menelusuri jejak hingga ke akar masalah.

Syslog adalah standar lama untuk membuat dan mengirim pesan peristiwa pada sistem jaringan dan sistem mirip Unix. Perangkat menghasilkan pesan syslog dan dapat meneruskannya ke server syslog pusat. Pemusatan ini sangat bermanfaat: alih-alih masuk ke 50 perangkat, Anda cukup mencari di satu tempat. Syslog biasanya dikirim melalui port UDP 514.

Pencatatan terpusat mengumpulkan catatan dari banyak perangkat ke dalam satu server atau platform. Hal ini membantu dalam tiga cara: Anda dapat menghubungkan peristiwa di berbagai perangkat, mempertahankan catatan meskipun perangkat dihapus atau gagal, dan mencari semuanya sekaligus. Penyimpanan catatan terpusat juga penting bagi keamanan, karena penyerang sering berusaha menghapus catatan lokal untuk menyembunyikan jejak mereka.

Syslog mengurutkan pesan berdasarkan keparahan, dari 0 hingga 7. Angka yang lebih rendah berarti lebih mendesak:

• 0 Darurat, 1 Peringatan, 2 Kritis
• 3 Kesalahan, 4 Peringatan
• 5 Pemberitahuan, 6 Informasional, 7 Debug

Biasanya Anda menyaring pesan debug yang ramai agar tidak menutupi pesan kritis. Mengetahui bahwa 0 adalah tingkat paling parah membantu Anda menentukan prioritas.

Setiap pesan syslog juga membawa kode fasilitas yang menunjukkan asalnya, seperti kernel, sistem surat, atau subsistem autentikasi. Jika digabungkan dengan keparahan, fasilitas membantu Anda merutekan dan menyaring pesan, misalnya mengirim semua kegagalan autentikasi kepada tim keamanan. Fasilitas dan keparahan bersama-sama menjelaskan "apa" dan "dari mana" suatu peristiwa.

Baris catatan biasanya mencakup stempel waktu, host atau perangkat sumber, fasilitas dan keparahan, serta pesan yang dapat dibaca manusia. Stempel waktu yang akurat sangat penting, sehingga perangkat menyinkronkan jam menggunakan NTP. Jika dua perangkat menunjukkan waktu yang berbeda, menghubungkan catatan mereka selama suatu insiden hampir mustahil.

Catatan adalah rekaman pasif, tetapi Anda dapat membangun peringatan di atasnya. Sistem pemantauan mengawasi catatan yang masuk dan bereaksi terhadap pola, seperti lima kali gagal masuk dalam satu menit atau pesan apa pun yang bertanda "kritis". Peringatan dapat dikirim melalui surel, pesan teks, atau pemanggil. Dengan demikian, aliran catatan yang senyap berubah menjadi peringatan aktif dan tepat waktu yang memerlukan perhatian.

Sistem SIEM (Security Information and Event Management) mengumpulkan catatan dari seluruh jaringan, menormalkannya, dan menghubungkan peristiwa untuk mendeteksi ancaman. Misalnya, SIEM dapat mengaitkan pemblokiran oleh tembok api, kegagalan masuk, dan akun administrator baru menjadi satu rangkaian kejadian yang mencurigakan. SIEM memadukan pencatatan, pemberian peringatan, dan analisis, serta menjadi bagian utama operasi keamanan modern.

Masa penyimpanan adalah lamanya Anda menyimpan catatan. Jika terlalu singkat, Anda kehilangan riwayat yang diperlukan untuk penyelidikan; jika terlalu lama, biaya penyimpanan meningkat. Banyak organisasi dan peraturan mewajibkan catatan disimpan selama berbulan-bulan atau bertahun-tahun. Kebijakan masa penyimpanan menyeimbangkan nilai penyelidikan, aturan kepatuhan, dan kapasitas penyimpanan, serta ditetapkan sejak awal, bukan setelah insiden terjadi.

Karena pengaitan catatan bergantung pada waktu yang konsisten, setiap perangkat sebaiknya menggunakan NTP (Network Time Protocol) untuk menyinkronkan jamnya dengan sumber bersama. Dengan waktu yang tersinkronisasi, catatan pada tembok api dan catatan pada server dapat sejajar hingga detik, sehingga Anda dapat menelusuri jalur suatu peristiwa. Jam yang tidak cocok merupakan penyebab klasik dan menjengkelkan dari penyelidikan yang membingungkan.

Seperti halnya semua pemantauan, peringatan harus disetel dengan baik. Terlalu banyak peringatan menyebabkan kelelahan peringatan dan membuat peringatan penting diabaikan; terlalu sedikit peringatan berarti insiden nyata dapat terlewat. Praktik yang baik adalah memberikan peringatan untuk peristiwa dengan keparahan tinggi dan pola yang bermakna, menekan pesan yang diketahui terlalu ramai, serta meninjau aturan peringatan secara berkala seiring perubahan jaringan.

Anda telah mempelajari pencatatan dan peringatan. Poin-poin penting:

• Catatan adalah rekaman peristiwa berstempel waktu; syslog menstandarkannya (UDP 514).
• Pencatatan terpusat membantu pengaitan, pelestarian, dan pencarian.
• Keparahan berjalan dari 0 (Darurat) hingga 7 (Debug); angka yang lebih rendah berarti lebih mendesak.
• SIEM mengaitkan catatan untuk mendeteksi ancaman.
• NTP menjaga jam tetap sinkron agar catatan dapat disejajarkan.