Arsitektur SIEM: Penyerapan, Penguraian, dan Korelasi Log

Platform Security Information and Event Management (SIEM) mengagregasikan data log dari seluruh infrastruktur organisasi dan menganalisisnya untuk menemukan tanda-tanda insiden keamanan. SIEM menggabungkan dua kemampuan: Security Information Management (SIM)—menyimpan dan menganalisis data log historis—serta Security Event Management (SEM)—pemantauan dan pemberian peringatan secara waktu nyata. Secara bersama-sama, keduanya memberikan tim keamanan visibilitas ke seluruh Environment melalui satu antarmuka.

SIEM mengingest log dari berbagai sumber: Firewalls dan IDS/IPS, sistem operasi (Windows Event Logs, syslog Linux), sistem autentikasi (Active Directory, RADIUS, Okta), Endpoints (agen EDR), platform cloud (AWS CloudTrail, Azure Activity Log), aplikasi (server web, basis data), serta perangkat jaringan (switch, router, gateway VPN). Luasnya ingesti menentukan cakupan deteksi SIEM.

Log Raw hadir dalam berbagai format: CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, XML Windows, dan format proprietari. Pengurai SIEM mengekstrak bidang terstruktur (stempel waktu, IP sumber, IP tujuan, pengguna, jenis Event) dari teks Raw. Normalisasi memetakan bidang-bidang tersebut ke skema umum sehingga query dan aturan dapat bekerja secara seragam pada semua sumber log, terlepas dari format asalnya.

Korelasi Event adalah proses menggabungkan Event terkait dari berbagai sumber untuk mengidentifikasi pola yang menunjukkan insiden keamanan. Satu Login yang gagal hanyalah gangguan; 50 Login yang gagal pada 10 akun dalam 5 menit dari IP yang sama merupakan serangan Brute-force. Mesin korelasi menerapkan aturan berbasis jendela waktu pada aliran Event, mengelompokkan Event terkait, dan menghasilkan peringatan ketika pola mencurigakan muncul dari antara gangguan tersebut.

Platform SIEM memiliki dua jenis arsitektur utama. SIEM on-premise (Splunk Enterprise, IBM QRadar, ArcSight) memberikan kendali penuh atas data, tetapi memerlukan infrastruktur dan beban operasional yang besar. SIEM cloud-native (Microsoft Sentinel, Google Chronicle, Elastic SIEM) menawarkan penskalaan elastis, beban operasional yang lebih ringan, dan integrasi native dengan layanan cloud. Banyak organisasi menjalankan arsitektur hybrid, menggunakan SIEM cloud untuk log cloud dan SIEM on-premise untuk data sensitif yang tidak boleh keluar dari Environment.

SIEM mengorganisasi data yang diingest ke dalam indeks atau tabel berdasarkan jenis log atau periode waktu. Pipeline data melakukan prapemrosesan log sebelum penyimpanan: menyaring gangguan (mengecualikan ping pemeriksaan kesehatan), memperkaya bidang (menambahkan geolokasi ke alamat IP), dan mengarahkan log bervolume tinggi ke tingkat penyimpanan yang lebih murah. Kebijakan retensi menentukan berapa lama log disimpan—persyaratan kepatuhan sering kali mewajibkan log tersedia secara daring selama 12 bulan, dengan penyimpanan arsip tambahan selama 7 tahun.

Platform SIEM menggunakan bahasa query khusus untuk mencari data log. Splunk SPL (Search Processing Language) menggunakan sintaks berbasis pipa. Microsoft Sentinel menggunakan KQL (Kusto Query Language). Elastic menggunakan EQL (Event Query Language) dan Lucene. Bahasa-bahasa ini memungkinkan analis memfilter, mengagregasikan, menggabungkan, dan memvisualisasikan data log untuk menyelidiki insiden serta membuat aturan deteksi. Kemahiran dalam bahasa query SIEM merupakan keterampilan inti seorang analis.

SIEM modern terintegrasi dengan platform threat intelligence (TIP) untuk memperkaya Event secara otomatis dengan konteks. Ketika sebuah Event berisi alamat IP atau nama domain, SIEM memeriksa umpan threat intelligence (VirusTotal, AlienVault OTX, dan umpan komersial), lalu menambahkan informasi apakah indikator tersebut diketahui berbahaya, kategori ancamannya, dan skor keyakinannya. Pengayaan ini mempercepat triase secara signifikan—analis dapat melihat konteks tanpa harus mencari setiap indikator secara manual.

Dasbor SIEM memberikan visibilitas operasional sekilas bagi tim SOC. Panel dasbor umum mencakup: sumber peringatan teratas berdasarkan tingkat keparahan, tren kegagalan autentikasi dari waktu ke waktu, peta geografis koneksi masuk, skor anomali aktivitas pengguna, dan jumlah insiden aktif. Dasbor melayani berbagai audiens—analis memerlukan detail operasional, sedangkan manajer memerlukan ringkasan KPI seperti waktu rata-rata untuk mendeteksi (MTTD) dan tren volume peringatan.

Kelelahan akibat alert terjadi ketika terlalu banyak positif palsu membebani analis sehingga ancaman nyata terlewatkan. Pengelolaan positif palsu dalam SIEM memerlukan: penyetelan aturan korelasi dengan menambahkan pengecualian untuk perilaku yang diketahui aman, pemberian skor risiko untuk memprioritaskan alert dengan tingkat keyakinan tinggi, aturan penekanan untuk membisukan pola jinak yang berulang, serta peninjauan rutin terhadap metrik volume alert. Tujuannya adalah menghasilkan volume alert yang dapat dikelola dan memiliki ketepatan tinggi, sehingga dapat diselidiki secara menyeluruh oleh analis.

Platform Security Orchestration, Automation, and Response (SOAR) terintegrasi dengan SIEM untuk mengotomatiskan respons terhadap jenis alert yang umum. Ketika SIEM memicu alert, SOAR dapat secara otomatis: menanyakan aktivitas pengguna, memeriksa status kepatuhan perangkat, mencari IP dalam intelijen ancaman, memblokir IP pada firewall, menonaktifkan akun pengguna, dan membuat tiket insiden — semuanya dalam hitungan detik. SOAR memungkinkan tim SOC menangani volume alert yang lebih tinggi tanpa harus meningkatkan jumlah personel secara proporsional.

Test pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: SIEM mengagregasi dan menormalkan Logs dari beragam sumber ke dalam skema umum, mesin korelasi Event menerapkan aturan berdasarkan jendela waktu untuk mendeteksi pola serangan di berbagai Event, dan integrasi intelijen ancaman serta otomatisasi SOAR mempercepat respons analis dan mengurangi kelelahan akibat alert. Selanjutnya, kita akan mempelajari cara menulis aturan dan alert deteksi SIEM yang efektif.