Apa Itu SIEM? Fungsi dan Cara Kerjanya

SIEM, singkatan dari Security Information and Event Management, adalah platform yang mengumpulkan log dari berbagai sistem, menganalisisnya, dan memberi peringatan ketika ada aktivitas yang mencurigakan. Artikel ini menjelaskan fungsi SIEM, cara kerjanya, contoh penggunaannya, serta tantangan yang perlu Anda perhitungkan sebelum memakainya.

Apa Itu SIEM?

Setiap server, firewall, aplikasi, dan layanan identitas menghasilkan log. Tanpa pengelolaan terpusat, log itu tersebar di puluhan tempat dan baru dibuka setelah masalah terjadi. Panduan NIST SP 800-92 tentang manajemen log menggambarkan perangkat lunak SIEM sebagai program yang menyediakan kemampuan pencatatan terpusat untuk berbagai jenis log. Ringkasannya ada di glosarium NIST.

Istilah SIEM lahir dari penggabungan dua pendekatan. Security Information Management (SIM) berfokus pada penyimpanan log jangka panjang, analisis, dan pelaporan kepatuhan. Security Event Management (SEM) berfokus pada pemantauan dan korelasi kejadian secara waktu nyata. sistem generasi baru menggabungkan keduanya dalam satu platform.

Cara Kerja SIEM

Meskipun produknya berbeda-beda, alur kerja SIEM umumnya terdiri dari beberapa tahap.

1. Pengumpulan log

Platform ini menerima data dari sumber seperti sistem operasi, firewall, IDS/IPS, layanan email, aplikasi web, dan layanan cloud, baik melalui agen maupun pengiriman log langsung.

2. Normalisasi dan pengayaan

Format log tiap sumber berbeda. Tahap ini menyeragamkan bidang seperti waktu, alamat IP, dan nama pengguna, lalu memperkaya data dengan konteks, misalnya daftar aset penting atau informasi ancaman.

3. Korelasi

Inilah inti platform ini. Aturan korelasi menghubungkan kejadian dari sumber berbeda. Satu kegagalan login mungkin wajar, tetapi ratusan kegagalan diikuti login berhasil dari lokasi yang tidak biasa layak diperiksa.

Selain aturan yang ditulis manual, banyak platform modern menyediakan analisis perilaku yang membandingkan aktivitas saat ini dengan kebiasaan normal pengguna atau sistem. Pendekatan ini membantu menemukan penyimpangan yang tidak tercakup aturan statis, meski tetap memerlukan penyetelan agar tidak menghasilkan terlalu banyak alarm palsu.

4. Peringatan dan dasbor

Ketika aturan terpenuhi, SIEM membuat alert yang dikirim ke analis atau sistem tiket, dan menyajikan ringkasan di dasbor.

5. Penyimpanan dan pelaporan

Log disimpan sesuai kebijakan retensi sehingga dapat dipakai untuk investigasi, audit, dan laporan kepatuhan.

Fungsi dan Manfaat SIEM

• Deteksi lebih cepat: aktivitas janggal terlihat dalam satu tampilan, bukan tersebar di banyak sistem.
• Korelasi lintas sumber: pola yang tidak tampak di satu log menjadi jelas ketika digabung.
• Dukungan investigasi: analis dapat menelusuri urutan kejadian dengan cepat.
• Pelaporan kepatuhan: bukti pencatatan membantu audit internal maupun eksternal.
• Integrasi: SIEM menerima data dari alat keamanan yang sudah ada, termasuk sistem deteksi intrusi. NIST SP 800-94 memang menyebut SIEM sebagai alat pelengkap IDPS.

Contoh penggunaan SIEM

Berikut contoh skenario defensif yang lazim dipantau tim keamanan:

• Login ke akun administrator di luar jam kerja atau dari dua negara berbeda dalam waktu singkat.
• Lonjakan kegagalan login pada satu akun atau satu layanan.
• Perubahan hak akses atau pembuatan akun baru yang tidak sesuai prosedur.
• Transfer data keluar dalam jumlah besar dari server yang biasanya tenang.
• Pemadaman layanan antivirus atau pencatatan log pada server penting.

Setiap skenario di atas hanya berguna bila log sumbernya benar-benar dikirim ke platform. Karena itu, tentukan sejak awal sumber log yang wajib dikumpulkan, mulai dari yang paling kritis seperti layanan identitas, firewall, dan server yang menyimpan data penting. Pastikan juga jam di semua sistem sinkron, sebab urutan kejadian tidak bisa ditelusuri dengan benar jika cap waktunya berbeda-beda.

Tantangan Menggunakan SIEM

Memasang platform ini tidak otomatis membuat organisasi aman. Banyak proyek gagal bukan karena produknya, melainkan karena perencanaan dan pengelolaan yang kurang.

• Alert berlebihan: aturan yang belum disetel menghasilkan banyak false positive sehingga analis kelelahan.
• Kualitas log: SIEM hanya sebaik data yang masuk. Log yang tidak lengkap membuat deteksi buta.
• Biaya dan penyimpanan: volume log besar memerlukan kapasitas dan anggaran, serta perlu kebijakan retensi.
• Keahlian: menulis dan menyetel aturan korelasi membutuhkan analis yang paham lingkungan organisasi.
• Data pribadi: log dapat memuat data pribadi sehingga akses dan retensinya perlu diatur selaras dengan UU PDP.

Bagaimana memilih platform yang sesuai?

Pertimbangkan jumlah dan jenis sumber log, kebutuhan kepatuhan, apakah dipasang di infrastruktur sendiri atau sebagai layanan cloud, ketersediaan SDM, serta kemudahan integrasi dengan alat yang sudah ada. Banyak organisasi memulai dari kebutuhan kecil, misalnya hanya log identitas dan firewall, lalu memperluasnya bertahap.

SIEM dan Security Operations Center

SIEM adalah alat, sedangkan tim yang mengoperasikannya biasanya berada di SOC. Perannya dijelaskan di artikel apa itu Security Operations Center. Ketika alert dinilai sebagai insiden nyata, tim mengikuti prosedur dalam incident response. Pada level host, alat seperti yang dibahas di artikel OSSEC dapat menjadi salah satu sumber data, sedangkan sistem di jaringan dijelaskan dalam perbedaan IDS dan IPS.

Pertanyaan yang Sering Diajukan

Apa bedanya SIEM dengan log management?

Log management berfokus mengumpulkan dan menyimpan log. Fungsi SIEM menambahkan analisis, korelasi, dan peringatan sehingga log bisa langsung dipakai untuk deteksi ancaman.

Apakah SIEM sama dengan antivirus atau firewall?

Bukan. Antivirus dan firewall mencegah atau memblokir. Ia tidak memblokir sendiri, melainkan mengumpulkan dan menganalisis data dari alat-alat tersebut untuk membantu deteksi dan investigasi.

Apakah usaha kecil perlu SIEM?

Belum tentu. Usaha kecil dapat memulai dengan kontrol dasar seperti MFA, pembaruan, dan backup. Ia menjadi relevan ketika jumlah sistem dan risiko bertambah dan ada yang bertugas menindaklanjuti alert.

Apakah SIEM bisa mendeteksi semua serangan?

Tidak. Platform ini hanya mendeteksi apa yang terlihat dari log dan aturan yang dibuat. Ia melengkapi, bukan menggantikan, kontrol pencegahan.

Kesimpulan

Platform ini menyatukan log dari banyak sumber, mengaitkannya, dan mengubahnya menjadi peringatan yang bisa ditindaklanjuti. Nilainya ada pada data yang lengkap, aturan yang disetel dengan baik, dan tim yang siap merespons. Jika tim Anda ingin membangun kemampuan pemantauan dan respons insiden, Linuxhackingid menyediakan pelatihan untuk tim dan organisasi yang dapat Anda tinjau di platformnya.