Apa Itu SIEM dan Hubungannya dengan SOC
SIEM mengumpulkan dan mengolah log keamanan, SOC adalah tim yang menindaklanjutinya. Ini beda keduanya, cara kerjanya, dan kapan bisnis butuh.
Jawaban singkat
SIEM (Security Information and Event Management) adalah sistem yang mengumpulkan log dari server, aplikasi, dan perangkat jaringan, lalu mencari pola serangan dan mengirim peringatan. SOC adalah tim dan proses yang memantau peringatan itu dan merespons insiden. SIEM alatnya, SOC yang menjalankannya.
Daftar isi
SIEM (Security Information and Event Management) adalah perangkat lunak yang mengumpulkan catatan aktivitas (log) dari banyak sumber, menyatukannya di satu tempat, lalu menganalisisnya untuk menemukan tanda serangan. SOC (Security Operations Center) adalah tim beserta prosesnya yang memantau hasil analisis itu setiap hari dan bertindak saat ada insiden.
Singkatnya, SIEM adalah alat, SOC adalah orang dan cara kerjanya. Salah memahami hubungan ini sering berujung pada dua kesalahan mahal: membeli SIEM tanpa ada yang membaca peringatannya, atau membentuk tim pemantau tanpa data yang cukup untuk dipantau.
Bagaimana cara kerja SIEM?
Bayangkan setiap server, firewall, aplikasi web, dan laptop kantor menulis buku harian. Isinya siapa yang login, file apa yang diubah, koneksi mana yang ditolak. Tanpa SIEM, buku harian itu tersebar di puluhan tempat dan jarang dibaca. SIEM mengumpulkan semuanya dan membacanya sekaligus.
Pengumpulan dan normalisasi
Agen atau konektor mengirim log ke SIEM, misalnya log SSH dari server Linux, event log Windows, log akses web server, dan catatan firewall. Formatnya berbeda-beda, jadi SIEM menormalkannya: tanggal, alamat IP, nama pengguna, dan jenis kejadian ditaruh di kolom yang seragam. Dari sini log yang awalnya beda bahasa bisa dibandingkan.
Korelasi dan aturan deteksi
Kekuatan utama SIEM ada di korelasi, yaitu menghubungkan kejadian kecil yang terlihat biasa bila dilihat sendiri-sendiri. Contohnya:
- Puluhan login gagal ke satu akun dari banyak alamat IP dalam beberapa menit, lalu satu login berhasil.
- Akun karyawan yang login dari dua negara berbeda dalam selang waktu yang mustahil ditempuh.
- File sistem yang berubah di server produksi di luar jadwal pemeliharaan.
Aturan seperti ini bisa bawaan vendor atau ditulis sendiri. Bila cocok, SIEM membuat peringatan (alert) dengan tingkat keparahan.
Penyimpanan dan pelaporan
SIEM juga menyimpan log dalam jangka waktu tertentu. Ini berguna untuk investigasi setelah kejadian ("sejak kapan penyerang ada di dalam?") dan untuk audit kepatuhan. Banyak SIEM menyediakan dasbor dan laporan berkala.
Lalu apa peran SOC?
SOC menerima peringatan dari SIEM dan memutuskan apa yang harus dilakukan. Tidak semua peringatan berarti serangan. Sebagian adalah positif palsu, misalnya admin yang memang sedang menjalankan skrip pemindaian. Tugas analis SOC adalah memilah, menyelidiki, dan merespons.
Pekerjaan SOC biasanya mencakup:
- Triase: menilai peringatan mana yang nyata dan mendesak.
- Investigasi: menelusuri log di SIEM untuk memahami apa yang terjadi.
- Respons: memblokir IP, mengunci akun, mengisolasi server, lalu memulihkan.
- Penyetelan: memperbaiki aturan deteksi supaya peringatan palsu berkurang dan celah deteksi tertutup.
Penjelasan lebih luas soal layanan SOC dibandingkan pemindaian kerentanan dan pentest ada di beda SOC, vulnerability scan, dan pentest.
SIEM vs SOC dalam satu tabel
| Aspek | SIEM | SOC |
|---|---|---|
| Wujud | Perangkat lunak atau layanan | Tim, proses, dan prosedur |
| Tugas utama | Mengumpulkan, menyatukan, dan menganalisis log | Memantau, menyelidiki, dan merespons insiden |
| Keluaran | Peringatan, dasbor, laporan | Keputusan, tindakan penanganan, laporan insiden |
| Bergantung pada | Kelengkapan sumber log dan kualitas aturan | Keahlian analis dan prosedur yang jelas |
| Bisa berdiri sendiri? | Bisa, tapi peringatannya mudah diabaikan | Bisa, tapi kerjanya buta tanpa data terpusat |
| Contoh | Wazuh, Elastic Security, Splunk, Microsoft Sentinel | Tim internal atau layanan SOC dari penyedia |
SOC modern hampir selalu memakai SIEM sebagai pusat data. Selain itu ada alat lain yang sering mendampingi, seperti EDR di laptop dan server, serta SOAR untuk mengotomasi respons yang berulang.
Kapan bisnis memilih SIEM sendiri, kapan memakai SOC?
Pilihan ini bergantung pada ukuran infrastruktur, keahlian tim, dan seberapa besar risiko bila serangan terlambat diketahui.
Memasang SIEM sendiri masuk akal bila kamu punya admin server yang mau meluangkan waktu rutin untuk membaca peringatan dan menyetel aturan. Untuk beberapa VPS dan satu website, SIEM sumber terbuka seperti Wazuh sudah bisa memantau login SSH, perubahan file, dan kerentanan paket. Langkah pemasangannya ada di cara pasang Wazuh untuk memantau keamanan server. Kalau infrastrukturmu masih kecil sekali, mulai dari membaca log dasar dulu, seperti dibahas di membaca log server untuk mendeteksi serangan.
Memakai layanan SOC (internal atau outsource) masuk akal bila data yang kamu kelola sensitif, misalnya data pelanggan atau transaksi, dan tidak ada orang yang bisa memantau di luar jam kerja. Serangan tidak menunggu hari Senin. Pertimbangan biaya dan cakupannya dibahas di SOC internal atau outsource.
Di antara keduanya ada jalan tengah: SIEM dikelola sendiri, tetapi peringatan tingkat tinggi diteruskan ke penyedia layanan untuk ditangani.
Apa yang perlu disiapkan sebelum memasang SIEM?
Sebelum memilih produk, jawab dulu beberapa pertanyaan ini:
- Apa yang ingin dideteksi? Misalnya pembobolan akun, malware di server, atau kebocoran data. Tujuan menentukan log mana yang wajib dikumpulkan.
- Sumber log mana yang ada? Daftar server, aplikasi, firewall, layanan cloud, dan email.
- Berapa lama log disimpan? Volume log bisa besar, jadi ruang penyimpanan perlu dihitung.
- Siapa yang menerima peringatan dan lewat apa? Email, Telegram, atau sistem tiket, plus siapa penggantinya saat orang itu cuti.
- Apa yang dilakukan saat peringatan kritis muncul? Tulis prosedurnya sejak awal, jangan saat panik.
Lima pertanyaan ini sebenarnya inti dari SOC kecil. Bahkan bisnis yang belum punya tim keamanan bisa menjalankan versi sederhananya.
Pertanyaan yang sering diajukan
Apakah SIEM sama dengan antivirus?
Tidak. Antivirus atau EDR bekerja di satu perangkat untuk mendeteksi dan menghentikan program jahat. SIEM mengumpulkan log dari banyak perangkat, termasuk dari antivirus itu sendiri, lalu mencari pola serangan secara menyeluruh.
Apakah bisnis kecil perlu SIEM?
Tidak selalu dalam bentuk produk besar. Bisnis kecil dengan beberapa server bisa mulai dari SIEM sumber terbuka atau pemantauan log terpusat yang sederhana, asal ada orang yang rutin membaca peringatannya.
Apakah SIEM bisa mencegah serangan?
Fungsi utamanya mendeteksi, bukan mencegah. Sebagian SIEM bisa memicu respons otomatis seperti memblokir IP, tetapi pencegahan tetap datang dari firewall, patch, dan konfigurasi yang aman.
Apa itu SOAR dan apa bedanya dengan SIEM?
SOAR (Security Orchestration, Automation and Response) mengotomasi langkah respons, misalnya mengunci akun atau membuat tiket saat ada peringatan tertentu. SIEM menemukan masalahnya, SOAR membantu menjalankan tindakan lanjutannya.
