Log Management: Jenis Log, Retensi, dan Perannya dalam Keamanan Siber

Security log kerap tersebar di berbagai sistem tanpa pengelolaan terpusat. Saat insiden terjadi, kondisi ini menyulitkan penyusunan kronologi aktivitas saat ada penyusup masuk ke jaringan. Untuk menjaga ketersediaan data dan mendukung investigasi keamanan, organisasi perlu menerapkan praktik log management untuk mengelola dan melindungi catatan aktivitasnya.

Executive Summary

• Log management mengelola siklus hidup data log, dari pengumpulan hingga penyimpanan jangka panjang.

• Penyimpanan lokal berisiko penimpaan log lama dan manipulasi berkas oleh pemegang akses istimewa.

• Log prioritas mencakup autentikasi, jaringan, endpoint, aplikasi web atau API, dan basis data.

• Retensi berjenjang (hot, warm, cold storage) menyeimbangkan akses investigasi dan biayai.

Apa Itu Log Management dan Apa Perannya dalam Keamanan Siber?

Menurut NIST SP 800-92 Rev. 1 (Initial Public Draft), log adalah rekaman peristiwa pada aset komputasi organisasi, dari platform fisik, virtual, jaringan, layanan, hingga cloud. Log management merupakan proses menghasilkan, mengirimkan, menyimpan, mengakses, dan memusnahkan data log. Data tersebut kemudian dapat dianalisis untuk mengidentifikasi insiden siber, menelusuri masalah operasional, serta memenuhi kebutuhan regulasi yang ditetapkan organisasi.

Dalam operasional, pengelolaan log mencakup beberapa aktivitas yang saling berkaitan. Data log dihasilkan oleh berbagai sumber dan dikirim ke repositori yang ditentukan organisasi. Pada tahap pengelolaan, data dapat melalui parsing dan normalisasi agar lebih mudah dicari dan dianalisis. Setelah disimpan, log digunakan untuk kebutuhan pemantauan dan investigasi sebelum akhirnya diarsipkan atau dimusnahkan sesuai kebijakan retensi.

Di atas kertas, alurnya terlihat sederhana, namun dalam praktiknya, jumlah sumber dan volume event-nya jauh lebih besar. Kalau setiap sistem menyimpan lognya sendiri, data yang seharusnya mempercepat investigasi justru sulit dicari dan disusun urutannya.

Mengapa Log Perlu Dikelola Secara Terpusat?

Log perlu dikelola terpusat agar data dari banyak sumber dapat dicari, dikorelasikan, dan disimpan di repositori terpisah dari sistem yang sedang diselidiki. Aliran log dari firewall, server cloud, sistem identitas, dan aplikasi bisnis menghasilkan volume event yang besar setiap harinya. Kondisi ini memicu beban investigasi yang berat ketika organisasi belum menerapkan mekanisme pengumpulan log yang terstandar.

Tanpa sentralisasi, tim harus memeriksa setiap mesin satu per satu saat investigasi. Langkah manual ini menyita waktu dan mempersempit visibilitas lintas platform. Penyebaran file log pada banyak sistem juga menyulitkan korelasi data. Setiap perangkat dapat menggunakan format log, zona waktu, dan konfigurasi sinkronisasi waktu yang berbeda sehingga urutan peristiwa lebih sulit disusun secara konsisten.

Model desentralisasi juga membawa kelemahan mendasar pada ruang penyimpanan. Ruang disk lokal yang penuh dapat memicu penimpaan log lama sebelum analis sempat memeriksanya. Ketika insiden muncul, log penting sering kali hilang akibat penimpaan data, tersebar di berbagai mesin, atau lenyap sebelum investigasi berjalan.

Baca juga: MITRE ATT&CK Framework: Arsitektur Deteksi dan Cara Mengukur Cakupan SOC yang Sebenarnya

Apa yang Terjadi Saat Log Hilang dalam Investigasi Insiden?

Ketika log yang dibutuhkan tidak tersedia, proses investigasi tim keamanan akan melambat. Tanpa data aktivitas yang lengkap, analis menghadapi kesulitan saat memetakan jalur intrusi awal, cakupan sistem korban, maupun urutan kronologis peristiwa.

Dokumentasi MITRE ATT&CK T1070 - Indicator Removal menjelaskan bahwa penyerang dapat menghapus artefak untuk menghilangkan jejak. Ketika memiliki akses yang diperlukan, penyerang dapat membersihkan log keamanan menggunakan utilitas bawaan melalui teknik MITRE ATT&CK T1685.005 - Clear Windows Event Logs. Pada lingkungan Windows, penyerang kerap memakai perintah seperti wevtutil cl security atau PowerShell untuk mengosongkan log lokal.

Pola manipulasi ini terdokumentasi pada operasi serangan Cutting Edge yang menargetkan perangkat VPN Ivanti Connect Secure. Penyerang membersihkan log untuk menghapus jejak aktivitas dan membantu menyembunyikan perubahan yang telah dilakukan pada perangkat. Aktivitas tersebut juga digunakan untuk membantu melewati mitigasi yang diterapkan vendor. Kasus serupa terjadi ketika kelompok penyerang APT5 memakai utilitas THINBLOOD untuk membersihkan berkas log SSL VPN.

Ketika log hanya tersimpan secara lokal, analis berisiko kehilangan data aktivitas penting saat merekonstruksi alur serangan. Mitigasi MITRE M1029 (Remote Data Storage) menyarankan pengiriman log otomatis menuju repositori terpisah di luar host. Langkah ini mengurangi risiko penyerang memanipulasi data di mesin lokal. Tanpa salinan jarak jauh, tim menghadapi hambatan saat menyiapkan data yang diperlukan untuk audit dan investigasi.

Hal yang Perlu Diperhatikan dalam Pengelolaan Log

Kesulitan investigasi yang dibahas sebelumnya berkaitan dengan sejumlah masalah dalam operasional pengelolaan log. Berikut empat aspek yang perlu diperhatikan tim keamanan.

Format log yang beragam

Setiap sumber dapat menghasilkan struktur dan format yang berbeda. Server Linux dapat menggunakan syslog, perangkat jaringan dapat mengirim log dengan format yang berbeda antarvendor, sedangkan aplikasi web sering menggunakan JSON atau plain text. Analisis lintas sistem menjadi lambat tanpa normalisasi data yang seragam.

Kehilangan log saat pengiriman (log drop)

Lonjakan volume data atau gangguan transmisi dapat menghambat pengiriman rekaman ke repositori terpusat. Beban berlebih pada log collector, antrean (queue) yang penuh, throttling, kendala pada agent, hingga keterbatasan buffer jaringan dapat menyebabkan rekaman peristiwa gagal tersimpan.

Proteksi integritas log

Tanpa kontrol integritas yang memadai, pihak tidak berwenang dapat memodifikasi atau menghapus rekaman di media penyimpanan. Penerapan penyimpanan immutable atau mekanisme WORM (Write Once Read Many) membantu mengurangi risiko perubahan atau penghapusan log setelah data tersimpan.

Pembatasan hak akses

Pemberian wewenang berlebih membuka peluang bagi pengelola sistem untuk mengubah atau menghapus data audit trail. Pemisahan peran antara administrator infrastruktur dan pengelola log memperkecil risiko manipulasi internal.

Keempat aspek tersebut perlu diperhatikan saat organisasi menentukan sumber log, mekanisme perlindungan, serta durasi penyimpanannya. Tanpa menentukan sumber log berdasarkan kebutuhan, tim keamanan berisiko memenuhi repositori dengan data bervolume tinggi tetapi bernilai rendah untuk investigasi.

Menentukan Jenis Log dan Retensi Penyimpanannya

Setelah memetakan tantangan teknis, tim keamanan perlu memilah kategori log prioritas beserta durasi penyimpanannya.

Klasifikasi Jenis Log yang Umumnya Diprioritaskan

Tidak semua log memiliki nilai yang sama bagi tim keamanan. Lima kelompok berikut umumnya menjadi prioritas pengumpulan:

Menentukan Retensi Log Berdasarkan Kebutuhan Operasional dan Regulasi

Durasi penyimpanan log bergantung pada kebutuhan akses investigasi, kapasitas infrastruktur, dan kepatuhan regulasi. Sebagai contoh, organisasi dapat menempatkan data yang paling sering diakses atau dicari pada hot storage, sementara data yang lebih jarang diakses dipindahkan ke warm storage untuk kebutuhan investigasi atau pencarian sesekali. Data historis jangka panjang selanjutnya dialihkan ke cold storage untuk menjaga efisiensi biaya penyimpanan.

Dari sisi kepatuhan, regulasi sektor keuangan menegaskan ketersediaan jejak audit. Ketentuan POJK No. 11/POJK.03/2022 Pasal 54 ayat (2) mewajibkan bank memastikan ketersediaan jejak audit TI. Data tersebut disiapkan untuk keperluan pengawasan, penegakan hukum, penyelesaian sengketa, verifikasi, serta pemeriksaan lain. Arahan teknis ini diperjelas dalam PADK OJK No. 1 Tahun 2026 yang mengatur penetapan jenis log, masa penyimpanan, serta perlindungan jejak audit dari gangguan dan akses tidak sah.

Pasal 31 UU No. 27 Tahun 2022 mewajibkan Pengendali Data Pribadi melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi. Dalam implementasinya, rekaman tersebut dapat didukung oleh log teknis yang membantu organisasi menelusuri aktivitas pemrosesan dan menunjukkan akuntabilitas operasional.

Pengumpulan dan penyimpanan log baru memberikan nilai jika data tersebut tetap tersedia dan dapat digunakan ketika dibutuhkan. Dalam operasional keamanan, tim SOC berperan menggunakan log tersebut untuk memantau aktivitas dan melakukan investigasi.

Baca juga: Apa yang Membuat Security Operations Center (SOC) Benar-Benar Efektif?

Bagaimana SOC Mendukung Pengelolaan dan Pemantauan Log?

Log management tidak berhenti pada pengumpulan dan penyimpanan. Tim SOC perlu memastikan sumber log tetap aktif, data masuk dengan baik, dan rekaman dapat digunakan ketika dibutuhkan untuk pemantauan atau investigasi.

Cisometric menyediakan layanan SOC yang membantu organisasi memantau aktivitas dan mengelola data log lewat kapabilitas berikut.

• Asesmen sumber log dan arsitektur logging: Memetakan sumber log yang kritikal dan menyusun konfigurasi pengumpulan log standar sesuai kebutuhan pemantauan organisasi.

• Normalisasi dan perlindungan integritas log: Menyeragamkan format log multi-sumber serta melindungi repositori agar data tetap tersedia dan tidak mudah diubah selama audit atau investigasi.

• Pemantauan dan analisis 24/7: Memantau log secara berkelanjutan dengan dukungan tim analis bersertifikasi CISSP, CRTO, CEH, OSCP, CASP+, dan CHFI untuk menganalisis anomali dan mendeteksi indikasi ancaman.

• Dokumentasi audit dan kepatuhan: Membantu menyiapkan rekam jejak dan dokumentasi operasional yang dibutuhkan untuk audit serta pemeriksaan kontrol keamanan.

Organisasi yang ingin mengevaluasi kesiapan arsitektur logging dan pemantauan keamanan dapat menghubungi tim konsultan Cisometric melalui halaman berikut.

Rujukan regulasi dan pendekatan retensi log pada artikel ini disajikan sebagai informasi umum arsitektur keamanan siber dan bukan pengganti nasihat hukum formal. Setiap organisasi perlu menyelaraskan penerapan teknis dengan kebijakan internal, profil risiko bisnis, serta arahan otoritas pengawas sektor terkait.

FAQ

Apa perbedaan mendasar antara log management dan SIEM?

Log management berfokus pada pengumpulan, penyimpanan, perlindungan, dan siklus hidup data log. Sementara itu, SIEM memanfaatkan data log tersebut untuk menjalankan korelasi ancaman, analisis perilaku, dan pembuatan peringatan keamanan secara real-time.

Mengapa log keamanan tidak boleh hanya disimpan di server lokal?

Penyimpanan lokal rentan tertimpa data baru dan dapat dimodifikasi oleh pihak yang memiliki hak akses. Sentralisasi log ke repositori terpisah membantu menjaga salinan rekam jejak tetap tersedia saat tim melakukan investigasi insiden.

Berapa lama organisasi di Indonesia wajib menyimpan data log audit?

Tidak ada satu durasi retensi log yang berlaku untuk seluruh organisasi di Indonesia. Masa penyimpanan log ditentukan oleh kebutuhan investigasi, jenis data, dan kebijakan organisasi. Untuk perbankan, masa penyimpanan perlu disesuaikan dengan ketentuan dan pedoman OJK yang berlaku.