SIEM: Pengertian, Fungsi, Komponen, dan Cara Kerja Korelasi Log

Rekaman log dari firewall, server di lingkungan cloud, dan endpoint pada umumnya tersimpan terpisah di tiap perangkat. Satu entri log hanya mencatat potongan kecil aktivitas, sehingga serangan bertahap sulit dikenali bila dilihat dari satu sistem saja. SIEM hadir untuk menyatukan dan menghubungkan rekaman tersebut menjadi deteksi yang dapat ditindaklanjuti.

Executive Summary

• SIEM menggabungkan pengelolaan log historis (SIM) dan pemantauan peristiwa real-time (SEM).

• Kapabilitas inti SIEM mencakup ingesti data, normalisasi dan penambahan konteks, analitik korelasi, serta konsol peringatan dan investigasi.

• Kasus Operation MidnightEclipse (CVE-2024-3400) menunjukkan bagaimana telemetri jaringan, log sistem, dan artefak konfigurasi saling melengkapi dalam investigasi.

• Akurasi deteksi bergantung pada kualitas parsing, penyetelan aturan, rentang waktu korelasi, dan skenario deteksi yang dipetakan ke MITRE ATT&CK.

Apa Itu SIEM dan Fungsinya dalam Keamanan Siber?

Security Information and Event Management (SIEM) adalah platform yang mengumpulkan log lintas sumber, menyeragamkan formatnya, lalu mengorelasikan peristiwa untuk mendeteksi ancaman. Platform ini menggabungkan Security Information Management (SIM) untuk penyimpanan serta analisis historis dan Security Event Management (SEM) untuk pemantauan real-time.

SIEM umumnya melanjutkan fungsi log management dengan menambahkan lapisan analitik, korelasi, dan deteksi. Praktik log management menjaga agar log dikumpulkan dan disimpan sesuai retensi. SIEM mengolah rekaman tersebut untuk menguji apakah rangkaian peristiwa lintas sistem membentuk pola serangan.

Panduan NIST SP 800-92 mendefinisikan korelasi peristiwa sebagai proses menemukan hubungan antara dua entri log atau lebih. Login gagal, koneksi keluar, dan proses baru tampak wajar bila terpisah. Saat ketiganya muncul berdekatan pada akun dan host yang sama, analis SOC memiliki dasar investigasi.

Baca juga: Apa Itu Log Management? Jenis Log, Retensi, dan Perannya dalam Keamanan Siber

Komponen Utama dan Cara Kerja Korelasi Log pada SIEM

Untuk menghubungkan peristiwa lintas sistem, SIEM memproses data secara bertahap mulai dari penerimaan log hingga penyajian alert. Tim keamanan perlu memahami alur ini karena kendala pada satu tahap akan memengaruhi akurasi deteksi di tahap berikutnya.

Komponen Arsitektur Utama dalam Platform SIEM

Dalam praktiknya, platform SIEM umumnya mencakup beberapa kapabilitas inti berikut.

Cara Kerja Korelasi Log dalam Menghubungkan Peristiwa Keamanan

Korelasi lintas sumber lebih mudah ketika field dari berbagai log dipetakan ke skema yang konsisten. Misalnya, firewall mencatat alamat IP sumber menggunakan field src, sementara sistem identitas memakai IpAddress. Microsoft Sentinel menggunakan model normalisasi ASIM untuk memetakan data ke skema standar bagi aturan deteksi, kueri, dan analitik.

Setelah data memiliki field yang dapat dibandingkan, mesin analitik menjalankan aturan deteksi menggunakan bahasa atau sintaks yang digunakan platform, seperti Search Processing Language (SPL) di Splunk, Kusto Query Language (KQL) di Microsoft Sentinel, atau YARA-L di Google Security Operations. Aturan ini menghubungkan peristiwa berdasarkan akun, host, atau IP dalam rentang waktu tertentu. UEBA melengkapi aturan tersebut dengan mendeteksi perilaku yang menyimpang dari kebiasaan normal.

Normalisasi menyamakan struktur data antar-perangkat, sedangkan mesin korelasi menguji keterkaitan antar-peristiwa. Cara kedua fungsi ini saling melengkapi terlihat pada kasus intrusi yang meninggalkan jejak di beberapa sumber data sekaligus, seperti serangan Operation MidnightEclipse pada April 2024, yang mengeksploitasi kerentanan CVE-2024-3400 pada perangkat Palo Alto Networks PAN-OS.

Bagaimana Korelasi Log Menghubungkan Rangkaian Serangan Lintas Sistem?

Pada 10 April 2024, Volexity menerima alert lalu lintas mencurigakan dari firewall pelanggannya. Investigasi menemukan eksploitasi zero-day pada GlobalProtect di PAN-OS yang tercatat sebagai CVE-2024-3400 (CVSS 10.0). Unit 42 melacak aktivitas ini sebagai MITRE ATT&CK Operation MidnightEclipse (C0048).

Temuan Volexity dan Unit 42 memperlihatkan jejak di berbagai sumber telemetri, dengan pemetaan teknik yang mengacu pada halaman kampanye Operation MidnightEclipse dan analisis teknis tiap tahap:

• Tahap 1 - Eksploitasi Perimeter: Permintaan ke GlobalProtect mengeksekusi perintah tanpa autentikasi (log jaringan dan gpsvc.log, T1190)

• Tahap 2 - PengunduhanSskrip: Perintah Linux membuat file uji dan mengunduh skrip via wget serta bash (log sistem, T1105, T1059.004)

• Tahap 3 - Persistensi Cron: Percobaan implan UPSTYLE gagal, lalu cron job menjalankan wget untuk mengambil payload via HTTP setiap menit (entri crond, T1053.003, T1071.001)

• Tahap 4 - Staging dan Pengambilan Konfigurasi: File running-config.xml disalin ke folder web dan diakses via HTTP (artefak staging, T1074.001; komunikasi web, T1071.001)

• Tahap 5 - Pergerakan Lateral dan Pengambilan Kredensial: GOST digunakan sebagai reverse proxy untuk akses jaringan (T1090), sementara SMB dan WinRM digunakan untuk pergerakan lateral (T1021.002, T1021.006). Aktor juga memperoleh kredensial dari sistem korban, termasuk melalui NTDS.DIT (T1003.003).

Urutan Tahap 3 dan Tahap 4 berbeda pada kedua laporan sumber. Unit 42 mencatat penyalinan konfigurasi sebelum cron job dibuat, sedangkan Volexity mencatat pengambilannya lewat skrip cron. Meski urutannya bervariasi, jejaknya tetap tersebar di berbagai sumber data.

Dilihat terpisah, sebagian jejak tersebut dapat menyerupai aktivitas administratif atau fungsi sistem yang sah. Entri crond, misalnya, juga muncul pada aktivitas rutin perangkat. Menurut analisis deteksi Volexity, entri crond yang sah bersifat repetitif, sehingga perintah wget atau bash yang menyimpang menjadi dasar deteksi.

Dari perspektif SIEM, pola ini menunjukkan bagaimana sumber telemetri dihubungkan untuk membangun kronologi investigasi. Aktivitas crond, koneksi keluar, dan perubahan file saling melengkapi ketika tersedia dalam sumber data yang dipantau.

Mengapa Implementasi SIEM Kerap Gagal Menghasilkan Deteksi yang Akurat?

Kasus MidnightEclipse menggambarkan kondisi ketika sumber telemetri tersedia dan analis dapat segera menghubungkannya. Untuk melihat mengapa deteksi bisa meleset, tim keamanan dapat menelusuri titik kegagalan yang kerap muncul dalam pengelolaan data dan aturan SIEM.

Kegagalan parsing skema dapat terjadi ketika pembaruan perangkat mengubah format atau struktur log. Parser lama tetap menerima data, tetapi field nama pengguna atau alamat IP menjadi kosong. Akibatnya, aturan korelasi berhenti cocok tanpa pesan error di konsol pemantauan.

Ketergantungan pada aturan bawaan (default rules) dapat meningkatkan false positive ketika logikanya belum disesuaikan dengan lingkungan organisasi. Jika peringatan terlalu sering muncul, alert valid berisiko terlewat. Dalam laporan Komite Commerce Senat AS atas kasus Target 2013, FireEye menghasilkan sejumlah alert instalasi malware yang tidak ditindaklanjuti.

Aturan dengan rentang waktu korelasi yang terlalu pendek dapat gagal menghubungkan aktivitas berjeda lama. Aktivitas low-and-slow berjeda hari berpotensi terlewat dari evaluasi aturan. Publikasi Mandiant mencatat implan SUNBURST memiliki periode dorman hingga dua minggu sebelum mulai melakukan komunikasi DNS yang digunakan untuk C2.

Pengiriman seluruh log tanpa prioritas skenario deteksi (use case) dapat meningkatkan volume ingesti, biaya pemrosesan atau penyimpanan, serta beban kueri investigasi. Sebaliknya, sumber data yang paling relevan seperti log autentikasi atau perangkat perimeter justru kerap belum dinormalisasi dengan benar.

Keempat kendala ini banyak berkaitan dengan kualitas sumber data, logika deteksi, serta cara SIEM dikonfigurasi dan dipelihara. Karena itu, langkah perbaikannya perlu diarahkan langsung pada pemilihan sumber data, penambahan konteks, dan penyetelan aturan korelasi.

Cara Mengoptimalkan Aturan Korelasi dan Cakupan Deteksi SIEM

Keempat kendala di atas umumnya dapat dibenahi tanpa harus mengganti platform SIEM yang sudah digunakan. Tim keamanan dapat memulainya dengan membenahi cara memilih skenario deteksi, menambahkan konteks aset, dan menyetel aturan secara berkala.

Penyusunan skenario deteksi berbasis ancaman (threat-driven use case) mengarahkan prioritas ingesti dan validasi parsing. Tim SOC memetakan skenario ancaman ke teknik MITRE ATT&CK untuk menentukan sumber log dan field wajib. Pemantauan field kosong membantu mendeteksi kegagalan parsing lebih dini.

Penerapan penambahan konteks pada log membantu menekan false positive sebelum peringatan masuk ke antrean analis. Konteks seperti kritikalitas aset, status akun istimewa, dan threat intelligence dapat digunakan untuk membantu menentukan tingkat keparahan atau risiko sebuah alert. Login gagal pada laptop staf dan domain controller pun mendapat prioritas berbeda.

Pelaksanaan penyetelan aturan secara berkala menjaga ketepatan deteksi seiring perubahan lingkungan. Tim detection engineering mengevaluasi rasio true positive dan false positive untuk menyesuaikan ambang aturan bawaan. UEBA juga membantu melihat pola aktivitas yang menyimpang dari kebiasaan pengguna atau aset, sehingga analis tidak hanya bergantung pada satu aturan korelasi statis.

Aturan korelasi yang tampak aktif di konsol dapat berhenti menghasilkan alert apabila field sumbernya berubah setelah pembaruan sistem. Ketiga praktik di atas membutuhkan analis yang menguji dan merevisi aturan secara rutin. SIEM menjalankan logika deteksi, tetapi manusia yang merawatnya.

Bagaimana Tim SOC Cisometric Mendukung Pengelolaan SIEM?

Akurasi SIEM bergantung pada tim yang merancang aturan korelasi dan menindaklanjuti setiap peringatannya. Cisometric mendukung pengelolaan deteksi melalui pemantauan 24/7, pengembangan use case khusus, integrasi Threat Intelligence Platform (TIP) serta SOAR, dan dukungan respons insiden dengan memperhatikan kebutuhan kepatuhan seperti ISO 27001. Empat kapabilitas berikut menjawab titik kegagalan yang umum ditemui:

• Asesmen sumber telemetri dan validasi parsing: Memetakan sumber log sesuai prioritas skenario deteksi dan memeriksa kelengkapan field normalisasi.

• Detection engineering kustom: Merancang dan menyetel aturan korelasi MITRE ATT&CK sesuai profil organisasi untuk menekan false positive.

• Analisis aktivitas lintas waktu dan pemantauan 24/7: Menggabungkan korelasi peristiwa, threat intelligence, dan analitik perilaku bersama analis bersertifikasi CISSP, CRTO, CEH, OSCP, CASP+, dan CHFI.

• Tindak lanjut alert dan evaluasi cakupan: Menjalankan triage peringatan kritikal dan mengevaluasi aturan berkala agar alert valid segera ditangani.

Organisasi yang ingin menilai kualitas aturan korelasi dan memperkuat pengelolaan SIEM yang sudah berjalan dapat menjadwalkan diskusi teknis melalui halaman layanan SOC Cisometric.

FAQ

Apakah SIEM dapat mendeteksi serangan zero-day?

SIEM tidak harus menunggu signature untuk menemukan dampak eksploitasi zero-day. Meski eksploitasi awal belum memiliki signature, aktivitas pasca-eksploitasi seperti cron job tidak biasa, perubahan file, dan koneksi keluar dapat dikorelasikan untuk investigasi.

Apakah SIEM menggantikan peran analis keamanan?

Tidak. SIEM mengumpulkan log, mengorelasikan peristiwa, dan memunculkan peringatan otomatis. Analis tetap dibutuhkan untuk menyetel aturan, memvalidasi konteks, memilah false positive, dan menentukan tindakan respons yang sesuai saat insiden berlangsung.

Berapa lama implementasi SIEM hingga siap operasional?

Tidak ada durasi universal untuk implementasi SIEM. Integrasi konektor dan sumber log biasanya dapat dimulai lebih cepat, sedangkan validasi parsing, penyusunan use case, dan penyetelan aturan membutuhkan tahapan pengujian serta evaluasi berulang.