Log Analysis
Belajar membaca, menormalkan, dan mengorelasikan log untuk merekonstruksi kejadian dan menemukan aktivitas mencurigakan.
Tujuan Pembelajaran
- Mengenali jenis log yang umum dan kegunaannya
- Memahami pentingnya sinkronisasi waktu dan normalisasi
- Menerapkan korelasi dasar antar sumber log
- Menjaga integritas dan retensi log
01Jenis log yang umum
Log adalah catatan kejadian yang dihasilkan sistem. Setiap jenis menjawab pertanyaan berbeda saat investigasi.
- Log autentikasi: siapa mencoba masuk, kapan, dan hasilnya
- Log web server dan proxy: permintaan, kode status, dan sumber trafik
- Log firewall dan DNS: koneksi yang diizinkan atau ditolak serta domain yang diminta
- Log sistem dan aplikasi: error, perubahan konfigurasi, dan aksi administratif
02Waktu dan normalisasi
Merekonstruksi urutan kejadian mustahil jika jam perangkat tidak sinkron. Gunakan NTP dan simpan stempel waktu dalam UTC dengan zona waktu yang jelas.
Normalisasi menyeragamkan format dari berbagai sumber ke dalam bidang yang konsisten, misalnya source_ip, user, dan action, sehingga pencarian dan korelasi menjadi mungkin.
03Korelasi dan penyelidikan
Satu baris log jarang bercerita lengkap. Korelasi menghubungkan beberapa sumber, misalnya login VPN yang sukses, diikuti akses ke server berkas dan transfer data besar dari pengguna yang sama.
Mulailah dari pertanyaan yang jelas, seperti akun mana yang berhasil login setelah banyak kegagalan, lalu persempit rentang waktu dan entitas. Catat hipotesis dan hasil pencarian Anda.
04Integritas dan retensi
Pelaku sering mencoba menghapus jejak, sehingga log sebaiknya dikirim ke penyimpanan terpusat yang hanya dapat ditambah, bukan diubah. Batasi siapa yang dapat menghapus log.
Tentukan masa retensi berdasarkan kebutuhan investigasi, regulasi, dan biaya. Jangan mencatat data sensitif seperti kata sandi atau nomor kartu ke dalam log.
Contoh Praktis (Aman)
Membaca pola login gagalContoh log autentikasi fiktif. Alamat dan akun adalah data contoh. Perhatikan pola: banyak kegagalan lalu satu keberhasilan dari sumber yang sama.
2026-10-30T02:14:03Z auth user=budi src=203.0.113.50 result=FAIL 2026-10-30T02:14:09Z auth user=budi src=203.0.113.50 result=FAIL 2026-10-30T02:14:15Z auth user=budi src=203.0.113.50 result=FAIL 2026-10-30T02:14:41Z auth user=budi src=203.0.113.50 result=SUCCESS Catatan: pola ini layak diselidiki; cek lokasi sumber dan aktivitas setelah login.
Rangkuman
- Setiap jenis log menjawab pertanyaan investigasi yang berbeda
- Sinkronisasi waktu dan normalisasi membuat korelasi menjadi mungkin
- Korelasi lintas sumber memberi gambaran kejadian yang utuh
- Lindungi integritas log dan tetapkan retensi yang sesuai
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Mengapa sinkronisasi waktu (NTP) penting untuk analisis log?
Apa tujuan normalisasi log?
Bagaimana cara terbaik melindungi log dari penghapusan oleh pelaku?