Security Monitoring
Pelajari cara membangun visibilitas keamanan lewat pemantauan jaringan, endpoint, dan identitas serta menyetel alert agar bermakna.
Tujuan Pembelajaran
- Menjelaskan tujuan pemantauan keamanan berkelanjutan
- Mengenali sumber telemetri: jaringan, endpoint, identitas, aplikasi
- Memahami baseline, anomali, dan penyetelan alert
- Mengenal konsep IDS, EDR, dan UEBA secara umum
01Mengapa memantau
Pencegahan tidak pernah sempurna, sehingga organisasi perlu kemampuan mendeteksi aktivitas mencurigakan secepat mungkin. Pemantauan memperpendek waktu antara kompromi dan penemuan.
Prinsipnya adalah visibilitas: Anda tidak dapat melindungi atau menyelidiki apa yang tidak terlihat.
02Sumber telemetri
Pemantauan efektif menggabungkan beberapa sudut pandang, karena satu sumber saja jarang memberi gambaran utuh.
- Jaringan: aliran trafik, query DNS, dan alert sensor IDS/IPS
- Endpoint: proses, perubahan file, dan peristiwa dari EDR
- Identitas: login, perubahan hak akses, dan penggunaan akun istimewa
- Aplikasi dan cloud: log audit, aktivitas API, dan perubahan konfigurasi
03Baseline dan deteksi anomali
Baseline adalah gambaran perilaku normal, misalnya jam login khas atau volume transfer data harian. Penyimpangan dari baseline dapat menjadi sinyal awal, meski tidak selalu berarti serangan.
Pendekatan UEBA memakai analitik perilaku pengguna dan entitas untuk menandai pola janggal. Hasilnya tetap perlu diverifikasi manusia karena perubahan sah, seperti proyek baru, juga menimbulkan anomali.
04Menyetel alert
Alert yang terlalu banyak menyebabkan alert fatigue, sedangkan alert yang terlalu sedikit membuat ancaman lolos. Tinjau secara rutin aturan yang sering menghasilkan false positive lalu perbaiki kondisi atau ambang batasnya.
Setiap alert sebaiknya punya pemilik, tingkat keparahan, dan panduan langkah pertama sehingga analis tahu harus berbuat apa.
Contoh Praktis (Aman)
Aturan alert sederhana (pseudo)Aturan yang baik punya kondisi jelas, ambang batas, dan konteks agar tidak membanjiri analis.
ATURAN : Login akun admin di luar jam kerja KONDISI : peran = admin DAN waktu di luar 07:00-19:00 PENGECUALIAN : akun layanan terdaftar, jendela perawatan terjadwal KEPARAHAN : Tinggi LANGKAH 1 : Verifikasi ke pemilik akun lewat kanal terpisah
Rangkuman
- Pemantauan memperpendek waktu antara kompromi dan deteksi
- Gabungkan telemetri jaringan, endpoint, identitas, dan aplikasi
- Baseline normal membantu mengenali anomali yang bermakna
- Setel alert secara rutin agar akurat dan tidak melelahkan analis
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Apa yang dimaksud dengan baseline dalam pemantauan keamanan?
Apa risiko utama dari terlalu banyak alert yang tidak disetel?
Sumber telemetri mana yang menunjukkan proses dan perubahan file di perangkat?