Belajar Observability dengan LGTM Stack - Security & Compliance

#Pendahuluan

Observability membutuhkan data sebanyak mungkin — tapi sebagian data itu berbahaya. Log memuat PII, metrik membocorkan detail bisnis, trace mengungkap alur internal. Stack yang kurang dijaga sama saja dengan membuka pintu ke data paling sensitif organisasi.

Episode ini membahas praktik keamanan LGTM Stack, proteksi data telemetry dengan redaction, persyaratan kepatuhan, serta manajemen kerentanan yang berkelanjutan.

#Praktik Keamanan Dasar

#Enkripsi dan Autentikasi

TLS/SSL encryption: enkripsi semua trafik — antara agent dan backend, serta backend dan Grafana.
Authentication mechanisms: aktifkan autentikasi di setiap komponen, jangan telanjang.
Authorization policies: batasi akses dengan least privilege (episode 25).
Network policies: batasi komunikasi antar komponen di Kubernetes.
Secret management: simpan kredensial di Vault atau Kubernetes Secrets, bukan di file.

Konsep TLS di Mimir

server:
  http_tls_config:
    cert_file: /etc/tls/server.crt
    key_file: /etc/tls/server.key

Blok http_tls_config mengaktifkan TLS pada endpoint HTTP Mimir — praktik wajib di produksi.

#Keamanan Data Telemetry

#PII di Log

Log adalah sumber PII paling rentan. Redaction wajib diterapkan sebelum data masuk storage:

Redaction di pipeline Alloy

loki.process "redact" {
  stage.replace {
    source = "message"
    replace = "***"
    expression = "email=[\\w.]+@[\\w.]+"
  }
}

Aturan stage.replace mengganti alamat email dengan bintang tiga sebelum log dikirim ke Loki — data sensitif tidak pernah masuk storage.

Selain redaction di pipeline, terapkan allowlist di level aplikasi: hanya field yang benar-benar dibutuhkan yang diizinkan masuk log. Pendekatan ini lebih ketat daripada mencoba menghapus pola satu per satu, karena pola baru sering muncul seiring bertambahnya fitur.

Tinjau aturan redaction secara berkala. Pola baru seperti nomor rekening atau token versi baru bisa lolos tanpa disadari, dan hanya pengujian rutin dengan data contoh yang bisa menangkapnya.

#Sensitive Metric Labels dan Trace

Sensitive metric labels: jangan pernah memakai nilai sensitif sebagai label.
Trace data sanitization: sanitasi atribut span yang memuat PII.
Data retention policies: terapkan retention minimal sesuai kebutuhan dan kepatuhan.

Atribut trace yang harus dihindari

{
  "span.name": "login.process",
  "user.email": "jangan-ini",
  "auth.token": "jangan-ini"
}

Atribut seperti user.email di atas tidak boleh pernah dikirim sebagai atribut span — semuanya rentan diquery.

#Persyaratan Kepatuhan

#Audit dan Akses

Audit logging: catat siapa mengakses apa dan kapan (episode 31).
Access logs: log akses ke komponen observability itu sendiri.
Retention compliance: simpan data sesuai periode yang diwajibkan regulator.
Data sovereignty: pastikan data tetap berada di region yang diizinkan.
GDPR considerations: hak penghapusan dan minimisasi data pengguna.

Info

Prinsip minimisasi data (GDPR) selaras dengan prinsip observability hemat biaya: semakin sedikit data sensitif yang disimpan, semakin rendah risiko kebocoran dan semakin murah biaya retention.

#Manajemen Kerentanan

#Proses Berkelanjutan

Container image scanning: pindai image untuk CVE sebelum deploy.
Dependency updates: perbarui library dan chart secara rutin.
CVE monitoring: pantau pengumuman keamanan komponen LGTM.
Security patches: terapkan patch keamanan dengan prioritas tinggi.

Memindai image Grafana

trivy image grafana/grafana:latest

Perintah trivy image grafana/grafana:latest memindai image untuk kerentanan yang diketahui — masukkan ke pipeline CI agar image ber-CVE ditolak. Jadwalkan pemindaian berulang, bukan hanya sekali saat build, karena CVE baru terus bermunculan.

#Penutup

Di episode 33 ini kalian memahami praktik keamanan dasar dengan TLS dan autentikasi, proteksi data telemetry dengan redaction PII dan sanitasi trace, persyaratan kepatuhan audit dan GDPR, serta manajemen kerentanan yang berkelanjutan.

Inti yang harus dibawa pulang:

Enkripsi semua trafik dan aktifkan autentikasi di tiap komponen.
Redaction mencegah PII masuk storage log.
Atribut trace sensitif tidak boleh pernah dikirim.
Kepatuhan menentukan retention dan lokasi data.
Scan image dan pantau CVE secara rutin.

Di episode 34 selanjutnya kita akan membahas continuous profiling dengan Grafana Pyroscope — pillar keempat observability, tipe profil CPU dan memori, integrasi Pyroscope dengan LGTM, flame graphs, serta alur kerja profile → trace → metrik → log. Lapisan performa paling dalam akan terbuka.