Belajar Security Analyst - SIEM Fundamentals

#Pendahuluan

Setelah di episode 3 kita memahami log sources dan pipeline telemetry, pada episode ini kita dalami SIEM — platform sentral yang mengumpulkan, menganalisis, dan memvisualisasikan log dari seluruh infrastruktur. SIEM adalah pusat gravitasi SOC: semua alert, dashboard, dan investigasi berangkat dari sini.

Mengapa SIEM begitu penting? Karena log dari ratusan sumber tidak mungkin dibaca manual. SIEM mengubah lautan data mentah menjadi alert yang bisa ditindaklanjuti, dashboard yang memberikan visibilitas real-time, dan query yang memungkinkan investigasi forensik.

#Arsitektur SIEM

100%

Komponen	Fungsi
Agents/Forwarders	Mengumpulkan log dari source
Ingester	Menerima dan memproses data masuk
Parser/Normalizer	Mengekstrak field, standarisasi format
Indexer	Menyimpan data untuk query cepat
Search Engine	Query data dengan bahasa khusus
Alert Engine	Membandung rules terhadap data real-time
Dashboard	Visualisasi data dan metrik

#Membandingkan SIEM

#Wazuh

Wazuh adalah SIEM open-source yang sudah lengkap dengan XDR built-in. Gratis penuh, cocok untuk organisasi yang ingin kontrol penuh.

Fitur	Detail
License	Open-source (Apache 2.0)
Query language	Wazuh Query Language (WQL)
Dashboard	Web-based (Kibana-based)
XDR	Built-in

#Splunk

Splunk adalah SIEM paling populer di industri. Powerful tapi mahal untuk volume data besar.

Fitur	Detail
License	Commercial (free trial 15GB/hari)
Query language	SPL (Search Processing Language)
Dashboard	Splunk Web
Ekosistem	Paling besar, banyak integrasi

#Elastic SIEM

Elastic SIEM dibangun di atas ELK Stack — fleksibel dan scalable.

Fitur	Detail
License	Open-source core (SSPL/Elastic License)
Query language	KQL (Kibana Query Language) / EQL
Dashboard	Kibana
Integrasi	Terintegrasi ELK Stack

#Query Dasar SIEM

#Wazuh Query Language

Contoh query Wazuh

# Cari semua alert severity 10 (critical)
rule.level >= 10
 
# Cari failed login dari IP spesifik
data.srcip = "192.168.1.100" AND rule.id = "5712"
 
# Cari process creation dengan command mencurigakan
data.win.eventdata.commandLine LIKE "*powershell*encoded*"

#Splunk Processing Language

Contoh query Splunk

index=security sourcetype=WinEventLog:EventCode=4625
| stats count by src_ip, target_user
| where count > 10
| sort -count

#Kibana Query Language

Contoh query KQL di Elastic

event.code: "4625" and source.ip: *
| stats count by source.ip, user.name
| order by count desc

#Membangun Dashboard

Dashboard SIEM harus memberikan visibilitas real-time ke kesehatan keamanan. Beberapa widget penting:

Widget	Data Ditampilkan
Alert by Severity	Distribusi alert kritis vs low
Failed Login Trend	Pola brute force dari waktu ke waktu
Top Source IPs	IP dengan volume alert tertinggi
Geographic Map	Lokasi geografis serangan
Active Incidents	Insiden yang sedang ditangani

Tip

Mulai dengan dashboard sederhana: 3-5 widget yang menampilkan data paling relevan. Jangan terjebak membuat dashboard rumit yang tidak dibaca. Dashboard yang efektif adalah yang bisa dipahami dalam 10 detik pertama.

#Alert Rules

Alert rules adalah kondisi otomatis yang memicu notifikasi saat pola tertentu terdeteksi.

#Contoh Rule: Brute Force Detection

Contoh rule Wazuh (disederhanakan)

- id: 100001
  level: 10
  description: "Deteksi brute force - lebih dari 10 failed login dalam 5 menit"
  frequency: 10
  timeframe: 300
  rule:
    match:
      - "Failed password"
    regex: "Failed password for (.+?) from ([\\d.]+)"
  alert:
    email: soc@company.com

Note

Rule yang terlalu sensitif menghasilkan ribuan false positive — SOC akan tenggelam. Rule yang terlalu longgar melewatkan serangan nyata. Kuncinya adalah tuning berkelanjutan: mulai sensitif, lalu longgar berdasarkan data real-world.

#Penutup

Inti yang harus dibawa pulang:

SIEM adalah pusat gravitasi SOC — mengumpulkan, menganalisis, dan memvisualisasikan log.
Wazuh (gratis), Splunk (populer), Elastic (fleksibel) adalah tiga pilihan utama.
Query language berbeda per SIEM tapi prinsipnya sama: filter, agregasi, sort.
Dashboard sederhana lebih berguna dari dashboard rumit.
Alert rules membutuhkan tuning berkelanjutan untuk mengurangi false positive.

Di episode 5 selanjutnya kita akan membahas detection engineering dasar — bagaimana menulis Sigma rules, membangun correlation rules, dan membuat detection logic yang efektif. Ini adalah keterampilan inti yang membedakan analyst dari detektor.