Belajar System Administrator - Antivirus, EDR & Log Security
Menutup celah pengawasan keamanan: peran antivirus & EDR di server, pengumpulan audit log, dasar SIEM, dan penanganan insiden, lalu praktik setup logging & monitoring keamanan di lab.
#Pendahuluan
Hardening di episode 18 membuat server lebih sulit ditembus — tetapi tidak ada sistem yang kebal. Episode 19 membahas lapisan berikutnya: deteksi dan respons — bagaimana kalian melihat ketika sesuatu mulai terasa aneh, menyelidikinya, dan menanganinya sebelum menjadi bencana.
Analogi: hardening adalah kunci pintu yang kuat; deteksi adalah CCTV dan alarm. Kalian perlu keduanya. Episode ini membangun fondasi security operations: antivirus/EDR, audit log, SIEM dasar, dan alur penanganan insiden.
#Antivirus dan EDR di Server
Istilah yang sering tertukar, padahal berbeda level:
| Tool | Level | Cara Kerja |
|---|---|---|
| Antivirus (AV) | File-level | Deteksi malware dari signature & heuristik |
| EDR (Endpoint Detection & Response) | Behavior-level | Pantau aktivitas proses, kaitkan indikator, respons otomatis |
Di server Linux, antivirus klasik (mis. ClamAV) berperan untuk memindai file yang masuk — terutama server email/file-sharing. EDR (mis. Wazuh, CrowdStrike, SentinelOne) menganalisis perilaku di endpoint secara real-time.
sudo apt install -y clamav clamav-daemon
sudo freshclam
sudo clamscan -r /srv/upload --infectedNote
Di 2026, antivirus signature-only sudah tidak cukup — malware modern mengubah bentuknya. EDR yang menganalisis perilaku (proses berjalan, file dijalankan, koneksi keluar) adalah standar baru. Untuk lab, Wazuh adalah pilihan open source yang lengkap: deteksi + SIEM + respons dalam satu stack.
#Audit Log: Mencatat Apa yang Terjadi
Log keamanan menjawab: siapa yang melakukan apa, kapan, dari mana? Ini adalah bukti — untuk penyelidikan insiden dan untuk compliance (episode 20).
Di Linux, auditd mencatat aktivitas sistem (login, perubahan file, eksekusi perintah) secara rinci:
sudo apt install -y auditd
sudo systemctl enable --now auditd
sudo auditctl -w /etc/passwd -p wa -k user-account
sudo ausearch -k user-account --start today-w /etc/passwd— pantau file penting.ausearch -k— telusuri kejadian dengan kata kunci (key).
Di Windows, padanannya adalah Advanced Audit Policy dan Get-WinEvent:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 10
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 10- Event ID 4624 = login berhasil; 4625 = login gagal. Dua angka yang harus kalian hafal.
#SIEM Dasar: Log Terpusat + Pencarian
SIEM (Security Information and Event Management) memusatkan log dari semua sumber ke satu tempat, lalu menjadikannya bisa dicari, berkorelasi, dan di-alert. Dari episode 11, konsep "log harus terpusat" kini naik kelas ke ranah keamanan.
Stack open source yang paling dikenal: ELK (Elasticsearch, Logstash/Kibana) atau Wazuh (fork Open Source HIDS/SIEM). Alur umum:
Praktik dengan agent sederhana: kirim log ke satu server pusat via rsyslog — dasar dari setiap SIEM.
# Di server pusat
sudo systemctl status rsyslog
echo '$ModLoad imudp' | sudo tee -a /etc/rsyslog.conf
echo '$UDPServerRun 514' | sudo tee -a /etc/rsyslog.conf
sudo systemctl restart rsyslog# Di client, tambahkan ke /etc/rsyslog.d/50-remote.conf
echo '*.* @192.168.56.10:514' | sudo tee /etc/rsyslog.d/50-remote.conf
sudo systemctl restart rsyslogBegitu log mengalir ke satu tempat, pencarian dan korelasi jadi mungkin. Tanpa sentralisasi, penyelidikan insiden berubah menjadi "login ke 20 server dan berharap".
#Incident Response: Alur yang Jelas
Saat alarm berbunyi, kalian tidak boleh panik — kalian harus punya alur. Model klasik NIST 4-step:
- Preparation — runbook, kontak, tool yang siap (episode 25).
- Detection & Analysis — konfirmasi insiden, kumpulkan bukti dari log.
- Containment, Eradication & Recovery — isolasi, bersihkan, pulihkan dari backup.
- Post-incident — pelajari, perbaiki, dokumentasikan.
Aturan emas penanganan insiden: jangan langsung menyalakan ulang server yang terkompromi — itu memusnahkan bukti. Kumpulkan data dulu, isolasi, baru bersihkan.
Important
Dua kebiasaan yang menentukan: log terpusat (tanpa ini kalian buta saat insiden) dan alur respons yang tertulis (tanpa ini kalian panik saat insiden). Keduanya murah untuk dibangun, tetapi mahal untuk ditebus ketiadaannya.
#Praktik: Setup Logging & Monitoring Keamanan
Latihan terpadu:
# 1. Aktifkan auditd & aturan pantau file penting
sudo apt install -y auditd
sudo auditctl -w /etc/passwd -p wa -k user-account
# 2. Kirim log ke server pusat (rsyslog)
# 3. Scan malware dasar
sudo freshclam && sudo clamscan -r /srv/upload --infected
# 4. Uji deteksi: coba login gagal, lalu telusuri
ssh invalid@192.168.56.10 2>/dev/null; sleep 2
sudo ausearch -m USER_LOGIN --start recent | head -20
# 5. Lihat hasil auditd
sudo ausearch -k user-account --start todayJika ausearch menampilkan percobaan login dan perubahan file yang kalian catat, sistem audit kalian bekerja — dan kalian baru saja melihat peristiwa keamanan dari sisi bukti, bukan dari sisi gejala.
Tip
Coba "serang" lab kalian sendiri secara rutin: percobaan login gagal, file dicuri, service dimatikan. Kemudian lihat apakah log kalian menangkapnya. Jika tidak — perbaiki sampai tertangkap. Melatih deteksi di lab adalah satu-satunya cara agar deteksi benar-benar berfungsi saat dibutuhkan.
#Penutup
Inti yang harus dibawa pulang dari episode 19:
- Antivirus = signature file-level; EDR = behavior-level. 2026 membutuhkan yang kedua.
- Audit log (auditd / Windows Advanced Audit) adalah bukti insiden — hafal Event ID 4624/4625.
- SIEM memusatkan log & korelasi; mulai dari rsyslog lalu naik ke Wazuh/ELK.
- Incident response: NIST 4-step — dan jangan reboot server yang terkompromi sebelum mengumpulkan bukti.
Di episode 20 selanjutnya kita akan membahas Backup Security & Compliance — enkripsi backup, retention policy, dan compliance checklist, dengan praktik membuat backup yang aman dan patuh aturan. Backup yang aman adalah backup yang tidak bisa dibaca orang lain!