A09 - Security Logging and Monitoring Failures
Definisi
Security Logging and Monitoring Failures terjadi ketika aplikasi tidak memiliki mekanisme pencatatan (logging) dan pemantauan (monitoring) yang memadai untuk mendeteksi, merespons, atau menyelidiki insiden keamanan. Tanpa log yang cukup, attacker dapat bergerak bebas di dalam sistem tanpa terdeteksi.
OWASP mendefinisikan risiko ini sebagai:
"Kegagalan dalam membuat, menyimpan, dan memonitor log keamanan yang memungkinkan deteksi dini dan respons terhadap insiden keamanan."
Dampak
| Dampak | Penjelasan |
|---|---|
| Serangan tidak terdeteksi | Attacker bisa mengeksploitasi sistem tanpa ada alert atau notifikasi |
| Forensik tidak mungkin | Tidak ada jejak digital untuk investigasi pasca-insiden |
| Compliance violation | Banyak regulasi (PCI DSS, HIPAA, GDPR) mewajibkan logging dan monitoring |
| Response time lambat | Tanpa monitoring real-time, breach bisa berlangsung berbulan-bulan |
| Data breach meluas | Karena tidak terdeteksi, attacker punya waktu lama untuk mencuri data |
Contoh Skenario
Skenario 1: Login Bruteforce Tanpa Log
Seorang attacker melakukan bruteforce login ribuan kali. Aplikasi tidak mencatat failed login attempts. Tidak ada alert. Attacker akhirnya berhasil masuk setelah 24 jam menebak password. Tim keamanan tidak pernah tahu.
Skenario 2: Log Overwrite Tanpa Backup
Seorang attacker berhasil mendapatkan akses ke server. Langkah pertama: menghapus semua log sistem dan aplikasi. Tanpa backup log atau centralized logging, semua bukti hilang.
Skenario 3: Blind Injection
Attacker melakukan SQL injection. Karena tidak ada log query yang mencurigakan, serangan terus berlangsung selama berminggu-minggu tanpa sepengetahuan tim.
Eksploitasi Umum
- Blind Injection tanpa feedback - Query berbahaya tidak tercatat
- Log tampering - Attacker menghapus/mengubah log lokal
- Log flooding - Memenuhi storage log dengan request palsu agar log legitimate tertimpa
- Privilege escalation tanpa alert - User biasa naik ke admin tanpa tercatat
- Data exfiltration lambat - Mencuri data sedikit demi sedikit agar tidak terdeteksi alert threshold
Pencegahan
1. Log Semua Auth Events
- ✅ Login berhasil dan gagal
- ✅ Logout
- ✅ Password change
- ✅ Privilege escalation
- ✅ Account lockout
2. Centralized Logging
Gunakan sistem terpusat seperti ELK Stack (Elasticsearch, Logstash, Kibana) atau Grafana Loki:
Aplikasi → Logstash → Elasticsearch → Kibana Dashboard
Keuntungan:
- Log tidak bisa dihapus attacker dari satu server
- Aggregation dan correlation lebih mudah
- Retention dan backup terpusat
3. SIEM (Security Information and Event Management)
Integrasikan dengan SIEM seperti Wazuh, Splunk, atau ELK Security:
- Real-time alerting
- Correlation rules
- Threat intelligence integration
4. Log Retention
- Simpan log minimal 90 hari (standar minimum)
- Log critical (auth, admin actions): 1 tahun
- Backup log ke storage terpisah (S3, cold storage)
5. Alerting & Monitoring
Buat alert untuk event kritis:
- Multiple failed login (>5 dalam 5 menit)
- Akses ke endpoint admin di luar jam kerja
- Traffic spike mencurigakan
- Response code abnormal (banyak 403/500)
Audit Log Checklist
| Item | Status |
|---|---|
| Apakah semua auth events tercatat? | ☐ |
| Apakah ada centralized logging? | ☐ |
| Apakah log memiliki backup? | ☐ |
| Apakah ada alert untuk anomaly? | ☐ |
| Apakah log retention memenuhi compliance? | ☐ |
| Apakah akses ke sistem log sendiri tercatat? | ☐ |
| Apakah timestamp menggunakan UTC? | ☐ |
| Apakah log memiliki correlation ID? | ☐ |
CWE Terkait
- CWE-778: Insufficient Logging - tidak ada pencatatan event keamanan yang memadai
- CWE-223: Omission of Security-relevant Information - informasi penting keamanan tidak dicatat
- CWE-779: Logging of Excessive Data - logging data sensitif berlebihan (password, kredit card)
Lab Terkait
| Lab | Fokus |
|---|---|
| Ticket | Log analysis - menganalisis log aplikasi untuk mendeteksi serangan |
| Metasploitable | Auth log - memeriksa /var/log/auth.log untuk aktivitas mencurigakan |