Log Monitoring

Pendahuluan

Log monitoring adalah proses pengumpulan, analisis, dan penyimpanan log dari berbagai sumber dalam infrastruktur TI untuk mendeteksi insiden keamanan, memenuhi kepatuhan, dan mendukung investigasi forensik. NIST SP 800-92, Guide to Computer Security Log Management, menetapkan kerangka kerja komprehensif untuk pengelolaan log yang efektif.

Centralized Logging

Centralized logging mengonsolidasikan log dari berbagai sumber ke satu lokasi terpusat. Tiga platform utama mendominasi ekosistem ini:

Rsyslog - Penerus syslogd tradisional yang menawarkan performa tinggi, dukungan TCP/SSL/TLS, dan kemampuan filtering berbasis properti. Rsyslog mampu memproses hingga satu juta pesan per detik dan mendukung output ke database, file, atau forward ke server lain.

Syslog-ng - Alternatif modular dengan fleksibilitas parsing tinggi. Syslog-ng unggul dalam memproses log dari berbagai format non-standar menggunakan parser khusus, dan mendukung transportasi encrypted via TLS.

Syslog Protocol - Protokol standar (RFC 5424) yang mendefinisikan format pesan log dengan field: PRI (facility + severity), TIMESTAMP, HOSTNAME, APP-NAME, PROCID, MSGID, dan STRUCTURED-DATA. Protokol ini berjalan di UDP port 514 atau TCP port 6514 untuk syslog over TLS.

Log Formats

Pemahaman format log sangat penting untuk parsing dan analisis yang efektif:

• Syslog RFC 5424 - Format terstruktur dengan header yang jelas, mendukung data terstruktur dalam pasangan key-value. Contoh: <34>1 2025-07-21T10:00:00Z server01 sshd 1234 - [timeQuality tzKnown="1"] Failed password for root

• JSON - Format modern yang mudah diintegrasikan dengan tools seperti Elasticsearch dan Logstash. Setiap log entry adalah objek JSON dengan field seperti @timestamp, host, message, level.

• CEF (Common Event Format) - Format ArcSight dengan prefix CEF:0|Vendor|Product|Version|SignatureID|Name|Severity|extension. Banyak digunakan oleh SIEM dan perangkat keamanan.

• LEEF (Log Event Extended Format) - Format IBM QRadar dengan prefix LEEF:1.0|Vendor|Product|Version|EventID|Delimiter|key=value.

Log Sources

Log bersumber dari berbagai komponen infrastruktur:

1. Server - Sistem operasi (Linux: /var/log/auth.log, secure; Windows: Event Log - Security, System, Application)
2. Firewall - Log koneksi, aturan yang dilanggar, traffic blocked
3. IDS/IPS - Alert deteksi intrusi, signature matches, anomaly scores
4. Aplikasi - Web server (Apache/Nginx access & error log), database query log, aplikasi kustom

Log Retention dan Integrity

Log retention ditentukan oleh kebutuhan kepatuhan dan kapasitas penyimpanan. Standar umum: minimum 90 hari (PCI DSS), 1 tahun (HIPAA), atau 3-7 tahun (SOX). Strategi penyimpanan meliputi rotasi log (logrotate), kompresi, dan tiering ke cold storage.

Log integrity memastikan log tidak dimodifikasi setelah ditulis. Pendekatan meliputi:

• WORM storage - Write Once, Read Many
• Digital signature - Menandatangani setiap log dengan kriptografi
• Log hashing - Menyimpan hash berkala untuk deteksi perubahan
• Syslog over TLS - Menjamin integritas selama transmisi

NIST SP 800-92

Panduan NIST SP 800-92 merekomendasikan siklus log management yang terdiri dari:

1. Policies & Procedures - Kebijakan logging yang terdokumentasi
2. Infrastructure Planning - Arsitektur centralized logging
3. Log Generation & Collection - Log dari semua sumber kritis
4. Log Storage & Disposal - Retensi dan penghapusan aman
5. Log Analysis & Monitoring - Review berkala dan alert real-time

Implementasi log monitoring yang matang bukan sekadar pengumpulan data, melainkan fondasi deteksi dini dan respons insiden yang efektif.