Event Correlation dalam SIEM

Definisi

Event Correlation adalah proses menganalisis dan menghubungkan berbagai peristiwa keamanan (security events) dari sumber yang berbeda untuk mengidentifikasi pola ancaman yang tidak terlihat jika setiap peristiwa dianalisis secara terpisah. Korelasi merupakan inti dari fungsionalitas SIEM yang membedakannya dari log management biasa.

Metode Korelasi

1. Rule-Based Correlation

Metode paling umum dan mudah dipahami. Aturan korelasi ditulis secara eksplisit oleh analis keamanan menggunakan kondisi logika: "Jika A terjadi, kemudian B dalam waktu N menit, maka hasilkan alarm C".

Contoh:

Jika ada 5 gagal login dari IP yang sama dalam 10 menit → Alarm: Brute Force Attack

Keunggulan: mudah diimplementasikan, transparan, dan dapat disesuaikan. Kelemahan: tidak dapat mendeteksi ancaman yang tidak terdefinisi dalam aturan.

2. Statistical Correlation

Menggunakan metode statistik dan pembelajaran mesin untuk mendeteksi anomali. Sistem mempelajari baseline aktivitas normal dan menghasilkan alarm ketika terjadi penyimpangan signifikan.

Contoh:

• Lonjakan traffic keluar yang tidak biasa → kemungkinan data exfiltration.
• Login dari lokasi geografis yang tidak lazim pada jam yang tidak biasa.

3. Time-Based Correlation

Menghubungkan peristiwa berdasarkan urutan waktu. Metode ini sangat efektif untuk mendeteksi serangan multi-tahap seperti kill chain atau lateral movement.

Contoh:

[0 menit] User A login → [5 menit] User A melakukan privilege escalation → [10 menit] User A mengakses server database → [15 menit] Data diekspor dalam jumlah besar

Urutan waktu ini dapat dikorelasikan sebagai indikasi insider threat atau kompromi akun.

4. Aggregation

Penggabungan peristiwa serupa untuk mengurangi volume alarm dan menyoroti pola. Terdiri dari:

• Deduplication - Menghilangkan peristiwa identik yang berulang. Jika 100 kali percobaan login gagal dari IP yang sama, cukup satu event yang dicatat dengan counter.
• Threshold - Hanya menghasilkan alarm ketika jumlah peristiwa melampaui batas tertentu dalam periode waktu tertentu.

Correlation Rules

Aturan korelasi biasanya ditulis dalam format:

IF condition(s) 
  WITHIN time_window
  FROM source(s)
THEN action (alert / escalate / block)

Contoh aturan korelasi nyata:

• Brute Force Detection: >10 gagal login SSH dari IP eksternal dalam 5 menit.
• Lateral Movement: Login berhasil dari host internal A ke host internal B, diikuti eksekusi perintah mencurigakan dalam 60 detik.
• Malware Beaconing: Koneksi keluar ke IP yang dikenal sebagai C2 dalam interval reguler setiap 60 detik.

False Positive Reduction

False positive adalah alarm yang dihasilkan untuk peristiwa yang ternyata bukan ancaman. Strategi reduksi:

1. Tuning threshold - Menyesuaikan ambang batas berdasarkan lingkungan spesifik.
2. Whitelisting - Mengecualikan event dari sumber tepercaya (misalnya, scan keamanan internal).
3. Context enrichment - Menambahkan konteks (geolokasi, asset criticality, user role) untuk memvalidasi alarm.
4. Feedback loop - Analis menandai alarm sebagai false positive agar sistem belajar.

Alarm Flooding Prevention

Alarm flooding terjadi ketika volume alarm melampaui kemampuan tim keamanan untuk merespons. Pencegahannya meliputi:

• Deduplication otomatis seperti yang dijelaskan sebelumnya.
• Alert suppression - Menunda alarm hingga kondisi terpenuhi dalam jangka waktu tertentu.
• Prioritization - Memberi peringkat alarm berdasarkan tingkat keparahan (Critical, High, Medium, Low).
• Correlation chaining - Alarm baru hanya dihasilkan jika ada korelasi antar peristiwa yang sudah ada.

Use Cases

Deteksi Brute Force

Korelasi log authentication dari firewall, server SSH, dan aplikasi web. Jika terdapat puluhan percobaan login gagal dari IP eksternal dalam waktu singkat, sistem menghasilkan alarm brute force dan dapat memicu active response untuk memblokir IP tersebut.

Deteksi Lateral Movement

Setelah seorang attacker berhasil mengompromi satu endpoint, mereka akan mencoba bergerak ke sistem lain. Korelasi peristiwa seperti privilege escalation, koneksi internal yang tidak biasa, dan eksekusi remote command membantu mendeteksi pergerakan lateral sebelum attacker mencapai target bernilai tinggi.

Deteksi Data Exfiltration

Korelasi antara akses ke database sensitif, lonjakan traffic keluar, dan koneksi ke IP yang tidak dikenal dapat mengindikasikan upaya pencurian data.

Melalui kombinasi berbagai metode korelasi dan aturan yang dirancang dengan baik, SIEM dapat secara signifikan mengurangi waktu deteksi dan respons terhadap ancaman siber. Kunci keberhasilan terletak pada keseimbangan antara sensitivitas deteksi dan pengendalian false positive.