SIEM: Keamanan, MANAJEMEN Insiden DAN Peristiwa, bukan Pemantauan!

Sayangnya, TI tidaklah sempurna; tidak ada apa pun di dunia kita yang bisa terjadi. Yang memperparah kegagalan dan kelemahan yang tak terhindarkan dalam sistem apa pun yang dirancang oleh makhluk yang bisa salah, adalah mereka yang mempunyai niat jahat atau curang yang mencari kelemahan sistem yang bisa dieksploitasi. Akibatnya, TI dan bisnis, perusahaan, dan pengguna yang bergantung pada operasi yang andal tidak asing dengan gangguan, masalah, bahkan pelepasan data dan informasi yang memalukan, bahkan merusak. Pemaparan baru-baru ini atas kata sandi ratusan ribu Yahoo! dan pengguna Formspring hanyalah dua dari kejadian publik terkini yang mengingatkan kita akan risiko dan kelemahan yang masih ada dalam sistem penyedia layanan paling canggih sekalipun.

Solusi atau perancang sistem yang bijaksana, atau mungkin lebih tepat, berpengalaman mengenali risiko upaya akses tidak sah ke file dan data. Untuk menggagalkan serangan tersebut dan meminimalkan dampaknya, mereka akan merancang dan menerapkan berbagai strategi anti-gagal dan mekanisme perlindungan taktis sebagai bagian dari taktik perancangan yang baik. Masalah keamanan menjadi perhatian utama dan menjadi penghalang dalam penggunaan banyak teknologi (cloud di semua modelnya merupakan contoh utama) dan strategi implementasi, seperti layanan outsourcing.

Salah satu alasan hadirnya solusi seperti produk SIEM adalah sebagai bagian dari respon operasional terhadap risiko kegagalan perlindungan data dan informasi. Dalam implementasi terbaik, mereka digunakan sebagai bagian dari proses loop tertutup. Proses dasar akan mencakup pemantauan untuk mendeteksi perilaku mencurigakan atau anomali yang menandai upaya intrusi dan mengungkapkan pola prosedur yang mencurigakan (misalnya kegagalan kata sandi yang berulang). Setelah identifikasi dan verifikasi, mereka biasanya memicu alarm peristiwa dan melaporkan kepada pihak yang bertanggung jawab. Individu yang diberitahu dapat menerima dan menindaklanjuti pemberitahuan tersebut. Alternatifnya, mereka dapat melakukan pemeriksaan sendiri untuk memastikan alarm tersebut valid. Mereka kemudian akan menentukan tindakan perbaikan apa, jika ada, yang diperlukan dan memulai tindakan tersebut. Beberapa instalasi diatur untuk secara otomatis memicu tindakan perbaikan (seperti mengisolasi sistem atau port) secara paralel dengan notifikasi. Namun, pengalaman menunjukkan bahwa definisi proses tersebut saja tidak menjamin perlindungan dan pengurangan risiko.

Faktanya, tinjauan terhadap proses yang gagal yang mengakibatkan kebocoran data besar-besaran di penyedia layanan memberikan indikasi bagaimana sistem yang dirancang terbaik bisa gagal. Perusahaan telah menerapkan proses yang mencakup semua aktivitas yang tepat, serta rangkaian peninjauan dan tindakan yang wajar untuk diambil sebagai respons terhadap peringatan terhadap upaya penyusupan atau serangan. Sayangnya, mereka tidak memiliki proses untuk mengawasi proses tersebut dan memastikan bahwa seseorang meninjau pemberitahuan kejadian mencurigakan setelah dikirimkan. Jika pemberitahuan tiba di luar jam kerja, atau hilang, tidak ada verifikasi penerimaan atau ketentuan untuk memeriksa verifikasi tindak lanjut. Bencana yang diakibatkannya tidak bisa dihindari.

Ingatlah ketika mengevaluasi layanan data internal dan eksternal bahwa jaminan kontrak, audit kepatuhan, pengujian kode, dan peninjauan gagal 100% efektif untuk mencegah paparan, intrusi, atau kebocoran data. Tidak ada solusi yang 100% aman dari kegagalan; solusi yang bisa diterapkan harus dipandang sebagai solusi yang mengurangi risiko ke tingkat yang dapat diterima.

Solusi yang efektif harus mencakup proses pemeliharaan, peninjauan, dan pengujian validasi yang berkelanjutan untuk memastikan bahwa solusi tersebut berfungsi dengan benar, tetap relevan, dan fokus pada permasalahan yang sesuai. Asumsi harus didokumentasikan, ditinjau dan diuji untuk memastikan kesesuaiannya dengan kenyataan. Batasan, titik perjalanan dan batas ambang batas perlu ditinjau ulang. Hal ini berlaku terutama untuk analisis yang dirancang untuk menyesuaikan secara otomatis dengan keadaan untuk memastikan analisis tersebut tidak ‘melayang’ dari nilai-nilai kritis.

Solusi SIEM tersedia dalam berbagai macam kombinasi layanan. Solusi tipikal mencakup fungsionalitas yang diperlukan untuk manajemen peristiwa, manajemen informasi, dan analisis perilaku jaringan. Hal ini memungkinkan mereka membangun pandangan komprehensif tentang apa yang terjadi berdasarkan kombinasi data real-time dan informasi log peristiwa. Terdapat banyak opsi tambahan bagi mereka yang memiliki permasalahan dan kebutuhan pengelolaan yang lebih komprehensif. Fungsionalitas tambahan yang sering diinginkan mencakup analisis risiko, manajemen kerentanan, kontrol keamanan, seperti integrasi dengan manajemen identitas dan akses. Praktik terbaik dalam tata kelola perusahaan telah meningkatkan kemampuan pemantauan dan manajemen kepatuhan, termasuk kemampuan untuk menilai dan membuat laporan kepatuhan menjadi perluasan yang penting.

Terakhir, setiap proses produksi memerlukan pemeliharaan dan peninjauan berkala agar tetap efektif. Alur komunikasi dan pelaporan harus diverifikasi untuk memastikan tidak hanya bahwa informasi dan peringatan diterima, namun juga dipantau dan ditinjau secara teratur dan tepat waktu. Ada godaan untuk berasumsi bahwa solusi akan selesai berdasarkan fungsionalitas saja. Kini sudah jelas bahwa sistem perlindungan data yang sukses memerlukan kombinasi fungsi solusi, proses, dan manajemen yang secara efektif mengurangi dan mempertahankan risiko pelanggaran ke tingkat yang dapat diterima oleh layanan dan kebutuhan perusahaan.

[1] http://www.bbc.co.uk/news/technology-18811300