Security Monitoring Bukan Sekadar Mencari Virus

Anggapan yang Terlalu Sempit

Ketika membicarakan keamanan, pikiran pertama biasanya menuju virus dan program jahat. Anggapan ini wajar, karena ancaman jenis itu paling sering diberitakan. Namun menyamakan seluruh keamanan dengan pencarian virus membuat perusahaan melewatkan sebagian besar risiko yang sebenarnya mengancam.

Security monitoring tidak bertanya semata apakah ada program jahat di komputer. Ia bertanya apa yang sedang terjadi di dalamnya, dan apakah hal itu sesuai dengan yang seharusnya.

Apa yang Sebenarnya Dicari Security Monitoring

Sasaran utama monitoring adalah perilaku dan pergerakan, bukan sekadar keberadaan sesuatu. Ia memperhatikan bagaimana perangkat digunakan, program apa yang dijalankan, koneksi apa yang dibuka, dan berapa banyak data yang berpindah.

Dengan sudut pandang ini, monitoring mampu menjawab pertanyaan yang tidak terjawab oleh pemindaian biasa: siapa membuka berkas sensitif tadi malam, ke arah mana data mengalir, dan apakah ada pola yang menyimpang dari kebiasaan. Jawaban-jawaban itu yang menjadi dasar tindakan.

Mengapa Banyak Insiden Tidak Melibatkan Virus

Data bisa hilang tanpa malware. Seorang karyawan menyalin basis data ke media penyimpanan pribadi, mengunggah dokumen rahasia ke penyimpanan awan, atau mengirim berkas ke surel pribadi. Dari sudut pandang pemindaian virus, semua itu bersih, sebab tidak ada berkas jahat yang terlibat.

Kerugiannya tetap sama nyata. Inilah alasan mengapa banyak kebocoran justru terjadi melalui jalur yang sah secara teknis: karena yang berbahaya bukan alatnya, melainkan perpindahan datanya.

Jenis Sinyal yang Dianalisis

Beberapa sinyal yang lazim menjadi perhatian:

• Kemunculan program baru, terutama yang dijalankan dari lokasi tidak biasa.
• Koneksi keluar ke alamat atau domain yang belum pernah terlihat.
• Volume data yang dibaca atau dikirim dalam jumlah besar.
• Pemakaian perangkat penyimpanan asing yang dicolok ke komputer.
• Penyalinan besar ke papan klip atau tangkapan layar yang beruntun.

Tidak satu pun dari sinyal ini menyiratkan malware secara otomatis, tetapi semua berkaitan dengan risiko kehilangan data.

Membedakan Mencari Ancaman dan Memahami Aktivitas

Mencari ancaman bersifat biner: ada atau tidak ada. Memahami aktivitas bersifat kontekstual: wajar atau menyimpang, sesuai atau tidak. Pendekatan kedua jauh lebih kaya, karena mampu menangkap bahaya yang tidak berbentuk berkas jahat.

Keduanya tidak saling meniadakan. Pemindaian tetap berguna untuk ancaman klasik, sementara monitoring memahami aktivitas melengkapi gambaran yang lebih luas. Dijalankan bersama, keduanya memberi perlindungan yang lebih utuh.

Kesadaran Situasional atas Data

Pada akhirnya, security monitoring adalah bentuk kesadaran situasional. Ia memastikan perusahaan tahu apa yang sedang terjadi pada datanya, kapan pun, di perangkat mana pun. Tanpa kesadaran itu, keamanan hanya berjalan berdasarkan asumsi, dan asumsi adalah tempat favorit bagi kejutan yang tidak menyenangkan.

Kesalahan Umum yang Membuat Monitoring Kurang Berguna

Memasang perangkat pemantauan saja tidak otomatis membuat perusahaan lebih terlindungi. Ada sejumlah kesalahan yang lazim terjadi dan membuat nilai monitoring menyusut jauh dari harapan.

Kesalahan pertama adalah menilai keberhasilan dari banyaknya peringatan. Jumlah peringatan yang tinggi sering dianggap tanda sistem bekerja keras, padahal bisa berarti ambang batas terlalu longgar. Peringatan yang menumpuk tanpa ditindaklanjuti tidak lebih baik daripada tidak ada peringatan sama sekali.

Kesalahan kedua adalah tidak memiliki gambaran dasar tentang perilaku normal. Tanpa mengetahui bagaimana aktivitas wajar berlangsung di sebuah divisi, sulit membedakan penyimpangan yang sungguh berbahaya dari sesuatu yang rutin. Gambaran dasar inilah yang membuat penyimpangan terlihat; tanpanya, semua aktivitas tampak setara.

Kesalahan ketiga adalah memantau hanya sebagian perangkat. Celah visibilitas justru menjadi jalur favorit, sebab baik penyerang maupun orang dalam cenderung bergerak melalui titik yang paling sedikit diamati.

• Akun lama yang tidak terpakai dibiarkan tanpa pengawasan, padahal aktivitasnya jarang diperhatikan.
• Sinyal dari proses, jaringan, dan data tidak disatukan, sehingga kaitan antarkeanehan tidak pernah terbaca.
• Kejadian direkam tetapi tidak pernah ditinjau, sehingga catatan hanya menumpuk tanpa menjadi pemahaman.
• Perbaikan aturan menunggu insiden besar, bukan dilakukan secara berkala.

Kesalahan lain yang kerap terlewat adalah membiarkan konfigurasi pemantauan membusuk. Perangkat baru ditambahkan tanpa aturan yang setara, folder sensitif berpindah tanpa diperbarui, dan pergantian tim membawa pemahaman yang berbeda pula. Tanpa peninjauan rutin, cakupan pemantauan menyusut pelan-pelan tanpa disadari.

Cara paling praktis mengukur keberhasilan adalah memeriksa apakah pertanyaan konkret dapat dijawab cepat: siapa membuka berkas tertentu pekan lalu, ke mana data mengalir, dan sejak kapan aktivitas itu berlangsung. Bila jawabannya menuntut berhari-hari penelusuran manual, monitoring belum bekerja sebagaimana mestinya.

Satu kebiasaan yang membantu adalah menuliskan lebih dulu pertanyaan yang ingin dijawab, sebelum memasang apa pun. Dengan daftar pertanyaan itu, perusahaan dapat memeriksa apakah sinyal yang dikumpulkan benar-benar relevan, bukan sekadar mudah diukur.

Perlu juga disadari bahwa monitoring yang baik menuntut pemilik, bukan sekadar alat. Tanpa seseorang yang bertanggung jawab meninjau dan menyempurnakan aturan, sistem terbaik sekalipun perlahan kehilangan ketajamannya. Meninjau hasil secara rutin, sekecil apa pun, menjaga pemantauan tetap selaras dengan cara kerja yang terus berubah.

Terakhir, jangan menunda tindak lanjut. Menemukan sesuatu yang mencurigakan lalu membiarkannya tanpa pemeriksaan sama saja menyerahkan keputusan kepada keberuntungan, dan keberuntungan bukanlah strategi keamanan. Nilai sebuah sistem monitoring tidak diukur dari seberapa canggih ia, melainkan dari seberapa cepat perusahaan dapat menjawab pertanyaan penting tentang datanya ketika ditanya.