Banyak organisasi menjadikan Microsoft Sentinel sebagai fondasi Security Operations Center (SOC) karena integrasinya yang erat dengan ekosistem Microsoft, kemampuan SIEM dan SOAR cloud-native, serta dukungan terhadap berbagai sumber data keamanan. Namun seiring bertambahnya volume log, kompleksitas serangan, dan penggunaan AI serta otomatisasi, banyak tim keamanan mulai mencari cara untuk meningkatkan efektivitas Sentinel tanpa harus menggantinya.
Menurut Exabeam, pendekatan yang semakin umum adalah augmenting Sentinel, yaitu menambahkan lapisan behavioral analytics, investigasi berbasis konteks, risk scoring, dan otomatisasi yang lebih mendalam melalui platform New-Scale Analytics. Tujuannya bukan mengganti investasi yang sudah ada, tetapi memperluas kemampuan deteksi dan investigasi agar SOC dapat bekerja lebih efisien.
Mengapa SOC Modern Membutuhkan Lebih dari SIEM Tradisional?
Lingkungan TI saat ini jauh lebih kompleks dibandingkan beberapa tahun lalu.
Tim keamanan harus mengelola:
-
Cloud dan hybrid infrastructure
-
SaaS applications
-
Endpoint modern
-
AI Agent dan automation platform
-
Identitas manusia dan non-manusia (NHI)
Dalam kondisi tersebut, banyak serangan tidak lagi muncul sebagai satu alert yang jelas, melainkan sebagai rangkaian aktivitas kecil yang tersebar di berbagai sistem. Hal inilah yang mendorong kebutuhan terhadap behavioral analytics dan investigasi berbasis konteks.
1. Membutuhkan Deteksi Risiko Lebih Awal daripada Rule-Based Detection
Salah satu keterbatasan pendekatan SIEM tradisional adalah ketergantungan pada:
-
Correlation rule
-
Scheduled query
-
Known IOC
-
Signature detection
Metode ini sering kali efektif ketika ancaman sudah cukup jelas terlihat.
Namun ancaman modern seperti:
-
Insider threat
-
Credential abuse
-
Privilege misuse
-
AI Agent misuse
sering berkembang secara perlahan sebelum menghasilkan alert yang signifikan. Behavioral analytics membantu mengidentifikasi pola yang tidak biasa sebelum insiden berkembang menjadi pelanggaran keamanan yang serius. Exabeam menyoroti penggunaan dynamic risk scoring untuk memprioritaskan aktivitas yang menunjukkan tanda-tanda penyalahgunaan sejak dini.
Perbandingan Pendekatan
| Pendekatan Tradisional | Behavioral Analytics |
|---|---|
| Berbasis aturan | Berbasis perilaku |
| Fokus pada event | Fokus pada pola |
| Reaktif | Lebih proaktif |
| Alert-driven | Risk-driven |
| Ancaman terlihat jelas | Ancaman tersembunyi |
2. Investigasi Terlalu Banyak Berpindah Antar Dashboard
Salah satu tantangan yang sering dihadapi analis SOC adalah proses investigasi yang mengharuskan mereka berpindah-pindah antara:
-
Query log
-
Dashboard
-
Incident view
-
Threat intelligence
-
Data source lain
Kondisi ini memperlambat proses investigasi dan meningkatkan risiko kehilangan konteks penting.
Exabeam menyatakan bahwa banyak tim Sentinel memperluas platform mereka dengan kemampuan investigasi yang menghubungkan aktivitas terkait dalam satu konteks sehingga analis dapat melihat perkembangan insiden secara lebih utuh tanpa melakukan korelasi manual yang kompleks.
Dampak terhadap SOC
| Tanpa Konteks Terpadu | Dengan Investigasi Terpadu |
|---|---|
| Banyak pivot manual | Konteks terhubung |
| Investigasi lebih lama | Investigasi lebih cepat |
| Risiko kehilangan bukti | Timeline lebih jelas |
| Bergantung pada analis senior | Lebih mudah untuk tim junior |
3. Serangan Modern Tidak Muncul Sebagai Satu Alert
Banyak serangan saat ini berlangsung melalui beberapa tahap:
-
Credential compromise
-
Lateral movement
-
Privilege escalation
-
Data access
-
Data exfiltration
Setiap aktivitas mungkin terlihat normal jika dianalisis secara terpisah.
Behavior-first analytics membantu menghubungkan berbagai aktivitas tersebut menjadi satu pola serangan yang lebih mudah dikenali. Hal ini menjadi semakin penting ketika organisasi mulai mengadopsi AI Agent dan otomatisasi dalam operasional mereka.
Tantangan Serangan Modern
| Karakteristik | Dampak |
|---|---|
| Multi-step attack | Sulit dikorelasikan |
| Aktivitas terlihat sah | Tidak memicu alert |
| Menggunakan akun valid | Sulit dideteksi |
| Melibatkan banyak sistem | Investigasi kompleks |
4. Keterbatasan Visibilitas di Luar Ekosistem Microsoft
Microsoft Sentinel memiliki integrasi yang sangat kuat dengan layanan Microsoft.
Namun banyak organisasi juga menggunakan:
-
CrowdStrike
-
Palo Alto Networks
-
Cisco
-
Okta
-
AWS
-
Google Cloud
-
Berbagai aplikasi SaaS
Ketika data keamanan tersebar di banyak platform, proses investigasi dapat menjadi lebih sulit jika sinyal-sinyal tersebut tidak dianalisis secara terpadu.
Exabeam menekankan pentingnya behavioral analytics yang dapat bekerja lintas berbagai sumber data sehingga aktivitas pengguna dan sistem dapat dianalisis dalam satu konteks yang konsisten.
Sumber Data yang Perlu Dikorelasikan
| Kategori | Contoh |
|---|---|
| Identity | Entra ID, Okta |
| Endpoint | Defender, CrowdStrike |
| Network | Firewall dan IDS |
| Cloud | Azure, AWS, GCP |
| SaaS | Salesforce, ServiceNow |
| Security Tools | EDR, NDR, CASB |
5. Ketergantungan pada Query Membatasi Produktivitas SOC
Banyak workflow Sentinel masih sangat bergantung pada kemampuan menulis query yang kompleks.
Akibatnya:
-
Investigasi bergantung pada analis tertentu.
-
Knowledge menjadi terpusat pada sedikit orang.
-
Beban kerja tidak terdistribusi dengan baik.
Exabeam menyebut bahwa kemampuan pencarian berbasis bahasa alami dan investigasi yang lebih terstruktur membantu memperluas kemampuan seluruh tim SOC, termasuk analis yang tidak memiliki keahlian query tingkat lanjut.
Tantangan Query-Centric SOC
| Masalah | Dampak |
|---|---|
| Query kompleks | Kurva belajar tinggi |
| Bergantung pakar | Bottleneck operasional |
| Investigasi lambat | MTTR meningkat |
| Sulit diskalakan | Efisiensi SOC menurun |
Perspektif Industri: Mengapa Banyak Organisasi Tidak Mengganti Sentinel?
Menariknya, banyak organisasi tidak memilih mengganti Sentinel sepenuhnya.
Pendekatan yang lebih umum adalah:
Microsoft Sentinel
+
Behavioral Analytics
+
Risk Scoring
+
Guided Investigation
+
Automation
Strategi ini memungkinkan organisasi mempertahankan investasi yang sudah ada sambil meningkatkan kemampuan deteksi dan respons. Exabeam menggambarkan pendekatan tersebut sebagai cara untuk memperluas cakupan dan efektivitas tanpa melakukan migrasi SIEM yang mahal dan kompleks.
Relevansi bagi Organisasi di Indonesia
Pendekatan ini sangat relevan bagi:
| Industri | Tantangan |
|---|---|
| Perbankan | Fraud dan insider threat |
| Telekomunikasi | Skala identitas yang besar |
| Pemerintahan | Perlindungan data publik |
| Energi | Infrastruktur kritikal |
| Kesehatan | Data pasien |
| Manufaktur | Integrasi IT dan OT |
Banyak organisasi Indonesia telah mengadopsi Microsoft 365, Azure, dan Sentinel. Namun semakin kompleksnya lingkungan hybrid cloud, SaaS, dan AI Agent membuat kebutuhan terhadap behavioral analytics dan investigasi berbasis konteks menjadi semakin penting.
Kesimpulan
Microsoft Sentinel tetap menjadi platform SIEM yang kuat, khususnya bagi organisasi yang banyak menggunakan ekosistem Microsoft. Namun meningkatnya kompleksitas ancaman modern, keterbatasan deteksi berbasis rule, kebutuhan visibilitas lintas platform, serta tekanan terhadap tim SOC membuat banyak organisasi memilih untuk melengkapinya dengan pendekatan behavioral analytics dan risk-based investigation.
Menurut Exabeam, lima alasan utama organisasi melakukan augmentasi terhadap Sentinel adalah kebutuhan untuk mendeteksi risiko lebih awal, mempercepat investigasi, mengidentifikasi serangan multi-tahap, memperluas visibilitas di luar data Microsoft, dan mengurangi ketergantungan pada query yang kompleks. Dengan pendekatan ini, SOC dapat lebih fokus pada pengurangan risiko dan respons terhadap ancaman daripada menghabiskan waktu untuk menghubungkan data secara manual.
Exabeam Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi Exabeam.
Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.