SOC Tidak Bisa Mendeteksi Sesuatu yang Tidak Pernah Dipelajari

Sebuah security alert muncul. Analyst membukanya, memeriksa aktivitas di sekitarnya lalu mulai menyusun apa yang sebenarnya terjadi.

Kelihatannya seperti awal pekerjaan detection.

Padahal banyak pekerjaan sudah dilakukan sebelumnya. Seseorang menentukan event apa yang perlu dicatat, mengonfigurasi sistem untuk menghasilkan log, mengumpulkannya secara terpusat lalu memastikan data tersebut memiliki detail yang cukup untuk investigasi.

Kalau tahap itu buruk, analyst yang sangat bagus sekalipun memulai investigasi dengan beberapa halaman yang hilang.

Latihan cybersecurity ITU di Dushanbe memberikan contoh yang menarik. Dalam program tiga hari pada 21 sampai 23 September 2026, peserta harus mengonfigurasi centralized monitoring dan telemetry collection sebelum menghadapi simulasi ransomware, data exfiltration, server compromise dan command and control traffic. Ada satu aturan yang membuat latihannya lebih realistis: keberhasilan peserta menghadapi serangan pada hari ketiga bergantung pada kualitas monitoring yang mereka bangun sendiri pada hari kedua.

Model seperti ini layak dibawa ke pelatihan SOC.

Visibility Juga Sebuah Skill

Pengembangan SOC sering berfokus pada bagian pekerjaan yang mudah terlihat: menganalisis alert, threat hunting dan incident response.

Semua kemampuan itu bergantung pada sesuatu yang jauh lebih sederhana.

Log-nya harus ada.

CISA menjelaskan logging dan monitoring sebagai dua aktivitas yang saling berhubungan. Logging merekam aktivitas seperti authentication, file access dan perubahan sistem. Monitoring menggunakan catatan tersebut untuk mencari perilaku mencurigakan. Panduannya menyarankan pengumpulan event yang relevan dari server, firewall, endpoint dan cloud service kemudian memusatkannya agar aktivitas abnormal lebih mudah ditemukan.

Karena itu, kesiapan SOC juga membutuhkan kemampuan untuk:

• Menentukan security event yang perlu dikumpulkan
• Memahami telemetry dari endpoint, network, aplikasi dan cloud
• Mengonfigurasi centralized event collection
• Menemukan area yang masih menjadi blind spot
• Membuat alert yang berguna tanpa menghasilkan noise terus menerus
• Menyimpan context yang cukup untuk threat hunting dan investigasi

Mengumpulkan semuanya tidak otomatis berarti kita bisa melihat semuanya.

Gudang penuh log tetap bisa sangat tidak membantu.

Bangun Detection Sebelum Menguji Defender

Metodologi latihan ITU membalik pola training yang cukup umum.

Peserta tidak langsung menerima environment yang seluruh monitoring-nya sudah siap lalu diminta mencari attacker. Mereka harus membangun sebagian visibility tersebut sendiri.

Pendekatan yang sama bisa digunakan dalam latihan SOC.

Berikan enterprise environment dengan logging yang belum lengkap. Peserta harus menentukan event mana yang dibutuhkan lalu mengatur collection. Setelah itu, baru jalankan simulated intrusion.

Kalau attacker bergerak melalui bagian sistem yang lupa dimonitor, blind spot tersebut menjadi bagian dari pelajaran.

Kalau peserta mengumpulkan terlalu banyak data yang tidak relevan sampai signal penting tenggelam, masalahnya juga langsung terlihat.

Latihan akhirnya menguji engineering judgment sekaligus kemampuan analisis.

SOC Membutuhkan Dua Sisi Kemampuan

Bagi workforce planning, implikasinya cukup praktis. Organisasi membutuhkan analyst yang mampu menginvestigasi aktivitas mencurigakan. Namun kemampuan SOC yang matang juga membutuhkan orang yang memahami telemetry di balik detection.

Skill tersebut dapat berada di SOC engineering, security operations, cloud security, network security maupun incident response. Nama jabatannya tidak terlalu menentukan selama kemampuan itu tersedia.

Lingkungan praktis seperti cyber range dapat menghubungkan keduanya. Di ITSEC Cyber & AI Academy, peserta dapat bekerja dengan infrastructure dan skenario cybersecurity yang realistis sehingga keputusan konfigurasi mereka memengaruhi apa yang nantinya bisa dideteksi dan diinvestigasi.

Analyst terbaik sekalipun tidak bisa menginvestigasi evidence yang tidak pernah dikumpulkan.

Kadang kesiapan SOC memang dimulai satu hari sebelum serangannya datang.

Pelajari program cybersecurity dan AI berbasis praktik di ITSEC Cyber & AI Academy.

Referensi: ITU National Cybersecurity Exercises, 21–23 September 2026 · CISA: Use Logging on Business Systems · ITU CyberDrills