Security Center:Manajemen log

Mengaktifkan manajemen log

Anda hanya dapat mengaktifkan fitur manajemen log dengan metode penagihan subscription atau pay-as-you-go. Untuk informasi lebih lanjut mengenai penagihan, lihat Deskripsi penagihan.

1. Login ke Security Center console.

2. Di panel navigasi sebelah kiri, pilih Detection and Response > Log Management. Di pojok kiri atas konsol, pilih wilayah tempat aset yang ingin dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

   Untuk pengguna yang telah membeli trafik ingestion log Agentic SOC secara subscription atau mengaktifkan pay-as-you-go untuk Agentic SOC, entri panel navigasi sebelah kiri berubah menjadi Agentic SOC > Log.

3. Pada halaman Log Management, klik Subscribe (Annual/Monthly) atau Activate Pay-as-you-go.

   Catatan

   Untuk pengguna yang telah membeli trafik ingestion log Agentic SOC secara subscription atau mengaktifkan pay-as-you-go untuk Agentic SOC, klik Enable Pay-as-you-go for Log Management di pojok kanan atas halaman saat ini, atau upgrade untuk membeli kapasitas penyimpanan log Agentic SOC. Untuk informasi lebih lanjut, lihat Upgrade atau downgrade.

   • Aktifkan mode subscription: Pada halaman pembelian, atur Purchase or Not untuk Agentic SOC ke Yes, pilih kapasitas penyimpanan log yang diperlukan, lalu klik Order Now untuk menyelesaikan pembayaran.

     Anda dapat membeli fitur Security Center lainnya sesuai kebutuhan. Untuk informasi lebih lanjut, lihat Panduan pembelian.

   • Aktifkan mode pay-as-you-go: Pada kotak dialog, baca aturan penagihan, pilih wilayah penyimpanan, lalu klik Activate and Authorize.

4. Setelah fitur diaktifkan, kembali ke halaman Log Management dan periksa apakah status layanan adalah Enabled. Data log akan mulai dikirimkan ke SLS dalam beberapa menit.

Menonaktifkan manajemen log

1. Login ke Security Center console.

2. Di panel navigasi sebelah kiri, pilih Agentic SOC > Log. Di pojok kiri atas konsol, pilih wilayah tempat aset yang ingin dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

3. Pada halaman Log Management, pastikan bahwa Log Usage adalah 0 GB.

   Jika penggunaan log bukan 0, klik Delete di pojok kanan atas halaman saat ini, tunggu hingga penggunaan log dikosongkan, lalu lanjutkan ke langkah berikutnya.

4. Anda dapat menonaktifkan fitur manajemen log dengan cara berikut.

   • Mode subscription

     • Metode 1: Downgrade

       1. Pada halaman Overview, klik Change Configuration > Downgrade untuk menuju halaman Downgrade.

       2. Pada tab Order Downgrade, atur Agentic SOC (Log Storage Capacity) di bagian Agentic SOC menjadi 0 GB.

       3. Baca dan pilih Perjanjian Layanan Security Center, lalu klik Order Now.

     • Metode 2: Batalkan langganan instans Security Center yang telah dibeli. Untuk informasi lebih lanjut, lihat Batalkan langganan subscription.

   • Mode pay-as-you-go: Pada halaman Overview di konsol Security Center, pada bagian Enable Pay-as-You-Go Service, matikan sakelar Log Management.

     Penting

     Setelah Anda menonaktifkan sakelar manajemen log, pengiriman log secara otomatis dinonaktifkan, dan Logstore yang bersangkutan dihapus. Data log yang dihapus tidak dapat dipulihkan. Kami menyarankan Anda berhati-hati.

Deskripsi untuk pengguna yang hanya membeli trafik ingestion log atau mengaktifkan pay-as-you-go untuk Agentic SOC

Jika Anda telah membeli trafik ingestion log Agentic SOC secara subscription atau mengaktifkan pay-as-you-go untuk Agentic SOC tetapi belum membeli kapasitas penyimpanan log, Anda dapat mengkueri beberapa log terstandarisasi pada halaman Log Management. Log yang didukung berasal dari kebijakan akses yang Standardization Method-nya adalah Scan Query.

Dalam skenario ini, log Security Center tidak dapat dikirimkan atau dilihat, dan log terstandarisasi dari kebijakan akses yang Standardization Method-nya adalah Real-time Consumption tidak dapat dikirimkan atau dilihat. Untuk informasi lebih lanjut mengenai fitur yang didukung oleh berbagai item penagihan, lihat Ikhtisar penagihan manajemen log.

Mengaktifkan pengiriman

Setelah Anda membeli kapasitas penyimpanan log, Agentic SOC secara default mengaktifkan pengiriman untuk semua tipe log Security Center. Jika Anda belum membeli layanan bernilai tambah yang sesuai, seperti perlindungan aplikasi atau deteksi file berbahaya, sakelar pengiriman untuk tipe log yang bersangkutan tetap dinonaktifkan.

Anda dapat mengklik Log Management Settings pada halaman Log Management untuk melihat dan mengonfigurasi status pengiriman setiap tipe log.

Pada halaman pengaturan manajemen log, area Basic Settings menampilkan wilayah pengiriman log sebagai China (Shanghai) dan bahasa pengiriman log sebagai Chinese. Di area Log Storage Management, pada tab Security Center Logs, tipe log host meliputi:

• Serangan brute-force (aegis-log-crack)

• Snapshot proses (aegis-snapshot-process)

• Permintaan DNS (aegis-log-dns-query)

• Snapshot akun (aegis-snapshot-host)

• Event client (aegis-log-client)

• Log login (aegis-log-login)

• Koneksi jaringan (aegis-log-network)

• Snapshot jaringan (aegis-snapshot-port)

• Startup proses (aegis-log-process)

Semua sakelar pengiriman diaktifkan, dan periode retensi log adalah 180 hari.

Log kueri

1. Di panel navigasi sebelah kiri, pilih Agentic SOC > Log. Di pojok kiri atas konsol, pilih wilayah tempat aset yang ingin dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

2. Di pojok kiri atas halaman Log Management, klik Security Center Logs dan pilih tipe log yang ingin dilihat.

3. Atur rentang waktu kueri, ambil log menggunakan pernyataan kueri, dan lihat data analisis log.

   Metode kueri log manajemen log Agentic SOC sama dengan analisis log Security Center. Untuk informasi lebih lanjut, lihat Analisis log.

Deskripsi pengiriman

• Log terstandarisasi adalah log yang dihasilkan setelah Agentic SOC mengonsumsi dan menganalisis log yang diingest, lalu menstandarisasikannya ke dalam skema umum. Log terstandarisasi berisi field standar yang dipetakan menggunakan sintaks SPL (Search Processing Language). Anda tidak dapat mengaktifkan atau menonaktifkan pengiriman log terstandarisasi. Pengiriman diaktifkan dalam skenario berikut:

  • Ketika Standardization Method kebijakan akses diatur ke Real-time Consumption, Agentic SOC secara default mengirimkan log yang dinormalisasi ke Logstore yang sesuai berdasarkan kategori terstandarisasi. Tugas pengiriman log dibuat saat Anda membuat kebijakan akses.

  • Setelah Anda membuat aturan kustom, log peringatan terstandarisasi yang dihasilkan oleh aturan tersebut dikirimkan, seperti log peringatan EDR dan log peringatan firewall.

• Jika Extended Field Ingestion aturan terstandarisasi diatur ke Retain As Is, field asli yang tidak dipetakan juga disertakan dalam log terstandarisasi (disimpan dalam format Key-Value yang diratakan). Untuk informasi lebih lanjut, lihat Lihat standarisasi format log V2.

Lihat jumlah referensi log

1. Pada halaman Log Management, klik Log Settings.

2. Anda dapat melihat jumlah referensi struktur terstandarisasi pada panel Log Settings, pada tab Standardized Log.

   Catatan

   Jumlah referensi menunjukkan jumlah kebijakan akses yang menggunakan kategori dan struktur terstandarisasi yang sesuai serta Standardization Method-nya adalah Real-time Consumption.

Log kueri

Agentic SOC mendukung pencarian log berdasarkan struktur log terstandarisasi dan pengkuerian data lintas beberapa Logstore menggunakan dataset (StoreView). Untuk informasi lebih lanjut mengenai kueri dan analisis Logstore, lihat Kueri dan analisis log.

Ubah periode retensi log

Periode retensi default untuk log yang dikirimkan adalah 180 hari. Anda dapat mengubah periode retensi log sesuai kebutuhan.

1. Di panel navigasi sebelah kiri, pilih Agentic SOC > Log. Di pojok kiri atas konsol, pilih wilayah tempat aset yang ingin dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

2. Di pojok kanan atas halaman Log Management, klik Log Settings.

3. Pada panel Log Settings, pada tab Security Center Logs atau Standardized Log, klik ikon pada kolom Log Retention Period (TTL) untuk mengubah periode retensi log.

Tingkatkan atau hapus kapasitas penyimpanan

Anda dapat melihat penggunaan log saat ini dan kapasitas total pada halaman Agentic SOC > Log. Anda dapat meningkatkan atau mengosongkan ruang penyimpanan log sesuai kebutuhan.

• Klik Scale Out untuk membeli kapasitas penyimpanan log tambahan.

  Pastikan ruang penyimpanan log mencukupi. Jika ruang penyimpanan log penuh, log baru tidak dapat dikirimkan.

• Klik Delete untuk mengosongkan seluruh ruang penyimpanan. Proses pengosongan log memerlukan waktu sekitar 0 hingga 24 jam. Mohon bersabar.

  Peringatan

  Setelah ruang penyimpanan dikosongkan, data log tidak dapat dipulihkan. Ekspor dan backup log sebelum mengosongkan ruang penyimpanan.

Kurangi volume pengiriman log

Saat biaya penyimpanan log tinggi, Anda dapat melihat proporsi penyimpanan setiap tipe log dan menonaktifkan tipe log yang tidak diperlukan untuk mengurangi volume pengiriman dan biaya penyimpanan.

1. Login ke konsol SLS, temukan proyek khusus Security Center (bernama dengan format aliyun-cloudsiem-data-{ID akun Alibaba Cloud}-{RegionID}). Di kotak kueri Logstore, kelompokkan dan hitung log berdasarkan field __topic__ untuk melihat distribusi setiap tipe log dan mengidentifikasi tipe log dengan penggunaan penyimpanan tinggi (seperti log login, log koneksi jaringan, dan log startup proses).

2. Di panel navigasi sebelah kiri, pilih Agentic SOC > Log. Di pojok kiri atas konsol, pilih wilayah tempat aset yang ingin dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

3. Pada halaman Log Management, klik Log Settings.

4. Pada panel Log Settings, beralih ke tab Security Center Logs dan matikan sakelar pengiriman untuk tipe log yang ingin dihentikan pengirimannya.

Setelah pengiriman log dinonaktifkan, log tipe tersebut tidak lagi dikirimkan ke SLS. Log historis yang sudah tersimpan tidak terpengaruh dan secara otomatis dihapus setelah periode retensi aslinya berakhir. Kami menyarankan Anda mengevaluasi persyaratan kepatuhan keamanan sebelum menonaktifkan tipe log tertentu.

Mengapa saya tidak dapat mengaktifkan pay-as-you-go untuk manajemen log?

Salah satu alasan berikut dapat mencegah Anda mengaktifkan pay-as-you-go untuk manajemen log.

• Alasan 1: Anda telah membeli kapasitas penyimpanan log Agentic SOC atau analisis log secara subscription.

  Solusi:

  1. Batalkan langganan kapasitas penyimpanan log Agentic SOC yang dibeli secara subscription atau analisis log.

  2. Aktifkan pay-as-you-go untuk manajemen log.

• Alasan 2: Agentic SOC menggunakan arsitektur 1.0.

  Solusi:

  1. Upgrade fitur Agentic SOC dari 1.0 ke 2.0.

  2. Aktifkan pay-as-you-go untuk manajemen log.

  Catatan

  Jika Anda memutuskan untuk tidak segera upgrade ke arsitektur Agentic SOC 2.0 tetapi perlu menggunakan manajemen log, Anda dapat membeli kapasitas penyimpanan log Agentic SOC secara subscription.

• Alasan 3: Anda membeli kapasitas penyimpanan log Agentic SOC secara subscription pada atau sebelum 26 April 2024, dan menggunakan fitur Agentic SOC.

  Setelah pengguna tersebut upgrade ke arsitektur Agentic SOC 2.0, mereka mempertahankan jumlah kapasitas penyimpanan log Agentic SOC yang sama seperti yang sebelumnya dibeli (mode subscription) dan dapat menggunakan manajemen log secara normal. Untuk beralih dari subscription ke pay-as-you-go, rujuk solusi untuk Alasan 1. Untuk informasi lebih lanjut mengenai upgrade arsitektur Agentic SOC, lihat [Pemberitahuan] Upgrade Agentic SOC.

Apa perbedaan antara analisis log dan manajemen log?

Baik analisis log maupun manajemen log merupakan kemampuan kueri dan analisis log keamanan yang disediakan oleh Security Center. Dibandingkan analisis log, manajemen log tidak hanya menyediakan kemampuan pengiriman dan analisis untuk log dari modul Security Center (kerentanan, peringatan keamanan, dan event client), tetapi juga mendukung pengiriman dan penyimpanan log yang dinormalisasi oleh Agentic SOC. Jika Anda memiliki kebutuhan penyimpanan dan analisis log keamanan untuk kepatuhan perlindungan terklasifikasi atau kebutuhan lainnya, kami menyarankan Anda menggunakan manajemen log.

• Analisis log cocok untuk skenario di mana Anda perlu melihat log Security Center secara cepat.

• Manajemen log cocok untuk skenario di mana Anda memerlukan penyimpanan jangka panjang, audit kepatuhan, serta pengkuerian log terstandarisasi dan log jaringan.

Tabel berikut menjelaskan perbedaan antara kedua fitur tersebut: