Log keamanan dan medan yang dicatat

Seorang analis Security Operations Center (SOC) memantau keamanan dengan membaca log: catatan event yang terjadi di dalam sistem dan jaringan sebuah organisasi. NIST merumuskan event sebagai sesuatu yang terjadi di dalam sistem atau jaringan, dan log sebagai rekaman event-event itu. Satu baris log umumnya menjawab empat pertanyaan: kapan (stempel waktu), di mana (host atau alamat server dan port), siapa (alamat IP sumber dan nama pengguna bila diketahui), dan apa (jenis event, hasil, dan uraiannya). OWASP Logging Cheat Sheet menyebut keempat kelompok medan itu sebagai 'when, where, who, what'.

Pekerjaan kelas ini hanya membaca log yang sudah ada, menyaring, menghitung pola, dan membuat laporan. Kamu tidak mengubah sistem dan tidak menyerang apa pun. Membaca log yang baik dimulai dari mengenali medannya. Contoh satu baris log akses web (dengan data berbeda dari latihan):

203.0.113.9 - budi [14/Oct/2026:08:15:02 +0700] "GET /laporan HTTP/1.1" 200 3410

Di baris itu, 203.0.113.9 adalah siapa (IP sumber), tanda kurung siku memuat kapan, GET /laporan adalah apa yang diminta, dan 200 adalah hasilnya. Tidak semua data boleh masuk log. OWASP menegaskan bahwa kata sandi, token sesi, dan data rahasia pengguna tidak boleh ditulis ke log, karena log sering dibaca banyak orang dan disimpan lama; yang dicatat cukup bahwa upaya login gagal, bukan kata sandi yang diketik.