Perusahaan saat ini memiliki lebih banyak security tools dibanding beberapa tahun lalu. Endpoint, firewall, email security, identity security, cloud security, hingga berbagai aplikasi bisnis menghasilkan telemetry dan security events setiap hari.

Namun, bertambahnya tools tidak otomatis membuat security operations menjadi lebih sederhana.

Ketika sebuah alert muncul, security team tetap harus menjawab pertanyaan yang lebih mendasar: apa yang sebenarnya terjadi, apakah aktivitas tersebut merupakan threat, dan seberapa jauh aktivitas itu sudah berlangsung?

Persoalannya menjadi lebih kompleks ketika investigasi membutuhkan data dari periode sebelumnya. Sebuah suspicious login yang terdeteksi hari ini, misalnya, belum tentu merupakan kejadian yang baru dimulai hari ini. Bisa saja akun tersebut telah menunjukkan aktivitas tidak biasa selama beberapa minggu sebelumnya.

Di titik inilah pembahasan mengenai Extended Detection and Response (XDR) dan Security Information and Event Management (SIEM) menjadi relevan.

Keduanya sama-sama berhubungan dengan cybersecurity, tetapi digunakan untuk kebutuhan yang berbeda. XDR berfokus pada detection, investigation, dan response terhadap cyber threat. Sementara itu, SIEM memberikan kemampuan untuk mengumpulkan, menyimpan, mencari, dan menganalisis security data dalam periode yang lebih panjang.

Pertanyaannya kemudian bukan sekadar “XDR atau SIEM?”

Yang lebih penting adalah: kapan perusahaan membutuhkan XDR, kapan membutuhkan SIEM, dan kapan keduanya perlu digunakan bersama?

XDR dan SIEM: Apa Sebenarnya Perbedaannya?

Perbedaan XDR dan SIEM sering kali menjadi kabur karena keduanya menggunakan security data sebagai bagian dari proses security operations.

Namun, fokusnya berbeda.

XDR dirancang untuk membantu security team memahami aktivitas yang sedang berlangsung di berbagai security layers. Data dari endpoint, identity, email, network, dan sumber security lainnya dapat dikorelasikan untuk membantu menemukan indikasi serangan, melakukan investigation, dan menentukan response.

SIEM memiliki cakupan yang berbeda. Platform SIEM mengumpulkan security logs dan events dari berbagai sumber, kemudian membuat data tersebut dapat disimpan, dicari, dianalisis, dan digunakan kembali untuk kebutuhan investigation maupun reporting.

Dengan kata lain, XDR lebih dekat dengan pertanyaan:

“Apa yang sedang terjadi dan bagaimana kita meresponsnya?”

Sementara SIEM membantu menjawab pertanyaan seperti:

“Apa yang pernah terjadi, data apa yang kita miliki, dan apa yang dapat kita temukan dari data tersebut?”

Perbedaan ini penting karena kebutuhan security operations perusahaan tidak berhenti pada detection.

Setelah sebuah threat ditemukan, security team sering kali perlu melihat ke belakang untuk memahami bagaimana aktivitas tersebut dimulai, sistem apa saja yang terlibat, dan apakah pola yang sama pernah muncul sebelumnya.

Kapan Perusahaan Membutuhkan XDR?

Kebutuhan terhadap XDR biasanya mulai terlihat ketika jumlah security tools bertambah, tetapi proses investigation justru semakin rumit.

Sebuah perusahaan mungkin sudah memiliki Endpoint Protection, firewall, email security, identity security, dan cloud security. Masing-masing menghasilkan alert dan telemetry sendiri.

Masalahnya bukan lagi kekurangan data.

Masalahnya adalah bagaimana menghubungkan data tersebut untuk memahami sebuah incident secara utuh.

Bayangkan sebuah user melakukan login dari lokasi yang tidak biasa. Secara individual, aktivitas tersebut belum tentu merupakan indicator of compromise.

Beberapa menit kemudian, endpoint user tersebut menjalankan PowerShell dengan pola yang mencurigakan. Setelah itu, endpoint melakukan koneksi ke external destination yang sebelumnya tidak dikenal.

Jika ketiga aktivitas tersebut dilihat secara terpisah, masing-masing dapat menghasilkan alert dengan tingkat prioritas yang berbeda. Tetapi ketika dikorelasikan, rangkaian aktivitas tersebut dapat memberikan gambaran yang jauh lebih jelas mengenai kemungkinan attack chain.

Di sinilah XDR berperan.

XDR menghubungkan telemetry dari berbagai security controls sehingga security team dapat melakukan detection, investigation, dan response tanpa harus memeriksa setiap sumber data secara terpisah.

Perusahaan biasanya mulai mempertimbangkan XDR ketika menghadapi kondisi seperti:

• jumlah security alerts semakin besar;
• investigation membutuhkan data dari beberapa security tools;
• security team kesulitan membedakan individual alerts dengan sebuah attack sequence;
• response membutuhkan koordinasi antara beberapa security controls; atau
• organisasi ingin meningkatkan security operations tanpa menambah terlalu banyak proses manual.

Dalam kondisi tersebut, persoalannya bukan sekadar memiliki lebih banyak logs. Yang dibutuhkan adalah konteks untuk mengambil tindakan terhadap threat yang sedang berlangsung.

Lalu, Kapan Perusahaan Membutuhkan SIEM?

Kebutuhan terhadap SIEM muncul ketika security data tidak hanya dibutuhkan untuk menjawab apa yang terjadi sekarang, tetapi juga harus tersedia untuk dianalisis kembali di kemudian hari.

Dalam sebuah security investigation, misalnya, tim menemukan bahwa sebuah privileged account melakukan suspicious login.

Pertanyaan berikutnya bukan lagi hanya apakah login tersebut malicious.

Tim mungkin perlu mengetahui kapan aktivitas abnormal pertama kali muncul, sistem apa saja yang kemudian diakses, apakah terdapat aktivitas serupa pada akun lain, dan apakah pola tersebut pernah terjadi sebelumnya.

Jawaban atas pertanyaan tersebut membutuhkan historical data.

SIEM memungkinkan security data dari berbagai sumber dikumpulkan dan dipertahankan sehingga dapat dicari dan dianalisis kembali ketika dibutuhkan.

Fungsi ini juga penting dalam konteks compliance dan audit. Organisasi tertentu memiliki kebutuhan untuk mempertahankan security logs selama periode tertentu serta menyediakan evidence ketika dilakukan audit atau security review.

Namun, menganggap SIEM hanya sebagai alat untuk compliance juga terlalu sederhana.

Historical security data dapat digunakan untuk incident investigation, threat hunting, forensic analysis, maupun pencarian pola aktivitas yang sebelumnya belum dianggap sebagai threat.

Perusahaan biasanya mulai membutuhkan kemampuan SIEM ketika menghadapi kebutuhan seperti:

• mempertahankan security data untuk periode yang lebih panjang;
• melakukan historical investigation;
• menggabungkan logs dari berbagai security dan IT systems;
• memenuhi kebutuhan audit atau regulatory reporting;
• mengintegrasikan data dari custom atau legacy sources; atau
• melakukan pencarian dan analisis terhadap data security yang sudah dikumpulkan sebelumnya.

Dengan demikian, nilai SIEM tidak hanya terletak pada berapa banyak data yang dikumpulkan, tetapi pada kemampuan organisasi untuk menggunakan kembali data tersebut ketika pertanyaan baru muncul.

Ketika XDR dan SIEM Dibutuhkan Bersama

Di sinilah perbedaan antara XDR dan SIEM menjadi semakin penting.

Sebuah security incident jarang berjalan dalam satu titik waktu.

Alert mungkin muncul sekarang, tetapi aktivitas yang menyebabkan alert tersebut bisa saja dimulai jauh sebelumnya. XDR dapat membantu security team mengidentifikasi dan merespons aktivitas mencurigakan, tetapi investigation yang lebih dalam sering membutuhkan historical context.

Sebaliknya, memiliki historical security data dalam jumlah besar tidak otomatis membuat organisasi mampu merespons threat dengan cepat.

Security team tetap membutuhkan kemampuan untuk mendeteksi aktivitas mencurigakan, menghubungkan events, memahami attack sequence, dan melakukan response.

Karena itu, dalam environment yang lebih kompleks, XDR dan SIEM dapat memenuhi dua kebutuhan yang saling melengkapi.

XDR membantu security team bekerja terhadap threat yang sedang terjadi. SIEM membantu memastikan security data yang diperlukan untuk memahami konteks tersebut tetap tersedia untuk dianalisis.

Secara sederhana:

XDR: Detect → Investigate → Respond

SIEM: Collect → Retain → Search → Analyze → Report

Keduanya bukan dua versi dari fungsi yang sama.

XDR lebih berorientasi pada security operations. SIEM memperluas kemampuan organisasi dalam mengelola dan menggunakan security data dalam jangka waktu yang lebih panjang.

Pertanyaan berikutnya menjadi menarik: bagaimana jika kedua kebutuhan tersebut dapat bekerja dengan security context yang sama?

Pendekatan Sophos: XDR dan Next-Gen SIEM dalam Satu Context

Pendekatan ini menjadi salah satu alasan Sophos mengembangkan Next-Gen SIEM sebagai add-on untuk Sophos XDR dan Sophos MDR, bukan sebagai pengganti XDR.

Sophos XDR berfokus pada kebutuhan security operations—mulai dari detection, investigation hingga response. Next-Gen SIEM menambahkan kemampuan untuk melakukan long-term data retention, custom data ingestion, historical analysis, reporting, dan kebutuhan compliance.

Keduanya menggunakan Sophos Fusion sebagai shared data foundation.

Konsepnya bukan membuat security team memilih antara dua platform dengan fungsi yang sepenuhnya terpisah. Sebaliknya, security operations dan historical security data dapat bekerja dengan context yang sama, sesuai kebutuhan masing-masing proses.

Bagi security team, perbedaannya cukup praktis.

Ketika sebuah threat sedang berlangsung, XDR membantu menghubungkan data dan menentukan apa yang perlu diinvestigasi serta direspons.

Ketika investigation membutuhkan data dari periode sebelumnya, Next-Gen SIEM dapat memberikan akses terhadap historical security data yang telah dipertahankan.

Data yang sama kemudian dapat digunakan untuk reporting atau kebutuhan compliance.

Pendekatan tersebut membuat XDR dan SIEM lebih tepat dilihat sebagai complementary capabilities, bukan sebagai dua teknologi yang harus dipertentangkan.

Contoh Kasus: Suspicious Login yang Ternyata Bukan Incident Baru

Misalkan security team menerima alert mengenai suspicious login pada sebuah privileged account.

Dengan XDR, tim dapat menghubungkan aktivitas tersebut dengan telemetry dari endpoint, identity, network, dan security controls lainnya. Dari korelasi tersebut, ditemukan beberapa aktivitas yang menunjukkan kemungkinan compromise.