Perusahaan saat ini memiliki lebih banyak security tools dibanding beberapa tahun lalu. Endpoint, firewall, email security, identity security, cloud security, hingga berbagai aplikasi bisnis menghasilkan telemetry dan security events setiap hari.
Namun, bertambahnya tools tidak otomatis membuat security operations menjadi lebih sederhana.
Ketika sebuah alert muncul, security team tetap harus menjawab pertanyaan yang lebih mendasar: apa yang sebenarnya terjadi, apakah aktivitas tersebut merupakan threat, dan seberapa jauh aktivitas itu sudah berlangsung?
Persoalannya menjadi lebih kompleks ketika investigasi membutuhkan data dari periode sebelumnya. Sebuah suspicious login yang terdeteksi hari ini, misalnya, belum tentu merupakan kejadian yang baru dimulai hari ini. Bisa saja akun tersebut telah menunjukkan aktivitas tidak biasa selama beberapa minggu sebelumnya.
Di titik inilah pembahasan mengenai Extended Detection and Response (XDR) dan Security Information and Event Management (SIEM) menjadi relevan.
Keduanya sama-sama berhubungan dengan cybersecurity, tetapi digunakan untuk kebutuhan yang berbeda. XDR berfokus pada detection, investigation, dan response terhadap cyber threat. Sementara itu, SIEM memberikan kemampuan untuk mengumpulkan, menyimpan, mencari, dan menganalisis security data dalam periode yang lebih panjang.
Pertanyaannya kemudian bukan sekadar “XDR atau SIEM?”
Yang lebih penting adalah: kapan perusahaan membutuhkan XDR, kapan membutuhkan SIEM, dan kapan keduanya perlu digunakan bersama?
XDR dan SIEM: Apa Sebenarnya Perbedaannya?
Perbedaan XDR dan SIEM sering kali menjadi kabur karena keduanya menggunakan security data sebagai bagian dari proses security operations.
Namun, fokusnya berbeda.
XDR dirancang untuk membantu security team memahami aktivitas yang sedang berlangsung di berbagai security layers. Data dari endpoint, identity, email, network, dan sumber security lainnya dapat dikorelasikan untuk membantu menemukan indikasi serangan, melakukan investigation, dan menentukan response.
SIEM memiliki cakupan yang berbeda. Platform SIEM mengumpulkan security logs dan events dari berbagai sumber, kemudian membuat data tersebut dapat disimpan, dicari, dianalisis, dan digunakan kembali untuk kebutuhan investigation maupun reporting.
Dengan kata lain, XDR lebih dekat dengan pertanyaan:
“Apa yang sedang terjadi dan bagaimana kita meresponsnya?”
Sementara SIEM membantu menjawab pertanyaan seperti:
“Apa yang pernah terjadi, data apa yang kita miliki, dan apa yang dapat kita temukan dari data tersebut?”
Perbedaan ini penting karena kebutuhan security operations perusahaan tidak berhenti pada detection.
Setelah sebuah threat ditemukan, security team sering kali perlu melihat ke belakang untuk memahami bagaimana aktivitas tersebut dimulai, sistem apa saja yang terlibat, dan apakah pola yang sama pernah muncul sebelumnya.
Kapan Perusahaan Membutuhkan XDR?
Kebutuhan terhadap XDR biasanya mulai terlihat ketika jumlah security tools bertambah, tetapi proses investigation justru semakin rumit.
Sebuah perusahaan mungkin sudah memiliki Endpoint Protection, firewall, email security, identity security, dan cloud security. Masing-masing menghasilkan alert dan telemetry sendiri.
Masalahnya bukan lagi kekurangan data.
Masalahnya adalah bagaimana menghubungkan data tersebut untuk memahami sebuah incident secara utuh.
Bayangkan sebuah user melakukan login dari lokasi yang tidak biasa. Secara individual, aktivitas tersebut belum tentu merupakan indicator of compromise.
Beberapa menit kemudian, endpoint user tersebut menjalankan PowerShell dengan pola yang mencurigakan. Setelah itu, endpoint melakukan koneksi ke external destination yang sebelumnya tidak dikenal.
Jika ketiga aktivitas tersebut dilihat secara terpisah, masing-masing dapat menghasilkan alert dengan tingkat prioritas yang berbeda. Tetapi ketika dikorelasikan, rangkaian aktivitas tersebut dapat memberikan gambaran yang jauh lebih jelas mengenai kemungkinan attack chain.
Di sinilah XDR berperan. XDR menghubungkan telemetry dari berbagai security controls sehingga security team dapat melakukan detection, investigation, dan response tanpa harus memeriksa setiap sumber data secara terpisah.
Perusahaan biasanya mulai mempertimbangkan XDR ketika menghadapi kondisi seperti:
- jumlah security alerts semakin besar;
- investigation membutuhkan data dari beberapa security tools;
- security team kesulitan membedakan individual alerts dengan sebuah attack sequence;
- response membutuhkan koordinasi antara beberapa security controls; atau
- organisasi ingin meningkatkan security operations tanpa menambah terlalu banyak proses manual.
Dalam kondisi tersebut, persoalannya bukan sekadar memiliki lebih banyak logs. Yang dibutuhkan adalah konteks untuk mengambil tindakan terhadap threat yang sedang berlangsung.
Lalu, Kapan Perusahaan Membutuhkan SIEM?
Kebutuhan terhadap SIEM muncul ketika security data tidak hanya dibutuhkan untuk menjawab apa yang terjadi sekarang, tetapi juga harus tersedia untuk dianalisis kembali di kemudian hari.
Dalam sebuah security investigation, misalnya, tim menemukan bahwa sebuah privileged account melakukan suspicious login.
Pertanyaan berikutnya bukan lagi hanya apakah login tersebut malicious.
Tim mungkin perlu mengetahui kapan aktivitas abnormal pertama kali muncul, sistem apa saja yang kemudian diakses, apakah terdapat aktivitas serupa pada akun lain, dan apakah pola tersebut pernah terjadi sebelumnya.
Jawaban atas pertanyaan tersebut membutuhkan historical data.
SIEM memungkinkan security data dari berbagai sumber dikumpulkan dan dipertahankan sehingga dapat dicari dan dianalisis kembali ketika dibutuhkan.
Fungsi ini juga penting dalam konteks compliance dan audit. Organisasi tertentu memiliki kebutuhan untuk mempertahankan security logs selama periode tertentu serta menyediakan evidence ketika dilakukan audit atau security review.
Namun, menganggap SIEM hanya sebagai alat untuk compliance juga terlalu sederhana.
Historical security data dapat digunakan untuk incident investigation, threat hunting, forensic analysis, maupun pencarian pola aktivitas yang sebelumnya belum dianggap sebagai threat.
Perusahaan biasanya mulai membutuhkan kemampuan SIEM ketika menghadapi kebutuhan seperti:
- mempertahankan security data untuk periode yang lebih panjang;
- melakukan historical investigation;
- menggabungkan logs dari berbagai security dan IT systems;
- memenuhi kebutuhan audit atau regulatory reporting;
- mengintegrasikan data dari custom atau legacy sources; atau
- melakukan pencarian dan analisis terhadap data security yang sudah dikumpulkan sebelumnya.
Dengan demikian, nilai SIEM tidak hanya terletak pada berapa banyak data yang dikumpulkan, tetapi pada kemampuan organisasi untuk menggunakan kembali data tersebut ketika pertanyaan baru muncul.
Ketika XDR dan SIEM Dibutuhkan Bersama
Di sinilah perbedaan antara XDR dan SIEM menjadi semakin penting.
Sebuah security incident jarang berjalan dalam satu titik waktu.
Alert mungkin muncul sekarang, tetapi aktivitas yang menyebabkan alert tersebut bisa saja dimulai jauh sebelumnya. XDR dapat membantu security team mengidentifikasi dan merespons aktivitas mencurigakan, tetapi investigation yang lebih dalam sering membutuhkan historical context.
Sebaliknya, memiliki historical security data dalam jumlah besar tidak otomatis membuat organisasi mampu merespons threat dengan cepat.
Security team tetap membutuhkan kemampuan untuk mendeteksi aktivitas mencurigakan, menghubungkan events, memahami attack sequence, dan melakukan response.
Karena itu, dalam environment yang lebih kompleks, XDR dan SIEM dapat memenuhi dua kebutuhan yang saling melengkapi.
XDR membantu security team bekerja terhadap threat yang sedang terjadi. SIEM membantu memastikan security data yang diperlukan untuk memahami konteks tersebut tetap tersedia untuk dianalisis.
Secara sederhana:
XDR: Detect → Investigate → Respond
SIEM: Collect → Retain → Search → Analyze → Report
Keduanya bukan dua versi dari fungsi yang sama.
XDR lebih berorientasi pada security operations. SIEM memperluas kemampuan organisasi dalam mengelola dan menggunakan security data dalam jangka waktu yang lebih panjang.
Pertanyaan berikutnya menjadi menarik: bagaimana jika kedua kebutuhan tersebut dapat bekerja dengan security context yang sama?
Pendekatan Sophos: XDR dan Next-Gen SIEM dalam Satu Context
Pendekatan ini menjadi salah satu alasan Sophos mengembangkan Next-Gen SIEM sebagai add-on untuk Sophos XDR dan Sophos MDR, bukan sebagai pengganti XDR.
Sophos XDR berfokus pada kebutuhan security operations mulai dari detection, investigation hingga response. Next-Gen SIEM menambahkan kemampuan untuk melakukan long-term data retention, custom data ingestion, historical analysis, reporting, dan kebutuhan compliance.
Keduanya menggunakan Sophos Fusion sebagai shared data foundation.
Konsepnya bukan membuat security team memilih antara dua platform dengan fungsi yang sepenuhnya terpisah. Sebaliknya, security operations dan historical security data dapat bekerja dengan context yang sama, sesuai kebutuhan masing-masing proses.
Bagi security team, perbedaannya cukup praktis. Ketika sebuah threat sedang berlangsung, XDR membantu menghubungkan data dan menentukan apa yang perlu diinvestigasi serta direspons.
Ketika investigation membutuhkan data dari periode sebelumnya, Next-Gen SIEM dapat memberikan akses terhadap historical security data yang telah dipertahankan.
Data yang sama kemudian dapat digunakan untuk reporting atau kebutuhan compliance.
Pendekatan tersebut membuat XDR dan SIEM lebih tepat dilihat sebagai complementary capabilities, bukan sebagai dua teknologi yang harus dipertentangkan.
Contoh Kasus: Suspicious Login yang Ternyata Bukan Incident Baru
Misalkan security team menerima alert mengenai suspicious login pada sebuah privileged account. Dengan XDR, tim dapat menghubungkan aktivitas tersebut dengan telemetry dari endpoint, identity, network, dan security controls lainnya. Dari korelasi tersebut, ditemukan beberapa aktivitas yang menunjukkan kemungkinan compromise. Namun investigation belum selesai. Tim kemudian perlu mengetahui kapan aktivitas tersebut sebenarnya dimulai.
Apakah login mencurigakan tersebut merupakan kejadian pertama? Apakah akun tersebut sudah menunjukkan perilaku abnormal sebelumnya? Apakah terdapat endpoint lain yang berkomunikasi dengan destination yang sama? Apakah akun atau sistem lain menunjukkan pola serupa?
Pertanyaan-pertanyaan tersebut membutuhkan historical context. Jika data yang relevan masih tersedia, security team dapat memperluas investigation dari sebuah alert menjadi sebuah timeline.
Dalam konteks inilah SIEM memberikan nilai tambahan terhadap XDR. Data historis tidak hanya disimpan untuk memenuhi retention policy, tetapi dapat digunakan untuk memahami sebuah incident dengan lebih lengkap.
Dan ketika data tersebut juga diperlukan untuk audit atau compliance reporting, security team tidak perlu memperlakukan kebutuhan tersebut sebagai proses yang sepenuhnya terpisah.
XDR, SIEM, atau Keduanya?
Tidak ada satu pilihan yang berlaku untuk seluruh organisasi. Kebutuhan harus ditentukan berdasarkan masalah security operations yang ingin diselesaikan.
| Kebutuhan | XDR | SIEM | XDR + SIEM |
| Threat detection | ✓ | — | ✓ |
| Cross-layer investigation | ✓ | ✓ | ✓ |
| Threat response | ✓ | — | ✓ |
| Alert correlation | ✓ | ✓ | ✓ |
| Long-term data retention | — | ✓ | ✓ |
| Historical investigation | Terbatas pada data yang tersedia | ✓ | ✓ |
| Custom log/data ingestion | Terbatas | ✓ | ✓ |
| Compliance reporting | Terbatas | ✓ | ✓ |
| Security operations + historical context | — | — | ✓ |
Tabel tersebut bukan berarti XDR dan SIEM memiliki batas fungsi yang mutlak. Kapabilitas masing-masing platform dapat berbeda tergantung arsitektur, data sources, konfigurasi, dan layanan yang digunakan.
Namun secara konseptual, tabel ini membantu menunjukkan bahwa kebutuhan perusahaan dapat berkembang dari real-time security operations menuju kebutuhan yang lebih luas terhadap historical security data.
Bagaimana Menentukan Kebutuhan Perusahaan?
Alih-alih memulai dari pertanyaan “XDR atau SIEM?”, security team dapat memulai dari masalah yang ingin diselesaikan.
Jika tantangan utamanya adalah terlalu banyak alerts, sulit melakukan correlation, dan membutuhkan response yang lebih cepat terhadap threat, XDR menjadi salah satu capability yang perlu dipertimbangkan.
Jika tantangannya adalah bagaimana mempertahankan security data, melakukan historical investigation, mengintegrasikan berbagai log sources, atau memenuhi kebutuhan audit dan compliance, kebutuhan SIEM menjadi lebih relevan.
Sementara itu, organisasi yang membutuhkan kedua kemampuan tersebut dapat mempertimbangkan XDR dan SIEM secara bersamaan.
Sebelum menentukan platform, ada beberapa pertanyaan yang sebaiknya dijawab:
- Security data apa saja yang saat ini tersedia?
Identifikasi endpoint, identity, network, cloud, application, dan sumber log lainnya. - Siapa yang akan mengoperasikan platform?
Apakah terdapat internal SOC, security team, IT operations, atau menggunakan managed service? - Berapa lama data perlu dipertahankan?
Retention requirement dapat berbeda berdasarkan kebutuhan operational, regulatory, maupun internal policy. - Apakah terdapat kebutuhan compliance atau audit tertentu?
Hal ini akan menentukan jenis data dan periode retention yang diperlukan. - Apakah organisasi membutuhkan custom telemetry?
Semakin beragam environment, semakin penting kemampuan mengintegrasikan data dari sumber yang tidak selalu merupakan native security tools.
Pertanyaan-pertanyaan tersebut memberikan gambaran yang lebih realistis mengenai kebutuhan dibanding sekadar membandingkan daftar fitur antarproduk.
Key Takeaways
XDR dan SIEM bukan sekadar dua teknologi yang berbeda nama.
XDR berfokus pada bagaimana security team mendeteksi, menginvestigasi, dan merespons threat. SIEM memperkuat kemampuan organisasi dalam mengumpulkan, mempertahankan, mencari, dan menganalisis security data, termasuk untuk historical investigation dan compliance.
Karena kebutuhan tersebut saling berhubungan, perusahaan tidak selalu harus memilih salah satunya.
Jika fokus utama adalah security operations dan response terhadap threat, XDR dapat menjadi titik awal.
Jika organisasi membutuhkan historical security data, long-term retention, custom data ingestion, dan compliance reporting, SIEM menjadi relevan.
Dan ketika kedua kebutuhan tersebut hadir secara bersamaan, XDR dan SIEM dapat digunakan sebagai complementary capabilities.
Dalam pendekatan Sophos, Next-Gen SIEM memperluas kemampuan Sophos XDR dan Sophos MDR dengan historical data, retention, custom ingestion, reporting, dan compliance capabilities melalui shared context yang dibangun oleh Sophos Fusion.
Pada akhirnya, pertanyaan yang lebih penting bukan “XDR atau SIEM?”
Melainkan:
“Apa yang security team perlu pahami dan respons hari ini dan data apa yang harus tetap tersedia ketika kita perlu menjawab pertanyaan berikutnya?”
FAQ
- Apakah XDR menggantikan SIEM?
Tidak secara otomatis. XDR dan SIEM dirancang untuk kebutuhan yang berbeda. XDR berfokus pada detection, investigation, dan response, sedangkan SIEM memberikan kemampuan pengumpulan, retention, pencarian, dan analisis security data dalam jangka waktu yang lebih panjang.
- Apakah perusahaan yang sudah menggunakan XDR masih membutuhkan SIEM?
Bisa. Kebutuhan tersebut bergantung pada apakah perusahaan juga membutuhkan long-term data retention, historical investigation, custom data ingestion, reporting, atau compliance capabilities.
- Apakah SIEM bisa menggantikan XDR?
SIEM dapat menyediakan centralized security data dan correlation capabilities, tetapi kebutuhan security operations seperti detection, investigation, dan response dapat membutuhkan capabilities yang lebih spesifik dari XDR.
- Apakah XDR dan SIEM bisa digunakan bersamaan?
Ya. Keduanya dapat digunakan secara complementary. XDR menangani kebutuhan security operations, sementara SIEM dapat menyediakan historical security context dan data retention yang lebih panjang.
- Apa perbedaan Sophos XDR dan Sophos Next-Gen SIEM?
Sophos XDR berfokus pada detection, investigation, dan response. Sophos Next-Gen SIEM merupakan add-on untuk Sophos XDR dan Sophos MDR yang menambahkan long-term data retention, custom data ingestion, historical analysis, reporting, dan compliance capabilities.
- Apakah SIEM hanya digunakan untuk compliance?
Tidak. SIEM juga dapat digunakan untuk historical security investigation, threat hunting, incident reconstruction, dan analisis security data. Compliance merupakan salah satu use case, bukan satu-satunya.
- Kapan perusahaan membutuhkan XDR dan SIEM sekaligus?
Ketika organisasi membutuhkan kemampuan untuk merespons threat secara aktif sekaligus mempertahankan dan menganalisis historical security data. Kebutuhan tersebut umumnya muncul pada environment dengan security tools dan data sources yang semakin beragam serta kebutuhan investigation dan retention yang lebih kompleks.
Tentang Dymar
Sebagai Sophos Platinum Partner, Dymar membantu perusahaan mengevaluasi kebutuhan security operations berdasarkan environment, security architecture, dan kebutuhan bisnis termasuk implementasi solusi Sophos XDR dan Next-Gen SIEM.
Jika organisasi Anda sedang mengevaluasi apakah kebutuhan saat ini lebih tepat ditangani dengan XDR, SIEM, atau kombinasi keduanya, diskusikan environment dan kebutuhan security operations Anda bersama tim Dymar.