Pengantar
Windows Event Log Tampering adalah tindakan memanipulasi atau menghapus catatan event log untuk menyembunyikan aktivitas tertentu pada sistem Windows. Teknik ini sering dikaitkan dengan upaya menghilangkan jejak setelah akses tidak sah.
Windows Event Log menyimpan berbagai informasi penting, termasuk aktivitas aplikasi, sistem, dan keamanan. Microsoft menjelaskan bahwa Security Log dapat mencatat aktivitas seperti percobaan login dan penggunaan resource (dikutip dari: Microsoft Learn – Event Log).
Apa Itu Windows Event Log Tampering?
Windows Event Log Tampering terjadi ketika attacker mencoba mengubah ketersediaan atau integritas log.
Tujuannya biasanya sederhana: mengurangi bukti aktivitas mencurigakan.
Beberapa tindakan yang termasuk dalam kategori ini antara lain:
- Menghapus event log.
- Mengubah konfigurasi logging.
- Menghentikan layanan Event Log.
- Mengurangi data audit yang tersimpan.
- Mengganggu proses pengumpulan log.
MITRE ATT&CK mengategorikan penghapusan Windows Event Log sebagai T1070.001 – Clear Windows Event Logs, yaitu teknik untuk menghilangkan bukti aktivitas intrusi.
baca juga : QUIC Packet Number Encryption: Cara QUIC Melindungi Nomor Paket dari Pengamatan
Mengapa Event Log Penting?
Event log menjadi salah satu sumber utama dalam proses monitoring dan digital forensics.
Security Log, misalnya, dapat membantu analis melihat aktivitas autentikasi, perubahan keamanan, dan tindakan administratif. Karena itu, hilangnya log dapat membuat proses investigasi menjadi lebih sulit.
Selain itu, log yang tersedia dapat dikorelasikan dengan sumber lain seperti EDR, SIEM, firewall, dan Active Directory. Dengan pendekatan tersebut, aktivitas yang mencurigakan masih dapat ditemukan meskipun sebagian log lokal telah dihapus.
Event ID 1102: Indikator Penting
Salah satu event yang perlu diperhatikan adalah Event ID 1102.
Windows menghasilkan event tersebut ketika Security Audit Log dibersihkan. Microsoft juga menyarankan agar event ini dipantau karena penghapusan Security Log biasanya bukan aktivitas yang terjadi secara rutin (dikutip dari: Microsoft Learn – Event ID 1102).
Event 1102 juga menyimpan informasi seperti:
- Nama akun.
- SID pengguna.
- Domain atau nama komputer.
- Logon ID.
- Waktu kejadian.
Data tersebut dapat membantu analis menghubungkan penghapusan log dengan aktivitas sebelumnya.
Bagaimana Tampering Bisa Terdeteksi?
Perhatikan Event yang Tidak Biasa
Penghapusan log merupakan salah satu indikator utama. Namun, analis sebaiknya tidak hanya mencari Event ID 1102.
Perubahan konfigurasi logging, penghentian layanan, atau aktivitas administratif yang tidak biasa juga perlu diperiksa.
Korelasikan dengan Log Lain
Jika log lokal hilang, sumber lain masih dapat memberikan petunjuk.
Misalnya, SIEM atau log collector mungkin telah menerima event sebelum proses tampering terjadi. Data dari EDR juga dapat membantu melihat proses yang berjalan pada waktu yang sama.
Periksa Aktivitas Akun
Akun yang melakukan perubahan perlu diperiksa lebih lanjut. Hubungkan aktivitas tersebut dengan login, privilege escalation, dan perubahan akun.
Dengan cara ini, investigasi tidak hanya berfokus pada satu event.
Cara Mencegah Event Log Tampering
Batasi Hak Akses
Tidak semua pengguna membutuhkan hak untuk mengelola atau menghapus log.
Microsoft menjelaskan bahwa akses untuk membaca atau membersihkan Security Log berkaitan dengan hak Manage auditing and security log. Karena itu, hak tersebut sebaiknya diberikan hanya kepada akun yang memang membutuhkannya (dikutip dari: Microsoft Learn – Event Logging Security).
baca juga : gRPC Security Best Practice: Cara Mengamankan Komunikasi Microservices Modern
Gunakan Centralized Logging
Jangan hanya menyimpan log pada komputer sumber.
Kirim event penting ke SIEM, log server, atau platform monitoring terpusat. Dengan demikian, penghapusan log lokal tidak otomatis menghilangkan seluruh bukti.
Aktifkan Audit yang Relevan
Audit policy perlu disesuaikan dengan kebutuhan keamanan organisasi. Logging yang terlalu sedikit dapat menyulitkan investigasi, sedangkan logging yang terlalu banyak dapat meningkatkan beban penyimpanan.
Karena itu, pilih event yang benar-benar relevan dan lakukan evaluasi secara berkala.
baca juga : Type Confusion Vulnerability: Memahami Celah yang Bisa Memicu Memory Corruption
Windows Event Log Tampering dalam Digital Forensics
Dalam proses forensik, hilangnya log bukan berarti tidak ada bukti.
Analis dapat membandingkan timestamp, event yang tersisa, log dari sistem lain, serta data EDR atau SIEM. Perbedaan waktu dan aktivitas yang tidak sesuai juga dapat menjadi indikator adanya manipulasi.
Selain itu, Event ID 1102 dapat menjadi titik awal investigasi ketika Security Log tiba-tiba dibersihkan.
Kesimpulan
Windows Event Log Tampering merupakan teknik yang dapat digunakan untuk mengurangi jejak aktivitas mencurigakan pada sistem Windows. Penghapusan Security Log menjadi salah satu bentuk yang paling mudah diperhatikan.
Event 1102 sangat penting dalam monitoring karena menunjukkan bahwa Security Audit Log telah dibersihkan. Namun, investigasi sebaiknya tetap menghubungkan event tersebut dengan aktivitas akun, proses, dan sumber log lainnya.
Karena itu, organisasi sebaiknya menerapkan least privilege, centralized logging, audit policy yang tepat, serta monitoring SIEM atau EDR. Dengan pendekatan tersebut, dampak penghapusan log lokal dapat dikurangi dan proses investigasi menjadi lebih kuat.
