10 Tools yang Wajib Diketahui SOC Analyst Pemula untuk Belajar Cybersecurity

---

Menjadi SOC Analyst bukan hanya tentang memantau dashboard dan menunggu alert muncul. Seorang SOC Analyst perlu memahami bagaimana membaca log, menganalisis aktivitas jaringan, melakukan investigasi endpoint, mencari indikator kompromi (IOC), hingga melakukan threat hunting.

Kabar baiknya, kamu tidak harus menguasai puluhan tools sekaligus.

Ada sejumlah tools cybersecurity yang sangat membantu untuk membangun kemampuan dasar seorang SOC Analyst, mulai dari SIEM, network analysis, endpoint monitoring, threat intelligence, hingga digital investigation.

Artikel ini membahas 10 tools yang penting diketahui SOC Analyst pemula, lengkap dengan fungsi, contoh penggunaan, dan tips belajar.

Urutan belajar yang disarankan: SIEM → Windows Logs → Wireshark → Threat Intelligence → Threat Hunting.

Mengapa SOC Analyst Perlu Menguasai Banyak Tools?

Dalam lingkungan Security Operations Center, satu insiden biasanya tidak dapat dianalisis hanya menggunakan satu sumber data.

Misalnya, sebuah alert menunjukkan adanya aktivitas mencurigakan dari sebuah alamat IP.

SOC Analyst kemudian perlu mencari jawaban:

• Dari mana aktivitas tersebut berasal?
• Perangkat mana yang terdampak?
• Kapan aktivitas terjadi?
• Port atau layanan apa yang digunakan?
• Apakah ada proses mencurigakan di endpoint?
• Apakah IP tersebut memiliki reputasi buruk?
• Apakah aktivitas serupa terjadi pada perangkat lain?
• Apakah terdapat indikasi kompromi?

Untuk menjawab pertanyaan tersebut, SOC Analyst dapat menggunakan kombinasi berbagai tools.

Karena itu, memahami fungsi masing-masing tool jauh lebih penting daripada sekadar menghafal perintahnya.

1. Splunk — SIEM & Log Analysis

Splunk merupakan salah satu platform yang banyak digunakan untuk mengumpulkan, mencari, dan menganalisis data log serta security events.

Dalam konteks SOC, Splunk dapat membantu analyst melakukan:

• Pencarian security logs.
• Investigasi alert.
• Threat hunting.
• Identifikasi aktivitas mencurigakan.
• Korelasi informasi dari berbagai sumber.

Salah satu kemampuan penting yang perlu dipelajari adalah Search Processing Language (SPL).

Contoh SPL

index=main

Query tersebut dapat digunakan untuk mencari event dari index main.

Contoh lainnya:

index=main | stats count by src_ip

Query tersebut menghitung jumlah event berdasarkan src_ip.

Dengan kemampuan seperti ini, SOC Analyst dapat mulai mencari pola aktivitas dari sumber tertentu.

SOC Tip

Biasakan menggunakan alur:

Alert → Search Logs → Find IOC → Investigate → Determine Impact

Jangan langsung menyimpulkan bahwa sebuah alert adalah serangan hanya karena alert tersebut memiliki severity tinggi.

---

2. Microsoft Sentinel — Cloud SIEM

Microsoft Sentinel adalah platform SIEM berbasis cloud dari Microsoft yang digunakan untuk security monitoring, threat detection, investigation, dan response.

Sentinel sangat relevan bagi SOC Analyst yang bekerja di lingkungan Microsoft dan cloud.

Beberapa aktivitas yang dapat dilakukan antara lain:

• Monitoring security alerts.
• Investigasi incident.
• Analisis log.
• Threat hunting.
• Korelasi security events.
• Automation dan incident response.

Salah satu kemampuan penting yang perlu dipelajari adalah Kusto Query Language (KQL).

Contoh KQL

SecurityEvent
| summarize count() by Account

Query tersebut dapat digunakan untuk mengelompokkan jumlah aktivitas berdasarkan akun.

Untuk pemula, beberapa konsep KQL yang penting dipahami adalah:

where
project
summarize
count

Setelah memahami konsep dasar tersebut, analyst dapat mulai membuat query investigasi yang lebih kompleks.

SOC Tip

Jangan hanya belajar cara menjalankan query.

Pahami juga pertanyaan keamanan apa yang ingin dijawab oleh query tersebut.

Contohnya:

“Akun mana yang menghasilkan aktivitas login paling banyak dalam periode tertentu?”

---

3. Wireshark — Network Packet Analysis

Wireshark merupakan salah satu tools paling populer untuk melakukan analisis network packet.

Berbeda dengan SIEM yang biasanya bekerja dengan data log atau event, Wireshark memungkinkan analyst melihat lalu lintas jaringan secara lebih detail melalui file PCAP atau traffic yang ditangkap.

Wireshark dapat digunakan untuk:

• Menganalisis PCAP.
• Memeriksa komunikasi jaringan.
• Investigasi koneksi mencurigakan.
• Menganalisis protokol.
• Mencari indikasi aktivitas berbahaya.

Contoh Display Filter

Untuk melihat traffic DNS:

dns

Untuk memfilter alamat IP tertentu:

ip.addr == 192.168.1.10

Untuk melihat traffic TCP pada port 443:

tcp.port == 443

SOC Tip

Ketika menganalisis traffic, biasakan menggunakan pola pertanyaan:

Who → Where → When → What happened?

Misalnya:

• Who: Host mana yang berkomunikasi?
• Where: Tujuan komunikasinya ke mana?
• When: Kapan komunikasi terjadi?
• What: Aktivitas atau protokol apa yang digunakan?

---

4. Sysmon — Windows Security Visibility

Sysmon (System Monitor) merupakan komponen Sysinternals yang dapat memberikan informasi lebih detail mengenai aktivitas pada sistem Windows.

Sysmon sangat berguna bagi SOC Analyst karena menyediakan telemetry yang dapat membantu investigasi endpoint.

Beberapa event penting yang perlu diketahui antara lain:

Event ID	Aktivitas
1	Process Creation
3	Network Connection
22	DNS Query

Event ID 1 — Process Creation

Event ini memberikan informasi mengenai proses yang dijalankan pada sistem.

Contohnya dapat membantu analyst menjawab:

• Proses apa yang berjalan?
• Siapa yang menjalankannya?
• Apa parent process-nya?
• Dari lokasi mana executable dijalankan?
• Apakah command line terlihat mencurigakan?

Event ID 3 — Network Connection

Event ini dapat membantu menghubungkan aktivitas proses dengan koneksi jaringan.

Event ID 22 — DNS Query

Event ini dapat digunakan untuk melihat aktivitas DNS yang dilakukan oleh endpoint.

Membaca Event Sysmon

Windows Event Log dapat diperiksa menggunakan PowerShell.

Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -MaxEvents 10

SOC Tip

Saat menemukan proses mencurigakan, jangan hanya melihat nama prosesnya.

Perhatikan juga:

Parent Process → Command Line → File Path → User → Network Connection

Konteks tersebut sering kali jauh lebih berguna dalam menentukan apakah aktivitas tersebut normal atau mencurigakan.

---

5. VirusTotal — Threat Intelligence

VirusTotal merupakan salah satu layanan yang sering digunakan dalam proses threat intelligence dan malware investigation.

SOC Analyst dapat menggunakannya untuk mencari informasi terkait:

• IP address.
• Domain.
• URL.
• File hash.
• Malware indicators.

Salah satu indikator yang umum digunakan adalah SHA-256 hash.

Misalnya, analyst mendapatkan sebuah file mencurigakan dan ingin mengetahui apakah file tersebut telah dikenal sebagai malware.

Hash file dapat dihitung terlebih dahulu.

Pada Linux:

sha256sum suspicious.exe

Setelah mendapatkan SHA-256, analyst dapat melakukan pencarian berdasarkan hash tersebut.

Alur Investigasi IOC

IOC
 ↓
Reputation
 ↓
Detection
 ↓
Context
 ↓
Investigation

Namun, hasil dari threat intelligence tidak boleh langsung dianggap sebagai bukti final.

Sebuah IP atau file yang memiliki reputasi buruk perlu dianalisis berdasarkan konteks, waktu, sumber alert, dan aktivitas endpoint/network yang terkait.

SOC Tip

Berhati-hatilah ketika mengunggah file ke layanan threat intelligence.

Jangan mengunggah file internal atau data sensitif perusahaan tanpa memastikan bahwa tindakan tersebut diperbolehkan oleh kebijakan organisasi.

---

6. CyberChef — Data Analysis & Transformation

CyberChef adalah tool berbasis web yang sangat berguna untuk melakukan berbagai transformasi dan analisis data.

Dalam aktivitas SOC, CyberChef sering membantu ketika analyst menemukan data yang:

• Ter-encode.
• Ter-enkripsi dengan metode tertentu.
• Menggunakan format hexadecimal.
• Menggunakan Base64.
• Membutuhkan decoding atau transformasi.

Contohnya, ketika menemukan string Base64 dalam sebuah log, analyst dapat melakukan decoding untuk memahami isi datanya.

CyberChef juga berguna untuk berbagai operasi seperti:

• Base64 Encode/Decode.
• Hexadecimal.
• URL Encoding.
• Hashing.
• Parsing data.
• Data transformation.

SOC Tip

Jangan menganggap setiap string yang terlihat acak sebagai malicious.

Pertama-tama tentukan:

Apa format datanya dan dari mana data tersebut berasal?

Konteks tetap menjadi bagian penting dari proses investigasi.

---

7. Nmap — Network Discovery

Nmap merupakan tool yang banyak digunakan untuk network discovery dan security assessment.

Dalam lingkungan SOC, pemahaman terhadap Nmap juga penting karena aktivitas scanning dapat muncul sebagai indikator reconnaissance.

Nmap dapat membantu mengidentifikasi:

• Host yang aktif.
• Port yang terbuka.
• Service yang berjalan.
• Network exposure.

Basic Scan

nmap 192.168.1.10

Untuk melakukan deteksi service:

nmap -sV 192.168.1.10

Hasil scanning dapat membantu SOC Analyst memahami apakah aktivitas network scanning yang terdeteksi merupakan:

• Aktivitas administrator.
• Vulnerability assessment.
• Security testing.
• Atau kemungkinan reconnaissance oleh attacker.

SOC Question

Ketika menemukan aktivitas scanning, jangan berhenti pada pertanyaan:

“Ada scanning atau tidak?”

Tanyakan:

“Apakah port tersebut memang seharusnya terbuka?”

Konteks aset dan fungsi server sangat penting.

Gunakan Nmap hanya pada sistem dan jaringan yang kamu miliki atau yang secara eksplisit memberikan izin untuk diuji.

---

8. Zeek — Network Security Monitoring

Zeek merupakan network security monitoring platform yang dapat menghasilkan berbagai log mengenai aktivitas jaringan.

Berbeda dengan packet analyzer seperti Wireshark, Zeek lebih berfokus pada network visibility dan metadata aktivitas jaringan.

Beberapa log Zeek yang penting diketahui:

Log	Informasi
conn.log	Koneksi jaringan
dns.log	Aktivitas DNS
http.log	Aktivitas HTTP
ssl.log	Informasi koneksi SSL/TLS

Contohnya, conn.log dapat membantu analyst melihat hubungan antara:

Source → Destination → Protocol → Connection

Zeek sangat berguna untuk membantu membangun pemahaman mengenai siapa berkomunikasi dengan siapa di dalam jaringan.

SOC Tip

Gunakan Zeek untuk membangun network visibility, kemudian kombinasikan dengan sumber lain ketika membutuhkan investigasi yang lebih mendalam.

---

9. Wazuh — Endpoint & Security Monitoring

Wazuh merupakan platform open-source yang dapat digunakan untuk security monitoring, log analysis, endpoint monitoring, vulnerability detection, dan file integrity monitoring.

Wazuh dapat membantu SOC Analyst melakukan:

• Endpoint monitoring.
• Log collection.
• Security alerting.
• File Integrity Monitoring.
• Vulnerability monitoring.
• Security configuration assessment.

Wazuh juga dapat mengumpulkan informasi dari endpoint dan berbagai sumber log untuk membantu proses investigasi.

Zeek vs Wazuh

Keduanya dapat saling melengkapi.

Tool	Fokus Utama
Zeek	Network Visibility
Wazuh	Endpoint & Security Monitoring

Misalnya, Zeek menemukan koneksi mencurigakan dari sebuah endpoint.

SOC Analyst kemudian dapat menggunakan Wazuh untuk melihat aktivitas pada endpoint tersebut.

Inilah salah satu konsep penting dalam SOC:

Network Evidence + Endpoint Evidence = Better Investigation Context

---

10. osquery — Endpoint Investigation

osquery memungkinkan analyst melakukan query terhadap sistem operasi menggunakan sintaks yang mirip dengan SQL.

Pendekatan ini menarik karena informasi endpoint dapat dicari menggunakan query.

Contohnya, untuk melihat proses yang sedang berjalan:

SELECT name, path
FROM processes;

Untuk melihat port yang sedang listening:

SELECT *
FROM listening_ports;

Dengan pendekatan tersebut, analyst dapat melakukan pemeriksaan endpoint secara lebih terstruktur.

Beberapa informasi yang dapat dicari menggunakan osquery antara lain:

• Running processes.
• Listening ports.
• User accounts.
• Installed applications.
• Network information.
• System configuration.

SOC Tip

Ketika melakukan endpoint investigation, jangan hanya mencari “malware”.

Mulailah dengan pertanyaan yang lebih spesifik:

Proses apa yang berjalan?

Port apa yang sedang listening?

Aplikasi apa yang terpasang?

User apa yang aktif?

Pertanyaan sederhana tersebut dapat membantu membangun baseline sebelum menentukan apakah terdapat anomali.

Bagaimana Cara Belajar Tools SOC Analyst?

Kesalahan umum pemula adalah mencoba mempelajari semua tools sekaligus.

Hasilnya, mereka mengetahui banyak nama tools tetapi tidak benar-benar memahami bagaimana melakukan investigasi.

Lebih baik gunakan pendekatan bertahap.

Tahap 1 — Pelajari SIEM

Mulai dengan salah satu SIEM, misalnya:

• Splunk.
• Microsoft Sentinel.
• Wazuh.

Fokus pada:

• Log source.
• Event.
• Alert.
• Search.
• Query.
• Correlation.
• Incident.

Tujuannya bukan menghafal seluruh fitur, tetapi memahami bagaimana data keamanan masuk dan dianalisis.

Tahap 2 — Pelajari Windows Logs

Setelah memahami SIEM, lanjutkan dengan Windows Event Logs dan Sysmon.

Pelajari beberapa aktivitas seperti:

• Process creation.
• Authentication.
• Network connection.
• PowerShell.
• DNS activity.

Ini akan membantu memahami apa yang sebenarnya terjadi di endpoint ketika sebuah alert muncul.

Tahap 3 — Pelajari Network Analysis

Selanjutnya belajar Wireshark dan Zeek.

Fokus pada:

• IP.
• Port.
• Protocol.
• DNS.
• HTTP.
• TLS.
• Connection.
• PCAP.

Tujuannya adalah memahami bagaimana aktivitas mencurigakan terlihat dari sisi jaringan.

Tahap 4 — Pelajari Threat Intelligence

Gunakan tools seperti VirusTotal untuk memahami IOC.

Pelajari:

• IP reputation.
• Domain reputation.
• URL.
• File hash.
• Malware intelligence.

Namun, jangan hanya melihat apakah sebuah IOC “malicious”.

Pelajari cara menghubungkan IOC tersebut dengan konteks insiden.

Tahap 5 — Mulai Threat Hunting

Setelah memiliki dasar SIEM, endpoint, network, dan threat intelligence, kamu bisa mulai masuk ke threat hunting.

Contohnya:

SIEM
 ↓
Suspicious Login
 ↓
Endpoint Investigation
 ↓
Network Investigation
 ↓
IOC Enrichment
 ↓
Threat Hunting
 ↓
Determine Scope

Pada tahap ini, kamu mulai tidak hanya menunggu alert.

Kamu mulai bertanya:

“Apakah ada aktivitas mencurigakan yang belum terdeteksi oleh rule?”

Roadmap SOC Analyst Pemula

Berikut gambaran roadmap yang dapat digunakan:

Tahap	Fokus	Tools
1	SIEM & Log Analysis	Splunk, Sentinel, Wazuh
2	Windows Monitoring	Sysmon
3	Network Analysis	Wireshark
4	Network Monitoring	Zeek
5	Threat Intelligence	VirusTotal
6	Data Analysis	CyberChef
7	Network Discovery	Nmap
8	Endpoint Investigation	osquery
9	Threat Hunting	SIEM + Endpoint + Network
10	Incident Response	Kombinasi seluruh skill

Jangan Kejar Jumlah Tools

Menjadi SOC Analyst bukan kompetisi untuk menguasai sebanyak mungkin tools.

Yang lebih penting adalah memahami proses investigasi.

Misalnya, ketika menerima alert:

Alert
  ↓
Validate
  ↓
Collect Evidence
  ↓
Analyze
  ↓
Enrich IOC
  ↓
Determine Impact
  ↓
Contain / Escalate
  ↓
Document

Tools hanyalah alat untuk membantu proses tersebut.

Seorang analyst yang memahami proses investigasi dengan baik akan lebih mudah beradaptasi ketika perusahaan menggunakan SIEM atau security tools yang berbeda.

Jangan fokus menjadi orang yang hafal banyak tools. Fokuslah menjadi analyst yang mampu menjawab “apa yang terjadi, mengapa terjadi, seberapa luas dampaknya, dan apa yang harus dilakukan selanjutnya.”

Kesimpulan

Ada banyak tools yang dapat membantu membangun kemampuan sebagai SOC Analyst, tetapi kamu tidak perlu mempelajarinya sekaligus.

Sepuluh tools yang penting untuk mulai dikenal adalah:

1. Splunk — SIEM & log analysis.
2. Microsoft Sentinel — Cloud SIEM.
3. Wireshark — Network packet analysis.
4. Sysmon — Windows security visibility.
5. VirusTotal — Threat intelligence.
6. CyberChef — Data analysis & transformation.
7. Nmap — Network discovery.
8. Zeek — Network security monitoring.
9. Wazuh — Endpoint & security monitoring.
10. osquery — Endpoint investigation.

Namun, yang paling penting bukan jumlah tools yang kamu kuasai.

Mulailah dari SIEM → Windows Logs → Network Analysis → Threat Intelligence → Threat Hunting, kemudian secara bertahap tambahkan kemampuan incident response dan digital forensics.

Dengan pendekatan tersebut, kamu tidak hanya belajar menjalankan tools, tetapi juga membangun cara berpikir seorang SOC Analyst.