Kalkulator Kapasitas Log SIEM, Syslog & Retensi Audit Keamanan

Perencanaan kapasitas penyimpanan log keamanan pada sistem Security Information and Event Management (SIEM) seperti Wazuh, Elastic Security (ELK), Graylog, maupun server rsyslog terpusat merupakan fondasi utama dalam memenuhi kepatuhan audit keamanan informasi (ISO/IEC 27001 klausul A.12.4, PCI-DSS Requirement 10, dan UU PDP). Setiap perangkat jaringan (firewall FortiGate, router MikroTik, switch core) serta server produksi (Linux systemd-journald, auditd, dan Windows Event Log) secara kontinu menghasilkan aliran pesan telemetri yang diukur dalam satuan Events Per Second (EPS). Volume penyimpanan harian ditentukan oleh hasil kali antara total EPS gabungan seluruh sumber log, jumlah detik dalam sehari (86.400 detik), dan ukuran rata-rata satu baris pesan log dalam satuan byte. Pesan syslog standar RFC 5424 dari router atau akses web Nginx umumnya berukuran 250 hingga 400 byte, sedangkan log audit keamanan berformat JSON dari agen endpoint atau Windows Security Event dapat mencapai 600 hingga 1.200 byte per kejadian. Ketika log masuk ke mesin indeks pencarian seperti Elasticsearch atau OpenSearch (Hot Tier), struktur inverted index dan metadata Lucene menambahkan overhead penyimpanan sekitar 10% di atas ukuran mentah. Untuk mengoptimalkan biaya penyimpanan jangka panjang (misalnya retensi 1 tahun), arsitektur SIEM membagi penyimpanan ke dalam dua tingkatan: Hot Storage berbasis NVMe SSD untuk pencarian cepat selama 30–90 hari pertama, dan Cold Archive berbasis kompresi Zstandard (zstd) atau Gzip yang mampu menyusutkan ukuran teks log dengan rasio 5:1 hingga 8:1, ditambah cadangan ruang (safety buffer) 20% agar disk tidak menyentuh batas watermark read-only. Selain kapasitas ruang penyimpanan dalam satuan Terabyte, perencana infrastruktur SOC (Security Operations Center) wajib memperhitungkan kinerja tulis IOPS (Input/Output Operations Per Second) dan ketahanan antrean ingesti saat terjadi lonjakan insiden keamanan (seperti serangan DDoS atau pemindaian port masif). Pada saat serangan berlangsung, laju EPS dari firewall dan IDS/IPS seperti Suricata dapat melonjak tiga hingga lima kali lipat dari rata-rata harian normal. Menyediakan buffer antrean berbasis Kafka atau Redis di depan klaster indeks Wazuh/Elasticsearch serta menjaga ruang kosong disk minimal 20% di bawah ambang batas flood-stage watermark (95% pada Elasticsearch) menjamin tidak ada bukti forensik log yang hilang di tengah investigasi insiden.