Di era ancaman siber yang semakin canggih dan terkoordinasi, mengelola keamanan server Linux tidak lagi cukup hanya dengan mengandalkan l...
Di era ancaman siber yang semakin canggih dan terkoordinasi, mengelola keamanan server Linux tidak lagi cukup hanya dengan mengandalkan log lokal yang tersebar di /var/log/auth.log atau mengandalkan alert firewall perimeter. Penyerang yang berhasil menembus celah web aplikasi sering kali bergerak secara lateral, mengubah biner sistem, menanamkan backdoor, atau menghapus jejak log lokal sebelum administrator menyadari adanya insiden.
Untuk mendapatkan visibilitas komprehensif terhadap postur keamanan seluruh armada server, organisasi memerlukan solusi Security Information and Event Management (SIEM) yang dipadukan dengan Extended Detection and Response (XDR). Di dunia open-source, Wazuh telah menjadi platform terdepan yang menyediakan kemampuan analisis log terpusat, Host-based Intrusion Detection (HIDS), File Integrity Monitoring (FIM), pendeteksian kerentanan (vulnerability assessment), dan kepatuhan regulasi (seperti PCI-DSS, GDPR, dan CIS Benchmark).
1. Arsitektur Inti Platform Wazuh
Platform Wazuh terdiri dari tiga komponen utama yang saling berkolaborasi:
- Wazuh Server (Manager): Mengumpulkan, mendekode, dan menganalisis event log yang dikirimkan oleh agent menggunakan mesin korelasi aturan (rule engine), serta memicu respons aktif otomatis jika terdeteksi indikasi anomali.
- Wazuh Indexer: Mesin pencarian dan analitik terdistribusi berkecepatan tinggi berbasis OpenSearch yang menyimpan, mengindeks, dan mengagregasi jutaan log keamanan.
- Wazuh Dashboard: Antarmuka web visual berbasis web untuk eksplorasi data ancaman, pemetaan insiden ke kerangka kerja MITRE ATT&CK, dan pelaporan kepatuhan.
- Wazuh Agent: Layanan ringan (daemon) yang dipasang di setiap endpoint (server Linux, VM, container, atau workstation) untuk memantau integritas file, audit perintah sistem, dan membaca log lokal secara real-time.
2. Instalasi Wazuh Server All-in-One Menggunakan Script Resmi
Untuk server monitoring terpusat (dianjurkan minimal spesifikasi 4 vCPU dan 8 GB RAM), Anda dapat melakukan instalasi tumpukan Wazuh Indexer, Manager, dan Dashboard dengan arsitektur All-in-One secara terotomatisasi:
# Unduh installer resmi instalasi Wazuh All-in-One
curl -sO https://packages.wazuh.com/4.9/wazuh-install.sh
curl -sO https://packages.wazuh.com/4.9/config.yml
# Jalankan proses instalasi terotomatisasi
sudo bash ./wazuh-install.sh -a
# Catat username dan password default 'admin' yang dihasilkan di akhir proses instalasi!
Setelah instalasi selesai, verifikasi bahwa ketiga komponen utama berjalan dengan status aktif:
# Periksa status layanan Wazuh Manager, Indexer, dan Dashboard
sudo systemctl status wazuh-manager wazuh-indexer wazuh-dashboard --no-pager
3. Mendaftarkan Wazuh Agent pada Server Linux Klien
Untuk mulai memantau server produksi Anda, pasang wazuh-agent pada server target (misalnya Ubuntu Server 24.04/22.04 LTS):
# Tambahkan kunci GPG dan repositori resmi Wazuh di server target
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && sudo chmod 644 /usr/share/keyrings/wazuh.gpg
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee -a /etc/apt/sources.list.d/wazuh.list
# Update package index dan pasang wazuh-agent
sudo apt update && sudo apt install -y wazuh-agent
# Daftarkan agent ke Wazuh Manager (ganti 192.168.10.50 dengan IP Wazuh Server Anda)
sudo WAZUH_MANAGER="192.168.10.50" WAZUH_AGENT_NAME="web-prod-01" /var/ossec/bin/agent-auth -m 192.168.10.50
# Mulai dan aktifkan layanan wazuh-agent saat boot
sudo systemctl daemon-reload
sudo systemctl enable --now wazuh-agent
4. Konfigurasi File Integrity Monitoring (FIM)
Salah satu fitur paling ampuh dari Wazuh adalah File Integrity Monitoring (FIM) melalui komponen syscheck. FIM memantau perubahan checksum (SHA256), atribut file, dan izin akses pada direktori sistem sensitif secara real-time.
Buka file konfigurasi /var/ossec/etc/ossec.conf pada server klien, dan pastikan konfigurasi FIM aktif pada direktori penting:
<syscheck>
<disabled>no</disabled>
<frequency>43200</frequency>
<scan_on_start>yes</scan_on_start>
<!-- Pantau direktori biner dan konfigurasi sensitif dengan pelaporan real-time -->
<directories realtime="yes" check_all="yes" report_changes="yes">/etc,/bin,/sbin,/usr/bin,/usr/sbin</directories>
<!-- Pantau web root aplikasi dari injeksi webshell -->
<directories realtime="yes" check_all="yes">/var/www/html</directories>
<!-- Abaikan file sementara yang sering berubah -->
<ignore>/etc/mtab</ignore>
<ignore>/etc/hosts.deny</ignore>
</syscheck>
Restart layanan agent setelah mengubah konfigurasi: sudo systemctl restart wazuh-agent.
<white_list> di Wazuh Manager agar administrator tidak terkunci (lockout) secara tidak sengaja akibat salah ketik password berulang.
5. Validasi Deteksi dan Pemetaan MITRE ATT&CK
Lakukan uji coba deteksi insiden dengan memicu percobaan login SSH yang gagal atau memodifikasi file dummy di direktori /etc:
# Simulasikan percobaan eskalasi atau modifikasi file sistem
sudo touch /etc/wazuh_security_probe.test
sudo rm /etc/wazuh_security_probe.test
Dalam hitungan detik, buka Wazuh Dashboard pada browser Anda (https://<IP-Wazuh-Server>). Masuk ke menu Security Events:
- Anda akan melihat alert level tinggi: "File added to the system" dan "File deleted from system" lengkap dengan path file, timestamp presisi, serta ID user yang mengeksekusi perubahan.
- Pada insiden serangan SSH Brute Force, Wazuh secara otomatis memetakan event ke taktik MITRE ATT&CK T1110 (Brute Force) dan memicu tindakan mitigasi secara instan.
Kesimpulan
Mengadopsi Wazuh sebagai platform SIEM dan XDR terpusat memberikan kendali penuh dan visibilitas mendalam atas seluruh infrastruktur server Linux. Kemampuan audit integritas file real-time, korelasi log otomatis, dan pelaporan standar keamanan internasional menjadikan Wazuh fondasi pertahanan siber yang tak tergantikan bagi tim sysadmin dan SecOps modern.
COMMENTS