Belajar Wazuh - Security Configuration Assessment (SCA)

#Pendahuluan

Di episode 9, kalian belajar mendeteksi kerentanan pada perangkat lunak yang terinstall lewat modul Vulnerability Detection. Namun aplikasi yang bebas CVE tidak otomatis membuat host kalian aman. Banyak insiden justru bermula dari konfigurasi yang lemah: izin berkas yang longgar, layanan yang tidak perlu aktif, atau opsi SSH yang terlalu permisif.

Episode 10 membahas Security Configuration Assessment, atau SCA. Modul ini memindai host terhadap baseline keamanan yang sudah baku, seperti benchmark CIS untuk Linux, Windows, dan macOS, lalu menampilkan berapa banyak persyaratan yang sudah terpenuhi.

Kita juga akan melihat integrasi dengan cis_cat untuk skenario tertentu, cara membuat kebijakan custom berbasis YAML, dan membaca skor kepatuhan di dashboard. Di akhir episode, kalian bisa menilai tingkat hardening sebuah host hanya dalam beberapa menit.

#Apa Itu Security Configuration Assessment

SCA adalah proses membandingkan konfigurasi aktual sebuah sistem dengan standar yang diinginkan. Wazuh mengotomatiskan ini dengan daftar periksa yang disebut policy. Setiap policy berisi ratusan check, dan setiap check adalah satu pertanyaan ya atau tidak terhadap kondisi sistem.

Contoh check sederhana: apakah izin berkas /etc/passwd sudah benar, atau apakah login root via SSH dimatikan. Agent menjalankan check ini secara berkala, mengirim hasilnya ke manager, lalu hasil itu diubah menjadi alert serta skor kepatuhan.

Yang menarik dari SCA adalah hasilnya objektif. Tidak ada interpretasi, tidak ada opini. Sistem lolos atau gagal terhadap setiap persyaratan, dan hasil itu bisa langsung dipertanggungjawabkan kepada auditor.

#Benchmark CIS sebagai Peta Jalan

CIS adalah singkatan dari Center for Internet Security. Organisasi ini menerbitkan benchmark yang menjadi tolok ukur hardening paling banyak dipakai di dunia. Wazuh membawa beberapa benchmark ini sebagai policy bawaan, baik untuk Linux, Windows, maupun macOS.

Setiap benchmark dibedakan berdasarkan level. Level 1 adalah dasar yang bisa diterapkan tanpa mengganggu fungsi utama, sementara level 2 lebih ketat dan sering mengorbankan kenyamanan demi keamanan. Kalian bisa memilih sesuai prioritas bisnis masing-masing.

Untuk Linux, contohnya ada CIS Distribution Independent, CIS Ubuntu, CIS Debian, dan turunan Red Hat. Untuk Windows, tersedia benchmark Windows Server dan Windows 10, termasuk versi lama maupun terbaru. macOS juga mendapat perhatian lewat benchmark khusus.

#Integrasi cis_cat

Kebanyakan check SCA berjalan langsung di dalam agent. Namun ada kalanya Wazuh membutuhkan bantuan alat eksternal, terutama untuk sistem yang check-nya rumit dijalankan secara lokal. Di sinilah CIS-CAT hadir.

CIS-CAT adalah alat resmi dari CIS yang menjalankan benchmark secara menyeluruh. Wazuh bisa memanggilnya lewat wodle cis-cat, misalnya untuk memindai host Windows dari sisi manager menggunakan koneksi SSH. Hasil scan CIS-CAT kemudian diubah menjadi alert SCA biasa.

Mengaktifkan integrasi cis-cat

<ossec_config>
  <wodle name="cis-cat">
    <disabled>no</disabled>
    <run_on_start>yes</run_on_start>
    <interval>1d</interval>
    <scan_timeout>1800</scan_timeout>
    <server>192.168.10.15</server>
    <user>sca_user</user>
    <password>changeme</password>
  </wodle>
</ossec_config>

Integrasi ini butuh lisensi CIS-CAT Pro, jadi tidak semua lingkungan mengaktifkannya. Bagi yang membutuhkan hasil audit paling akurat dari CIS, opsi ini layak dipertimbangkan. Ingat, cis_cat memindai lewat jaringan, sehingga pastikan koneksi SSH ke host target berjalan mulus sebelum mengaktifkannya.

#Baseline Configuration Scanning

Sekarang mari kita bahas apa saja yang sebenarnya diperiksa. Baseline configuration scanning menyentuh beberapa lapisan sistem sekaligus.

• Izin dan kepemilikan berkas penting, seperti passwd, shadow, dan file konfigurasi layanan.
• Pengaturan kernel lewat sysctl, misalnya parameter jaringan dan hardening kernel.
• Konfigurasi layanan seperti SSH, firewall, dan scheduler.
• Registry dan kebijakan keamanan untuk sistem Windows.
• Kumpulan paket yang seharusnya tidak terpasang di server.

Konsep kuncinya adalah baseline: kondisi ideal yang menjadi acuan. Semakin dekat sistem dengan baseline, semakin kecil permukaan serangannya. SCA menjadikan baseline itu nyata dan terukur, bukan sekadar dokumen di atas kertas.

#Mengaktifkan Modul SCA

Modul SCA berjalan di dalam agent dan aktif secara default pada instalasi normal. Konfigurasinya berada pada bagian sca di file ossec.conf agent. Kita bisa mengatur kapan scan pertama dijalankan dan seberapa sering scan berikutnya berulang.

Konfigurasi SCA di ossec.conf agent

<ossec_config>
  <sca>
    <enabled>yes</enabled>
    <scan_on_start>yes</scan_on_start>
    <interval>12h</interval>
    <skip_verify>yes</skip_verify>
  </sca>
</ossec_config>

Dengan konfigurasi di atas, agent langsung memindai saat start lalu mengulanginya tiap 12 jam. Setelah mengubah file, jalankan systemctl restart wazuh-agent di setiap host. Hasilnya akan muncul pada modul SCA di dashboard dalam beberapa saat.

Kebijakan yang tersedia otomatis dipilih berdasarkan sistem operasi agent. Kalian juga bisa membatasi policy tertentu secara eksplisit lewat daftar policies pada konfigurasi.

#Kebijakan Custom dalam YAML

Kadang benchmark bawaan belum menjawab kebutuhan spesifik. Tim bisa memiliki standar internal yang lebih ketat, atau persyaratan pelanggan yang unik. Untuk itu Wazuh mendukung kebijakan custom yang ditulis dalam YAML.

Setiap policy YAML memiliki blok policy dan daftar checks. Setiap check terdiri dari id, judul, alasan, perbaikan, dan satu atau beberapa rules dengan operator perbandingan. Berikut contoh sederhana untuk Ubuntu.

policy:
  id: "my_ubuntu_hardening"
  name: "Hardening Dasar Ubuntu"
  description: "Pemeriksaan baseline keamanan untuk server Ubuntu"
  checks:
    - id: 10001
      title: "Pastikan izin berkas passwd hanya ditulis root"
      rationale: "Izin longgar memungkinkan penambahan akun oleh orang lain"
      remediation: "Jalankan chmod 0644 pada berkas passwd"
      condition: "all"
      rules:
        - type: "file"
          field: "/etc/passwd"
          operator: "=="
          value: "0644"
    - id: 10002
      title: "Pastikan login root via SSH dimatikan"
      rationale: "Login root langsung memperbesar risiko bila kredensial bocor"
      remediation: "Set PermitRootLogin no pada sshd_config"
      condition: "all"
      rules:
        - type: "command"
          command: "grep PermitRootLogin /etc/ssh/sshd_config"
          operator: "contains"
          value: "no"

Policy disimpan di direktori sca pada shared manager, lalu disinkronkan ke semua agent. Untuk melihat policy yang sudah tersedia di tiap agent, kalian bisa memeriksa isi folder /var/ossec/etc/shared/sca/.

ls -l /var/ossec/etc/shared/sca/

sudo systemctl restart wazuh-agent

Setelah policy custom tersinkron, agent akan mengevaluasi setiap check dan melaporkannya. Pastikan id policy tidak bentrok dengan policy bawaan, dan simpan perubahan melalui git agar riwayatnya bisa diaudit.

#Skor Compliance di Dashboard

Semua hasil scan akhirnya bermuara di dashboard. Modul SCA pada Wazuh Dashboard menampilkan skor kepatuhan dalam persentase, jumlah check yang lolos dan gagal, serta rincian per policy.

Kalian bisa menelusuri satu per satu check yang gagal, membaca alasan dan langkah perbaikannya, lalu menandainya setelah diterapkan. Skor ini juga menjadi bahan pembicaraan yang jujur dengan manajemen: di mana kita berdiri dan apa yang harus diperbaiki.

Untuk memicu scan ulang secara manual, kalian bisa merestart agent lewat service manager. Bagi yang suka otomatis, hasil SCA juga bisa ditarik lewat API untuk keperluan monitoring dan pembandingan antar periode.

#Penutup

Episode 10 mengajarkan cara Wazuh menilai konfigurasi host terhadap baseline keamanan yang baku. Kita memahami benchmark CIS untuk Linux, Windows, dan macOS, integrasi cis_cat untuk skenario khusus, baseline configuration scanning, kebijakan custom berbasis YAML, serta membaca skor kepatuhan di dashboard.

Inti yang harus dibawa pulang:

• SCA membandingkan konfigurasi aktual dengan daftar periksa yang objektif.
• Benchmark CIS tersedia untuk Linux, Windows, dan macOS dengan level berbeda.
• cis_cat membantu memindai sistem yang sulit diakses dari dalam agent.
• Baseline configuration scanning menyentuh berkas, kernel, dan layanan.
• Kebijakan custom ditulis dalam YAML dan disinkronkan melalui shared.
• Dashboard SCA menampilkan skor kepatuhan dan rincian per check.

Skor kepatuhan saja belum cukup tanpa memahami regulasi yang mengikat. Di episode 11, kita akan memetakan semua hasil ini ke framework compliance: GDPR, NIST 800-53, HIPAA, PCI DSS, dan TSC, lengkap dengan pembuatan laporan untuk keperluan audit. Sampai jumpa!