Belajar Wazuh - Konsep Dasar & Arsitektur Utama

#Pendahuluan

Di episode 1, kalian sudah memahami sejarah Wazuh — dari OSSEC HIDS hingga platform mandiri sejak 4.0. Sekarang kita masuk ke inti teknis: bagaimana Wazuh bekerja secara arsitektural.

Episode ini membedah konsep dasar yang wajib dipahami sebelum menginstal apa pun. Kita akan bahas perbedaan SIEM, EDR, dan XDR, posisi Wazuh di antara ketiganya, lalu lima komponen utama dan alur kerja data dari endpoint sampai dashboard.

Pahami materi ini benar-benar, karena seluruh episode berikutnya — instalasi, deployment agent, dan analisis log — akan selalu merujuk kembali ke arsitektur ini.

#SIEM vs EDR vs XDR

Tiga istilah ini sering tertukar. Mari kita bedah satu per satu.

#SIEM: Mengumpulkan dan Menghubungkan Log

SIEM atau Security Information and Event Management adalah kategori tool yang mengumpulkan log dari seluruh infrastruktur — server, firewall, aplikasi — lalu menormalkannya, mengorelasikan antar sumber, dan menghasilkan alert. SIEM menjawab pertanyaan besar: apa yang terjadi di seluruh lingkungan saya.

Kekuatan SIEM ada di agregasi dan korelasi. Ia biasanya tidak menaruh sensor di setiap endpoint; ia bergantung pada log yang dikirim ke pusat.

#EDR: Fokus di Endpoint

EDR atau Endpoint Detection and Response bekerja lebih dalam di level endpoint: agent dipasang di setiap mesin, memantau proses, file, registry, dan perilaku sistem secara kontinu. EDR menjawab pertanyaan: apa yang dilakukan proses mencurigakan di mesin ini.

Keunggulan EDR adalah detail forensik yang kaya — ia menjangkau lebih dalam dari log semata.

#XDR: Menyatukan Semuanya

XDR atau Extended Detection and Response adalah evolusi EDR yang memperluas cakupan: tidak hanya endpoint, tapi juga network, email, cloud, dan identitas — dengan korelasi lintas lapisan.

Bisa dibilang XDR adalah EDR yang melebar, dan SIEM adalah pengumpul data yang menyeluruh. Keduanya saling melengkapi, bukan saling menggantikan.

#Di Mana Wazuh Berdiri?

Wazuh memposisikan diri sebagai unified XDR dan SIEM open source. Ia punya kemampuan khas EDR lewat agent dengan FIM, vulnerability detection, dan monitoring keamanan endpoint. Ia juga punya kemampuan SIEM lewat pengumpulan log terpusat dan korelasi. Kombinasi keduanya dalam satu platform membuat Wazuh menarik bagi organisasi yang tidak mau membeli tiga produk sekaligus.

#Lima Komponen Utama Wazuh

Arsitektur Wazuh 4.x terdiri dari lima komponen yang saling bekerja sama.

#Wazuh Manager

Server pusat yang menerima data dari agent, menjalankan decoding dan rules, lalu menghasilkan alert. Manager juga menangani clustering dan active response. Di instalasi all-in-one, ia berjalan di VM server kalian.

#Wazuh Indexer

Penyimpanan data berbasis OpenSearch. Semua alert dan event yang diproses manager masuk ke indexer dan bisa dicari secara cepat. Ini pengganti Elasticsearch sejak Wazuh 4.0.

#Wazuh Dashboard

Antarmuka web yang membaca data dari indexer. Di sini kalian melihat alert, membuat visualisasi, dan mengelola kebijakan. Dashboard adalah wajah Wazuh yang kalian lihat setiap hari.

#Wazuh Agent

Program ringan yang dipasang di setiap endpoint yang dipantau. Agent mengumpulkan log, memantau integritas file, dan mengirim semuanya ke manager lewat koneksi terenkripsi.

#RESTful API

API pada komponen manager dan indexer yang memungkinkan manajemen dan automasi. Tools seperti dashboard memanfaatkannya, dan kalian bisa menulis script sendiri untuk operasi massal.

#Alur Kerja Data

Sekarang mari kita ikuti satu event dari ujung ke ujung. Rangkuman alurnya:

agent -> manager -> decoder dan rules -> alert -> indexer -> dashboard

Penjelasan langkah demi langkah:

1. Agent menangkap aktivitas di endpoint, misalnya gagal login berkali-kali.
2. Data dikirim ke manager lewat koneksi TLS terenkripsi. Protokol defaultnya UDP port 1514 untuk data dan TCP port 1515 untuk enrollment.
3. Manager menjalankan decoder untuk menormalkan log, lalu mencocokkan dengan rules. Jika sesuai, ia menghasilkan alert.
4. Alert dan data mentah disimpan ke indexer sebagai dokumen OpenSearch.
5. Dashboard membaca indeks dan menampilkan semuanya dalam antarmuka yang bisa dicari.

Kecepatan seluruh pipeline ini penting. Di Wazuh 5.0, proses decoder dan rules digantikan oleh Wazuh Engine yang lebih modular, namun urutan besar yang sama tetap berlaku.

#Peta Port di Arsitektur

Setiap komponen berbicara di port tertentu. Mengenal peta ini mempermudah membaca log dan membuka firewall nanti:

• 1514 UDP dan TCP — koneksi data dari agent ke manager.
• 1515 TCP — enrollment agent ke manager.
• 9200 — indexer, tempat data disimpan dan dicari.
• 443 — dashboard, antarmuka web yang kalian akses.
• 55000 — RESTful API manager.

Peta port ini akan kalian pakai di episode 3 saat memverifikasi instalasi dan di episode 4 saat men-deploy agent. Kalau ada koneksi yang gagal, langkah pertama selalu mengecek port terkait.

#Verifikasi Arsitektur di Lab

Setelah instalasi di episode 3, kalian bisa memverifikasi kelima komponen berjalan dengan memeriksa service utamanya:

sudo systemctl status wazuh-manager
sudo systemctl status wazuh-indexer
sudo systemctl status wazuh-dashboard

Jalankan satu per satu agar output tidak tercampur. Ketiganya harus berstatus active (running) sebelum lanjut. Agent baru diinstal di episode 4, jadi komponen itu belum perlu dicari di episode ini. Jika ada service yang gagal, gunakan journalctl -u wazuh-manager untuk membaca log penyebabnya.

#Penutup

Di episode 2 ini kalian sudah memahami peta arsitektur Wazuh: peran SIEM, EDR, dan XDR, posisi Wazuh sebagai unified platform, serta lima komponen yang bekerja sebagai satu kesatuan.

Inti yang harus dibawa pulang:

• SIEM mengumpulkan log, EDR mendalami endpoint, XDR menyatukan keduanya.
• Wazuh adalah unified XDR dan SIEM open source.
• Manager, indexer, dashboard, agent, dan API adalah lima komponen utama.
• Data mengalir dari agent ke manager, lalu ke indexer, lalu ke dashboard.
• Wazuh 5.0 mengganti pipeline decoder dan rules dengan Wazuh Engine.

Selanjutnya, di episode 3 kita mulai mengotori tangan: instalasi Wazuh all-in-one dengan wazuh-install.sh, verifikasi service, dan login pertama ke dashboard. Sampai jumpa!