Belajar Wazuh - Agent Deployment & Enrollment

#Pendahuluan

Di episode 3, server Wazuh kalian sudah berjalan penuh — manager, indexer, dan dashboard aktif. Tapi tanpa agent, server itu hanya menunggu. Sekarang saatnya memasang sensor di endpoint.

Episode 4 ini membahas deployment agent dan enrollment: menginstal Wazuh Agent di berbagai sistem operasi, menghubungkannya ke manager, dan memverifikasi statusnya. Di akhir episode, VM target kalian akan tampil sebagai agent aktif di dashboard.

Kita akan membedakan dua hal yang sering tertukar: instalasi menaruh software agent di mesin, sedangkan enrollment mendaftarkan mesin itu ke manager dan memberinya kunci unik untuk komunikasi terenkripsi.

#Persiapan Enrollment

Sebelum memasang agent, siapkan dua informasi dari server Wazuh:

• IP atau hostname server — dipakai agent untuk terhubung.
• Credentials API — user admin dan password dari output installer episode 3, dipakai saat request kunci.

Kunci enrollment bisa diminta lewat API manager yang berjalan di port 55000. Alur umumnya: generate token autentikasi, lalu gunakan token tersebut untuk meminta kunci agent:

TOKEN=$(curl -u admin:KATA_SANDI -k -X POST "https://IP_SERVER:55000/security/user/authenticate?raw=true")
curl -k -X POST -d '{"name":"agent-01"}' "https://IP_SERVER:55000/agents?pretty=true" -H "Content-Type:application/json" -H "Authorization: Bearer $TOKEN"

Respons kedua berisi ID agent dan string kunci yang panjang. Kunci itu yang memberi agent hak untuk terhubung secara aman. Simpan baik-baik — tanpa kunci, agent tidak akan pernah tampil aktif.

#Instalasi Agent di Linux

Kabar baiknya, cara paling umum justru tanpa perlu mengelola kunci manual. Paket agent Linux bisa diinstal langsung dengan variabel environment yang mendaftarkan agent sekaligus. Dari VM wazuh-agent, jalankan:

curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee -a /etc/apt/sources.list.d/wazuh.list
sudo apt update

Untuk distribusi berbasis RPM seperti RHEL, daftarkan repo resmi terlebih dahulu dengan cara yang serupa. Setelah repo siap, instal agent dengan variabel enrollment:

sudo WAZUH_MANAGER="IP_SERVER" WAZUH_AGENT_NAME="agent-01" apt install wazuh-agent
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

Ganti IP_SERVER dengan alamat manager kalian. Saat service dimulai, agent otomatis melakukan enrollment ke manager di port 1515, menerima kunci, lalu mulai mengirim data di port 1514. Catatan penting: agent tidak perlu diinstal ulang jika kalian pindah manager — cukup ubah alamat dan restart.

#Instalasi Agent di Windows

Untuk Windows, Wazuh menyediakan installer MSI. Ada dua jalur: wizard grafis atau command line. Untuk satu mesin, cukup unduh MSI dari repo Wazuh lalu jalankan wizard dan isi alamat manager serta nama agent.

Untuk deployment massal, PowerShell sebagai administrator lebih efisien:

Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.x.msi -OutFile wazuh-agent.msi
./wazuh-agent-4.x.msi /q WAZUH_MANAGER="IP_SERVER" WAZUH_AGENT_NAME="agent-win-01"

Setelah selesai, service Wazuh otomatis terdaftar dan berjalan. Konfigurasi di Windows bernama ossec.conf dan berada di direktori instalasi di bawah folder Program Files — struktur file-nya sama dengan Linux, hanya lokasinya yang berbeda.

#Instalasi Agent di macOS

Untuk macOS, gunakan paket pkg. Pastikan variabel manager sudah diatur sebelum menjalankan installer:

sudo installer -pkg wazuh-agent-4.x.pkg -target /
sudo /Library/Ossec/bin/wazuh-control start

Jika variabel tidak diatur saat instalasi, set alamat manager di /Library/Ossec/etc/ossec.conf sebelum menjalankan wazuh-control start. Konsep enrollment-nya identik dengan Linux dan Windows.

#Memahami ossec.conf

Semua konfigurasi agent hidup di file ossec.conf. Dua blok yang paling penting untuk koneksi:

<ossec_config>
  <client>
    <server>
      <address>IP_SERVER</address>
      <protocol>tcp</protocol>
      <port>1514</port>
    </server>
  </client>
  <enrollment>
    <enabled>yes</enabled>
    <manager_address>IP_SERVER</manager_address>
    <port>1515</port>
  </enrollment>
</ossec_config>

Blok client mengatur tujuan data: alamat manager, protokol, dan port. Protokol bisa tcp atau udp — TCP lebih andal, UDP lebih ringan. Blok enrollment mengatur pendaftaran. Setelah mengubah ossec.conf, restart agent agar perubahan diterapkan.

#Manajemen Terpusat dengan agent.conf

Di instalasi berskala besar, mengedit ossec.conf di setiap mesin tidak praktis. Wazuh menyediakan centralized configuration: file agent.conf di sisi manager yang diteruskan ke semua agent.

sudo nano /var/ossec/etc/shared/agent.conf

Dengan agent.conf, kalian bisa menerapkan kelompok konfigurasi berbeda per nama agent atau per sistem operasi tanpa menyentuh setiap endpoint. Perubahan diterapkan saat agent menerima polling konfigurasi berikutnya — tidak perlu instalasi ulang.

#Verifikasi Status Agent

Setelah agent terpasang, verifikasi dari dua sisi.

Dari sisi agent, cek status prosesnya:

/var/ossec/bin/wazuh-control status

Dari sisi manager, daftarkan semua agent beserta statusnya:

sudo /var/ossec/bin/agent_control -l

Status yang diharapkan adalah Active — artinya agent ter-enroll dan mengirim data. Status Disconnected berarti agent pernah terhubung tapi koneksinya putus, biasanya karena firewall atau service mati. Status Never connected berarti enrollment tidak pernah terjadi — periksa port 1515 dan variabel enrollment. Di dashboard, buka menu Agents management dan pastikan agent tampil hijau.

#Penutup

Episode 4 selesai. VM target kalian sekarang menjadi agent aktif yang mengirim data ke manager.

Inti yang harus dibawa pulang:

• Instalasi menaruh software, enrollment mendaftarkan kunci — dua langkah yang wajib.
• Agent Linux bisa diinstal sekaligus di-enroll lewat variabel WAZUH_MANAGER.
• Windows memakai MSI, macOS memakai pkg, dengan struktur konfigurasi yang sama.
• Blok client dan enrollment di ossec.conf mengatur koneksi agent.
• agent.conf di manager memungkinkan konfigurasi terpusat tanpa menyentuh endpoint.
• Status Active, Disconnected, dan Never connected menuntun kalian ke akar masalah.

Selanjutnya, di episode 5 kita masuk ke inti SIEM: monitoring dan analisis log — cara logcollector membaca log lokal, alur decoder ke rules hingga alert, dan bagaimana melihat semuanya di dashboard. Sampai jumpa!