Belajar Wazuh - Monitoring & Analisis Log

#Pendahuluan

Di episode 4, kalian berhasil memasang agent dan melihatnya tampil aktif di dashboard. Tapi data itu belum berarti apa-apa sampai Wazuh benar-benar membaca, menormalkan, dan menganalisisnya. Itulah yang kita pelajari di episode terakhir series ini.

Episode 5 ini membahas monitoring dan analisis log: bagaimana logcollector membaca log lokal dan remote, bagaimana konfigurasi localfile bekerja, lalu alur lengkap dari decoder, rules, hingga alert. Di akhir episode, kalian akan menelusuri event dan alert di dashboard seperti seorang analis SOC.

Ini episode yang menyatukan semuanya — arsitektur dari episode 2, server dari episode 3, dan agent dari episode 4 kini berbuah deteksi yang nyata.

#Apa yang Dikumpulkan Agent

Agent Wazuh menjalankan daemon bernama logcollector yang tugasnya satu: membaca log dan meneruskannya ke manager. Secara default, logcollector sudah membaca file-file penting di sistem:

• /var/log/auth.log di Debian dan Ubuntu.
• /var/log/messages dan /var/log/secure di sistem RPM.
• Event log Windows melalui API Windows Event Log, dalam format JSON.
• Output command tertentu yang dikonfigurasi.

Semua log ini dikirim ke manager, yang memprosesnya lebih lanjut. Logcollector adalah pintu masuk utama data ke platform Wazuh.

#Format Remote Syslog

Selain membaca file lokal, manager Wazuh juga bisa menerima log dari perangkat remote seperti firewall dan router melalui remote syslog. Perangkat tersebut dikonfigurasi untuk mengirim syslog ke port 514 manager, lalu data masuk ke pipeline yang sama.

sudo grep -A4 "<remote>" /var/ossec/etc/ossec.conf

Blok remote di sisi manager menentukan protokol dan port penerima syslog. Dengan ini, perangkat yang tidak bisa dipasangi agent tetap bisa dimonitor — konsep yang akan kalian pakai di lab dengan device virtual.

#Konfigurasi localfile di ossec.conf

Log mana yang dibaca agent ditentukan oleh blok localfile di ossec.conf. Contoh menambahkan file log custom:

<ossec_config>
  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/myservice.log</location>
  </localfile>
  <localfile>
    <log_format>json</log_format>
    <location>/var/log/myapp/app.json</location>
  </localfile>
</ossec_config>

Ada dua elemen penting: location menentukan path file, dan log_format menentukan bagaimana baris diparsing. Nilai yang umum dipakai:

• syslog untuk format log teks tradisional.
• json untuk log terstruktur JSON, umum pada aplikasi modern.
• command untuk mengambil output command secara berkala.
• eventlog di Windows untuk event log sistem.

Setelah mengubah ossec.conf, restart agent agar logcollector membaca konfigurasi baru. Perubahan diterapkan otomatis bila konfigurasi disebar lewat agent.conf.

#Alur Analisis di Manager

Sekarang mari kita ikuti satu baris log dari awal hingga jadi alert. Manager menjalankan pipeline berlapis:

log -> logcollector -> decoder -> rules -> alert -> indexer

Empat tahap kunci:

1. Logcollector di agent membaca dan mengirim log ke manager.
2. Decoder menormalkan baris log menjadi field terstruktur: siapa yang login, dari mana, event apa.
3. Rules membandingkan field hasil decode dengan pola deteksi. Jika cocok dengan rule tertentu, ditambahkan level dan deskripsi.
4. Alert dihasilkan untuk event yang memenuhi ambang, lalu dikirim ke indexer untuk disimpan dan dicari.

Perlu ditekankan: tidak semua event jadi alert. Rules menentukan prioritas — login sukses biasa beda level dengan 10 percobaan login gagal dalam satu menit. Dengan rules bawaan ribuan, Wazuh sudah pintar sejak awal, dan kalian bisa menambah rules sendiri nanti.

#Melihat Event di Dashboard

Semua hasil pipeline ini bisa kalian lihat di dashboard. Buka menu Security events lalu masuk ke tab Events — area ini menampilkan alert terbaru secara real-time.

Beberapa hal yang langsung bisa dieksplorasi:

• Kolom pencarian di bagian atas untuk filter cepat.
• Diagram distribusi alert berdasarkan aturan, level, dan kelompok aturan.
• Tabel detail alert dengan kolom timestamp, rule, dan deskripsi.
• Tombol untuk membuka dokumen lengkap hasil analisis per alert.

Coba lihat sendiri: di agent, login gagal beberapa kali dengan password salah, lalu buka kembali halaman Events. Dalam beberapa detik, alert tentang repeated authentication failure akan muncul. Itulah momen magis SIEM — log mentah yang tak berarti, berubah menjadi peringatan yang bisa ditindaklanjuti.

#Query di Indexer dan Discovery

Untuk pencarian yang lebih dalam, dashboard Wazuh memakai Discovery, antarmuka yang langsung berbicara ke indexer. Kalian bisa menulis query seperti kata kunci di kolom pencarian untuk menyaring event.

data.win.system.eventID:4625

Query tersebut mencari semua event Windows dengan event ID 4625, yaitu kegagalan login. Di Discovery, kalian juga bisa:

• Menyaring berdasarkan rentang waktu dengan time picker.
• Menyusun query kombinasi antar field.
• Menyimpan query untuk dipakai ulang.
• Melihat dokumen mentah hasil analisis.

Semua query ini berjalan di atas data yang disimpan indexer — bukti langsung kekuatan arsitektur episode 2: agent mengumpulkan, manager menganalisis, indexer menyimpan, dashboard menyajikan.

#Penutup

Episode 5 selesai, dan begitu juga seluruh series Belajar Wazuh. Kalian sudah menempuh perjalanan lengkap: menyiapkan lab, memahami sejarah dan arsitektur, menginstal server all-in-one, men-deploy agent, hingga menganalisis log dan melihat alert di dashboard.

Inti yang harus dibawa pulang:

• Logcollector adalah pintu masuk data: log lokal, remote syslog, dan event log Windows.
• Blok localfile di ossec.conf menentukan file yang dibaca dan formatnya.
• Pipeline analisis berjalan: decoder menormalkan, rules menilai, alert dihasilkan.
• Tidak semua event jadi alert — rules menentukan prioritas dan level.
• Dashboard Events menampilkan alert real-time, dan Discovery memungkinkan query mendalam.
• Format JSON memudahkan analisis karena field langsung terstruktur.

Perjalanan kalian tidak berhenti di sini. Mulailah dengan menambah rules sendiri, menerapkan active response untuk memblokir IP mencurigakan, dan mencoba modul compliance. Selamat bertualang di dunia SIEM dan XDR — sampai jumpa di series berikutnya!