Belajar Wazuh - Active Response & Malware Detection

#Pendahuluan

Di episode 7 kalian belajar memantau integritas file lewat syscheck dan membaca setiap perubahan yang mencurigakan. Namun ada jarak yang sering mengganggu di dunia nyata: antara alert muncul dan analis membuka terminal ada waktu berharga yang berharga. Selama jeda itu, penyerang bisa terus bergerak.

Episode 8 menutup jarak tersebut dengan membahas dua topik: active response dan deteksi malware. Active response memungkinkan Wazuh bertindak otomatis saat alert terpicu, seperti memblokir IP, menghentikan proses, atau mengkarantina file. Deteksi malware membawa kita ke rootcheck untuk rootkit, integrasi YARA, dan modul malware scan terbaru di Wazuh 4.10.

Pada akhir episode kalian punya mesin deteksi yang bukan hanya memberi tahu, tetapi juga bisa membela diri.

#Konsep Active Response

Active response adalah aksi yang dijalankan pada agent saat sebuah rule terpenuhi. Alih-alih menunggu manusia, Wazuh langsung mengeksekusi command sesuai kebijakan yang sudah ditentukan. Command tersebut berjalan di agent tempat alert berasal, sehingga efeknya dekat dengan sumber masalah.

Satu hal penting untuk dipahami sejak awal: active response bukanlah pengganti analis, melainkan alat pembeli waktu. Aksi otomatis menghentikan dampak paling cepat, sementara manusia tetap melakukan investigasi menyeluruh dan keputusan final. Pendekatan ini menyeimbangkan kecepatan dengan akurasi.

Info

Rancang active response dengan prinsip terendah: blokir hanya apa yang perlu diblokir, dan pastikan ada jalan keluar. Jika tidak, satu false positive bisa memblokir IP pelanggan sah atau menghentikan layanan produksi selama berjam-jam.

#Komponen Active Response di ossec.conf

Konfigurasi active response tersusun dari dua bagian yang saling terkait: daftar command dan aturan pemicunya. Bagian commands mendefinisikan executable yang tersedia beserta argumennya, sedangkan bagian active-response menghubungkan command tertentu dengan alert yang memicunya.

Daftar command di ossec.conf

<ossec_config>
  <command>
    <name>firewall-drop</name>
    <executable>firewall-drop.sh</executable>
    <timeout_allowed>yes</timeout_allowed>
  </command>
 
  <command>
    <name>host-deny</name>
    <executable>host-deny.sh</executable>
    <timeout_allowed>yes</timeout_allowed>
  </command>
</ossec_config>

Script executable seperti firewall-drop.sh hidup di direktori /var/ossec/active-response/bin/ pada agent. Elemen timeout_allowed memberi izin command untuk menerima parameter waktu, yang dipakai nanti untuk membatalkan aksi otomatis setelah tenggat.

#Membangun Command Agent: Block IP, Kill Process, Quarantine

Setelah command terdaftar, langkah berikutnya adalah membuat agent block yang menghubungkan command dengan rule pemicu. Bagian active-response memuat nama command, rule yang men-trigger, lokasi aksi, dan timeout.

Pemicu active response di ossec.conf

<ossec_config>
  <active-response>
    <command>firewall-drop</command>
    <location>local</location>
    <rules_id>100001</rules_id>
    <timeout>300</timeout>
  </active-response>
 
  <active-response>
    <command>host-deny</command>
    <location>local</location>
    <rules_id>100002</rules_id>
    <timeout>600</timeout>
  </active-response>
</ossec_config>

Nilai location menetapkan di mana command dijalankan: local berarti hanya pada agent yang menghasilkan alert, sedangkan server berarti di manager. Pemilihan lokasi sangat bergantung pada sifat aksi. Blokir IP di firewall agent lokal cukup untuk satu host, tetapi memblokir di gerbang jaringan membutuhkan command yang berjalan di server atau firewall pusat.

Untuk menghentikan proses, command bisa memanggil script yang mencari dan mematikan proses berdasarkan nama. Sementara untuk karantina file, command memindahkan file mencurigakan ke direktori terisolasi dan mengunci aksesnya, sehingga file tidak bisa dieksekusi lagi tetapi tetap tersedia untuk analisis forensik.

Skrip karantina file sederhana

FILE="$1"
QUARANTINE="/var/quarantine"
mkdir -p "$QUARANTINE"
mv "$FILE" "$QUARANTINE"
chmod 000 "$QUARANTINE/$(basename "$FILE")"

Contoh di atas memindahkan file ke folder karantina dan menghapus semua permission. Hasilnya file tidak dapat dijalankan, tetapi penyidik masih bisa membaca isinya dengan hak akses khusus. Pola ini jauh lebih baik daripada menghapus file yang mungkin menjadi barang bukti utama.

#Timeout dan Frequency

Timeout menentukan berapa lama aksi aktif bertahan sebelum dibatalkan. Wazuh membatalkan aksi dengan menjalankan command yang sama dalam mode delete, sehingga aturan firewall atau entry deny yang tadi dibuat akan dihapus. Nilai timeout nol berarti aksi bersifat permanen sampai ditangani manual.

Frequency adalah parameter di sisi rule yang menentukan berapa kali alert harus muncul dalam jangka waktu tertentu sebelum aksi dipicu. Ini mencegah aksi otomatis bereaksi terhadap alert tunggal yang mungkin noise, dan hanya bertindak pada pola yang benar-benar berulang.

Kombinasi keduanya menjaga keseimbangan: frequency menahan aksi hingga polanya jelas, timeout memastikan aksi tidak menggantung selamanya. Untuk lingkungan produksi, mulailah dengan timeout singkat dan frequency tinggi, lalu kencangkan seiring kalian memahami karakter traffic normal.

#Rootcheck: Deteksi Rootkit

Bergeser ke deteksi malware, komponen tertua dan paling mendasar adalah rootcheck. Tugasnya mendeteksi indikasi rootkit dan backdoor di sistem. Ia berjalan pada agent dan mengevaluasi beberapa kategori: file yang mencurigakan, proses tersembunyi, modul kernel yang tidak biasa, serta perubahan pada kredensial dan port listening.

Rootcheck membandingkan hasil pemeriksaan dengan database tanda tangan yang berisi pola rootkit yang sudah dikenal. Karena berbasis tanda tangan, ia unggul untuk rootkit klasik tetapi bisa ketinggalan zaman untuk teknik baru. Meski begitu, biayanya rendah dan nilai baselinenya tetap tinggi untuk lingkungan yang belum punya deteksi lebih canggih.

Menjalankan pemindaian rootcheck manual

/var/ossec/bin/wazuh-control restart
/var/ossec/bin/rootcheck -s

Hasil rootcheck muncul sebagai alert berlevel tinggi dengan group rootcheck. Alert semacam ini jarang false positive, jadi begitu muncul, patut diselidiki sebagai prioritas tertinggi. Rootcheck tetap relevan sampai sekarang, tetapi untuk deteksi yang lebih modern kalian akan bergantung pada YARA dan modul malware scan.

#Integrasi YARA

YARA adalah engine pattern matching yang sangat populer di dunia threat hunting. Melalui integrasi dengan Wazuh, YARA dipakai sebagai scanner yang memeriksa file dan area registry tertentu untuk mencocokkan aturan malware. Aturan YARA ditulis dalam format teks sederhana dan bisa diperbarui tanpa menyentuh kode Wazuh.

Langkah pertama adalah mengaktifkan integrasi di ossec.conf agent dengan menunjuk ke direktori aturan YARA, lalu mengarahkan scan ke direktori atau key yang ingin diperiksa.

Mengaktifkan YARA di agent

<ossec_config>
  <yara>
    <rules>/var/ossec/ruleset/rules/yara.rules</rules>
    <scan-on-start>yes</scan-on-start>
    <remove-old-scan>yes</remove-old-scan>
    <directories>c:\Users</directories>
    <registry>HKEY_LOCAL_MACHINE\Software</registry>
  </yara>
</ossec_config>

Saat aturan YARA cocok dengan sebuah file, Wazuh membuat alert dengan detail nama aturan yang tercocok. Integrasi ini sangat fleksibel karena komunitas threat intel rutin membagikan aturan YARA untuk malware terbaru. Kalian tinggal menambahkan aturan baru ke file rules dan scan berikutnya akan memakainya.

#Modul Malware Scan di Wazuh 4.10

Sejak Wazuh 4.10, agent membawa modul malware scan baru yang menjadi pelengkap deteksi tradisional. Modul ini menawarkan pemindaian sesuai permintaan (on-demand) dan terjadwal, lengkap dengan kemampuan karantina file yang terinfeksi langsung dari agent. Desainnya menyatukan yang sebelumnya terpisah: deteksi YARA dan respon otomatis.

Pendekatan kunci pada modul baru ini adalah pemisahan policy dan runtime: definisi aturan diperbarui dari server, sementara agent cukup mengeksekusi pemindaian. Model ini meniru cara kerja antivirus modern, di mana database deteksi diperbarui secara sentral tanpa perlu mengganti agent itu sendiri.

Saat memilih antara rootcheck, YARA klasik, dan modul malware scan, ingat bahwa ketiganya saling melengkapi. Rootcheck menangkap indikasi sistem yang sudah tertanam, YARA menangkap malware berdasarkan konten file dan registry, dan modul malware scan memberi kemampuan respon serta pemindahan ke karantina yang lebih terstruktur.

#Penutup

Episode ini mengubah Wazuh dari pengamat pasif menjadi penjaga yang bisa bertindak. Kalian memahami bahwa active response adalah pemicu aksi di agent: blokir IP lewat firewall drop, hentikan proses mencurigakan, dan karantina file berbahaya, semua diatur lewat kombinasi timeout dan frequency. Di sisi deteksi, rootcheck, YARA, dan modul malware scan memberi tiga lapis kemampuan yang tumpang tindih dan saling menutupi.

Inti yang harus dibawa pulang:

Active response dipecah menjadi daftar command dan aturan pemicu di ossec.conf.
Aksi agent meliputi block IP, kill process, dan quarantine file, dengan lokasi lokal atau server.
Timeout membatalkan aksi otomatis setelah tenggat; frequency mencegah reaksi terhadap alert tunggal.
Rootcheck mendeteksi indikasi rootkit berbasis tanda tangan dengan false positive rendah.
Integrasi YARA mencocokkan file dan registry terhadap aturan malware yang diperbarui terpusat.
Modul malware scan Wazuh 4.10 menambahkan pemindaian terjadwal dan karantina terstruktur.

Di episode 9 kita memasuki ranah deteksi post-install: Vulnerability Detection. Kita akan melihat bagaimana Wazuh membandingkan paket terinstall dengan database CVE, menjadwalkan scan, dan menyajikan semua temuan dalam dashboard Vulnerabilities. Sampai jumpa!