File Integrity Monitoring Wazuh: Cara Kerja dan Who-Data

Seseorang mengganti satu file konfigurasi di server pada dini hari, lalu tidak ada yang tahu sampai layanan bermasalah. Masalah seperti ini yang ditangani file integrity monitoring (FIM) pada Wazuh: modul yang mencatat kondisi awal file, lalu memberi alert ketika file dibuat, diubah, atau dihapus.

Cara kerja: baseline lalu bandingkan

Menurut dokumentasi Wazuh, modul FIM menyimpan checksum kriptografis dan atribut lain dari file yang dipantau pada pemindaian awal. Setiap kali file berubah, modul membandingkan checksum dan atributnya dengan baseline itu, dan memicu alert kalau ada selisih. Tiga peristiwa yang dicatat: file dibuat, diubah, dan dihapus.

Konfigurasinya ada di bagian <syscheck> pada ossec.conf agen (di Linux: /var/ossec/etc/ossec.conf). Pantauan ditulis lewat elemen <directories>. Jika Anda tidak mengaturnya, Wazuh memakai daftar bawaan: /etc, /usr/bin, /usr/sbin, /bin, dan /sbin.

Terjadwal atau waktu nyata

Ada dua mode deteksi, dan perbedaannya penting:

Pemindaian terjadwal membandingkan file dengan baseline pada saat pemindaian berjalan. Mode waktu nyata dinyalakan lewat atribut realtime="yes" pada <directories>, bernilai bawaan no, hanya tersedia di Linux dan Windows, dan hanya bekerja pada direktori, bukan file tunggal.

Dua catatan dari dokumentasi: deteksi waktu nyata dijeda selama pemindaian terjadwal berlangsung, lalu lanjut sesudahnya. Dan direktori harus sudah ada sebelum agen dimulai ulang; kalau belum, ia diabaikan sampai restart berikutnya.

Atribut apa yang dibandingkan

Opsi check_all merekam semua atribut sekaligus, dan secara bawaan semua atribut bernilai yes. Opsi check_sum setara dengan menyalakan hash MD5, SHA-1, dan SHA-256 bersamaan. Bila dua opsi saling bertentangan, yang ditulis terakhir yang berlaku.

Isi file baru ikut tersimpan jika Anda menyalakan report_changes, tetapi bawaannya no dan fiturnya terbatas pada file teks. Batas ukuran selisih diatur diff_size_limit, bawaannya 50 MB.

Siapa yang mengubah: who-data

Alert FIM biasa memberi tahu apa yang berubah, bukan siapa pelakunya. Atribut whodata="yes" (bawaan no) menambahkan pengguna dan proses yang melakukan perubahan. Di Linux, mode audit membutuhkan:

daemon audit terpasang dan aktif;
pada Audit 3.1.1 ke atas, plugin audispd af_unix terpasang;
tidak ada aturan -a never,task di /etc/audit/rules.d/audit.rules. Banyak sistem membawanya secara bawaan, dan selama aturan itu ada, who-data tidak melaporkan apa pun.

Setelah agen dimulai ulang, auditctl -l | grep wazuh_fim seharusnya menampilkan aturan yang ditambahkan Wazuh. Satu jebakan membaca hasilnya: bila pelaku memakai sudo, pengguna efektifnya tercatat sebagai root, sehingga berbeda dari pengguna yang memulai sesi. Lihat juga kolom pengguna login, bukan hanya pengguna efektif.

Menguji di lingkungan sendiri

Panduan uji coba Wazuh memakai satu direktori dengan check_all="yes", report_changes="yes", dan realtime="yes". Buat file teks, tambahkan isi, lalu hapus, dengan jeda sekitar 5 detik di antaranya. Di modul File Integrity Monitoring pada dasbor, saring dengan rule.id: is one of 550,553,554 untuk menampilkan alert file ditambahkan, diubah, dan dihapus. Uji seperti ini sebaiknya dilakukan di mesin percobaan, bukan di server produksi.

Ingin mendalaminya lebih terstruktur? Taalenta punya kelas [SCM] Security Monitoring dengan WAZUH.

Kalau lebih enak melihat langsung bagaimana grafik penambahan, perubahan, dan penghapusan file muncul di dasbor, ada klipnya di halaman video Taalenta.

Wazuh FIM: Cara Alert File Dibuat, Diubah, dan Dihapus Bekerja

Cara kerja: baseline lalu bandingkan

Terjadwal atau waktu nyata

Atribut apa yang dibandingkan

Siapa yang mengubah: who-data

Menguji di lingkungan sendiri

Sumber