Aturan Deteksi di Wazuh Ternyata Bisa Dibaca dan Diubah Sendiri

Setiap alert di Wazuh lahir dari sebuah rule, dan rule itu bukan kotak hitam. Expert membuka berkas aturannya langsung, menunjukkan pola yang membuat sebuah permintaan digolongkan sebagai percobaan SQL injection, lalu menelusuri kelompok aturan serangan web tempat rule itu tinggal. Di dalamnya ada rule ID, level, deskripsi, dan pemetaan ke teknik penyerangan. Deskripsinya bebas diganti, bahkan ke bahasa Indonesia, supaya alert yang muncul di dashboard terbaca oleh tim yang memakainya sehari-hari. Begitu paham letak dan bentuknya, menambah aturan sendiri untuk kebutuhan organisasi jadi pekerjaan yang masuk akal, bukan sesuatu yang harus diserahkan ke vendor. Expert: Anggrahito, (CEH, ECSA, CHFI) MBA. Materi ini bagian dari kelas "Security Monitoring dengan WAZUH" di Taalenta. Cek jadwal batch berikutnya, akses rekaman lengkapnya, atau ajukan kelas privat untuk tim/perusahaan: https://taalenta.id/scm/ #Wazuh #SIEM #RuleDeteksi #KeamananSiber #Taalenta

Nah, yang tadi. Jadi, kalau Bapak Ibu mau bikin rules ya, mau pelajarin rules-nya atau mau lihat rules-nya kayak gimana ada rule ID ya. Jadi kalau kayak ini SLJ attemp ya, rule ID-nya di 03. Nah, ini pattern-nya seperti ini. Ini ada comen shell. Kalau ada kalau ada pattern kayak gini dia akan kedetect sebagai ini 31103 ya. Nah, kita bisa baca di sini yang tadi ya. Nah, rules. Jadi di rules ini ada grupnya tadi ada web access log, ada web access log, ada attack web ya, attack web bla bla bla gitu. Nah, ini di kalau attack web itu web rules-nya 0245. Ini attack web. kayak gini ya. Nah, ini e 31103 tadi SQL injection. Nah, [berdehem] ini deskripsinya ini mau diganti bebas gitu ya. Kalau mau diganti spesifik serangan SQL injection misal bahasa Indonesia apa gitu. Nah, di sini rules-nya seperti ini. [musik]