Apa itu SIEM?

🔐 Memahami SIEM dan Implementasinya Menggunakan Wazuh

Klik setiap bagian untuk membaca penjelasan lengkap secara bertahap

📘 Apa Itu SIEM?

SIEM (Security Information and Event Management) adalah sistem keamanan yang dirancang untuk mengumpulkan, menganalisis, dan mengelola informasi keamanan dari berbagai perangkat dalam jaringan secara terpusat.

Dalam sebuah jaringan modern, terdapat banyak perangkat seperti server, komputer client, firewall, router, hingga perangkat IoT. Setiap perangkat tersebut menghasilkan log atau catatan aktivitas setiap detik. Log tersebut berisi informasi penting seperti login pengguna, perubahan sistem, aktivitas jaringan, hingga kesalahan yang terjadi di dalam sistem.

Tanpa sistem terpusat, administrator harus memeriksa ribuan bahkan jutaan log secara manual. Hal ini tentu tidak efisien dan sangat berisiko karena ancaman bisa terlewat.

SIEM bekerja dengan cara mengumpulkan seluruh log tersebut, mengkorelasikannya, kemudian menganalisis pola aktivitas yang mencurigakan. Jika ditemukan indikasi serangan seperti login gagal berulang, scanning jaringan, atau aktivitas tidak biasa lainnya, sistem akan memberikan peringatan (alert) secara real-time.

Dengan kata lain, SIEM berfungsi sebagai pusat kendali keamanan digital yang membantu organisasi mencegah, mendeteksi, dan merespons ancaman siber sebelum menimbulkan kerusakan besar.

🖥️ Wazuh Manager (Windows)

Dalam implementasi ini, Wazuh digunakan sebagai platform SIEM dan dijalankan pada sistem operasi Windows sebagai Manager. Manager merupakan pusat analisis yang menerima seluruh data log dari server yang dipasangi agent.

Wazuh Manager memiliki peran yang sangat penting karena bertugas:

• Mengumpulkan log dari seluruh agent secara terpusat
• Menganalisis log berdasarkan aturan keamanan (rules)
• Mendeteksi pola brute force dan serangan berulang
• Menampilkan dashboard monitoring secara real-time
• Menyimpan histori aktivitas untuk kebutuhan audit dan forensik digital

Sebagai contoh, jika dalam waktu singkat terdapat 20 kali percobaan login gagal dari satu alamat IP, Wazuh akan mengenali pola tersebut sebagai potensi brute force attack dan menghasilkan alert.

Administrator kemudian dapat mengambil tindakan seperti memblokir IP tersebut atau melakukan investigasi lebih lanjut.

💻 Agent (Windows dan Ubuntu Server)

Agent adalah komponen yang dipasang pada server untuk membaca log aktivitas sistem dan mengirimkannya secara otomatis ke Wazuh Manager.

Dalam percobaan ini digunakan dua jenis sistem operasi untuk menunjukkan bahwa SIEM mampu bekerja lintas platform.

Pada Windows Server:

• Mengirim Windows Event Log
• Mendeteksi login berhasil dan gagal
• Memantau perubahan konfigurasi sistem
• Mencatat aktivitas pengguna

Pada Ubuntu Server:

• Memantau file auth.log
• Mendeteksi aktivitas SSH
• Mencatat percobaan login root
• Mengirim syslog ke Manager

Semua informasi tersebut dikirim secara real-time dan terus-menerus, sehingga Manager dapat melakukan analisis tanpa jeda waktu yang lama.

⚔️ Attacker sebagai Penguji Sistem

Untuk memastikan sistem SIEM benar-benar bekerja dengan baik, dilakukan simulasi serangan menggunakan perangkat attacker.

Simulasi ini dilakukan secara terkontrol dan bertujuan untuk menguji kemampuan deteksi sistem.

• Brute force SSH ke Ubuntu Server
• Percobaan login berulang dengan password salah
• Scanning port menggunakan tools pengujian

Setiap aktivitas serangan tersebut akan dicatat oleh server, kemudian dikirim oleh agent, dan dianalisis oleh Wazuh Manager.

Jika sistem berjalan dengan optimal, maka alert akan muncul secara otomatis pada dashboard, menandakan bahwa ancaman telah terdeteksi.

🔁 Simulasi Alur Deteksi