Wazuh Adalah: SIEM Open Source, Fungsi & Komponennya

Mengawasi satu server masih terasa masuk akal. Anda membuka berkas log autentikasi sesekali, memindai percobaan login yang gagal, lalu menutupnya kembali. Kebiasaan itu runtuh begitu jumlah mesin bertambah menjadi sepuluh, lalu tiga puluh, masing-masing menghasilkan ribuan baris log setiap hari.

Masalahnya bukan sekadar volume. Serangan serius jarang meninggalkan jejak mencolok di satu mesin. Yang terlihat biasanya potongan kecil: satu login gagal di server web, satu berkas konfigurasi berubah di server basis data, satu proses asing di jam tiga pagi. Ketiganya baru berarti kalau dibaca bersamaan. Di titik inilah orang mulai mencari tahu apa itu Wazuh.

Apa Itu Wazuh?

Wazuh adalah platform keamanan open source yang menggabungkan kemampuan SIEM dan XDR dalam satu paket. Ia mengumpulkan catatan peristiwa dari seluruh mesin yang Anda kelola, menyeragamkan formatnya, lalu mencocokkannya dengan pola serangan yang sudah dikenal. Yang mencurigakan diangkat menjadi peringatan.

Dua singkatan di atas menentukan cakupannya, jadi keduanya perlu dijelaskan lebih dulu.

SIEM (Security Information and Event Management) adalah kategori perangkat lunak yang mengumpulkan dan mengorelasikan peristiwa dari banyak sumber. Tugasnya mengubah tumpukan log mentah menjadi sedikit peringatan yang layak ditindaklanjuti manusia. Jadi jawabannya tegas: ya, Wazuh memang sebuah SIEM, dan sebagian besar orang mengenalnya lewat peran ini.

XDR (Extended Detection and Response) menambahkan kemampuan bertindak yang tidak dimiliki SIEM klasik. SIEM berhenti pada "ada yang aneh di sini", sedangkan XDR bisa langsung memblokir alamat IP penyerang atau menghentikan proses berbahaya. Wazuh menyediakan keduanya.

Soal biaya, Wazuh dirilis di bawah lisensi GPLv2 tanpa edisi berbayar yang mengunci fitur. Sifat open source ini juga berarti Anda bebas memeriksa kodenya dan memodifikasi rule sesuai kebutuhan.

Per Agustus 2026, rilis stabil terbaru adalah versi 4.14.7 yang keluar pada 30 Juli 2026. Jalur versi 5.0 sudah masuk tahap beta, tetapi belum dinyatakan stabil. Untuk produksi, tetaplah di jalur 4.x sampai 5.0 dirilis final.

Dari OSSEC ke Wazuh: Kenapa Direktorinya Masih Bernama /var/ossec

Saat pertama kali memasang Wazuh, banyak orang bingung menemukan berkas konfigurasi utamanya bernama ossec.conf dan seluruh instalasinya berada di /var/ossec/. Ini bukan kesalahan penamaan, melainkan jejak sejarah.

Cerita bermula dari OSSEC, sebuah HIDS (Host-based Intrusion Detection System) buatan Daniel Cid pada 2004 yang kemudian berada di bawah Trend Micro. Fondasinya sudah solid: analisis log, deteksi rootkit, pemeriksaan integritas berkas, dan peringatan waktu nyata. Jejak kepemilikan itu masih terbaca di berkas lisensi Wazuh sampai hari ini.

Persoalannya, pengembangan OSSEC melambat. Pada 2015, tim beranggotakan lima orang pimpinan Santiago Bassett mencabang dari kodenya dan meneruskannya dengan nama Wazuh. Mereka merancang ulang arsitekturnya agar sanggup menangani ribuan endpoint, memperluas ruleset bawaan, menambahkan REST API, lalu membangun antarmuka web modern.

Hasilnya terlihat sekarang. Repositori Wazuh mengumpulkan lebih dari 16.400 bintang di GitHub, sementara perusahaan di belakangnya mencatat lebih dari 15 juta endpoint terlindungi.

Empat Komponen yang Membentuk Wazuh

Wazuh bukan satu aplikasi tunggal, melainkan empat komponen dengan peran berbeda. Memahami pembagian ini penting sebelum Anda merencanakan pemasangan.

1. Wazuh agent: perangkat lunak ringan yang dipasang di setiap endpoint yang ingin Anda pantau, dari laptop sampai instance cloud. Agent mengumpulkan log, memeriksa integritas berkas, mendata paket terpasang, lalu mengirim semuanya ke server. Tersedia untuk Linux, Windows, macOS, Solaris, AIX, dan HP-UX.
2. Wazuh server: otak dari seluruh sistem. Server menerima data dari semua agent, mendekode isinya, mencocokkannya dengan rule dan sumber threat intelligence, lalu menghasilkan alert. Satu server sanggup melayani ratusan hingga ribuan agent, dan beberapa server bisa disusun sebagai klaster.
3. Wazuh indexer: mesin pencarian dan analitik teks penuh yang menyimpan seluruh alert. Komponen inilah yang membuat Anda bisa mencari peristiwa tiga bulan lalu dalam hitungan detik, sekaligus yang paling rakus terhadap kapasitas penyimpanan.
4. Wazuh dashboard: antarmuka web tempat Anda membaca alert, menelusuri jejak serangan, dan memantau status kepatuhan. Dashboard membaca data langsung dari indexer sekaligus memanggil REST API di server untuk pengelolaan agent.

Ada satu mode tambahan yang sering terlupakan. Router, switch, dan perangkat jaringan lain umumnya tidak bisa dipasangi agent. Untuk kasus seperti ini Wazuh menyediakan pemantauan agentless: menerima kiriman syslog dari perangkat tersebut, atau memeriksa konfigurasinya secara berkala lewat SSH dan API.

Empat komponen Wazuh digambarkan sebagai kartu berikon: Agent, Server, Indexer, dan Dashboard.

Bagaimana Satu Baris Log Berubah Jadi Alert

Bagian inilah yang membedakan SIEM dari sekadar tempat menumpuk log. Perjalanan sebuah peristiwa melewati empat tahap.

Alur data Wazuh: agent mengumpulkan peristiwa, server memberi level, indexer menyimpan alert, dashboard menampilkannya.

Tahap pertama adalah pengumpulan. Agent membaca berkas log, memantau perubahan berkas penting, dan mencatat proses yang berjalan. Data dikirim ke server lewat kanal berenkripsi AES, blok 128 bit dengan kunci 256 bit. Isi log Anda tetap tidak terbaca meskipun lalu lintasnya disadap.

Tahap kedua adalah pendekodean. Sebuah baris log pada dasarnya hanyalah teks bebas, dan setiap aplikasi menulisnya dengan format berbeda. Decoder memecah teks itu menjadi bagian bermakna: mana alamat IP sumber, mana nama pengguna, mana kode status. Tanpa tahap ini, log Nginx dan log SSH tidak akan pernah bisa dibandingkan.

Tahap ketiga adalah pencocokan rule. Setiap peristiwa yang sudah terurai diadu dengan ribuan rule bawaan yang menentukan apakah ia layak menjadi alert dan seberapa gawat tingkatannya. Wazuh memakai skala level 0 sampai 16. Secara bawaan hanya level 3 ke atas yang disimpan, sedangkan notifikasi email baru terkirim mulai level 12. Kedua angka itu patokan awal yang baik: level 3 untuk arsip, level 12 untuk yang perlu ditangani hari itu juga.

Tahap terakhir adalah penyimpanan dan penyajian. Alert yang lolos dikirim Filebeat ke indexer lewat koneksi TLS, lalu ditampilkan di dashboard dan bisa diteruskan ke email, Slack, atau sistem tiket.

Karena keempat tahap ini tersebar di beberapa layanan, Wazuh membuka sejumlah port yang perlu Anda ketahui sejak awal:

Simpan tabel ini. Dari delapan port di atas, hanya 1514 dan 1515 yang perlu dijangkau agent; sisanya sebaiknya tertutup di jaringan internal.

Kemampuan yang Anda Dapat Tanpa Membayar Lisensi

Wazuh sering disamakan dengan pengumpul log biasa, padahal cakupannya jauh lebih luas. Berikut kemampuan utama yang aktif tanpa tambahan biaya apa pun.

1. Analisis log terpusat: menyatukan log dari seluruh mesin menjadi alert. Percobaan brute force yang tersebar di lima server akan terlihat sebagai satu pola berulang, bukan lima kejadian terpisah yang mudah diabaikan.
2. File integrity monitoring: memantau perubahan berkas penting secara waktu nyata. Berguna untuk menangkap backdoor di direktori web, karena berkas asing langsung terdeteksi meski namanya menyerupai berkas sistem.
3. Deteksi kerentanan: mendata paket terpasang di setiap endpoint dan mencocokkannya dengan basis data kerentanan publik, sehingga Anda langsung tahu mesin mana yang perlu diperbarui.
4. Security configuration assessment: menguji konfigurasi sistem terhadap standar pengerasan seperti CIS Benchmark, lalu memberi skor beserta daftar perbaikannya.
5. Deteksi malware dan rootkit: memeriksa proses tersembunyi dan anomali di sistem berkas, dengan integrasi YARA untuk pencocokan pola malware.
6. Active response: menjalankan tindakan otomatis saat rule terpicu, misalnya memblokir IP penyerang selama sepuluh menit setelah sejumlah login gagal.
7. Keamanan container dan cloud: memantau Docker dan Kubernetes saat berjalan, serta menarik log dari AWS, Azure, dan Google Cloud.
8. Pemetaan kepatuhan dan MITRE ATT&CK: setiap alert dipetakan ke teknik MITRE ATT&CK dan ke persyaratan PCI DSS, HIPAA, GDPR, serta NIST 800-53. Dashboard inilah yang membuat Wazuh sering dipilih perusahaan yang sedang menyiapkan audit.

Satu hal perlu diluruskan: Wazuh mendeteksi, bukan mencegah. Serangan seperti SQL injection akan memicu alert, tetapi permintaan berbahayanya tetap sampai ke aplikasi Anda. Pencegahan tetap tugas lapisan lain.

Spesifikasi Server yang Dibutuhkan Wazuh

Pertanyaan ini biasanya muncul belakangan, padahal seharusnya paling awal. Wazuh bukan aplikasi ringan, dan memasangnya di sisa kapasitas server yang sudah penuh adalah cara tercepat membuat pemantauan Anda gagal.

Berikut patokan resmi untuk pemasangan all-in-one, yaitu ketika server, indexer, dan dashboard berada di satu mesin dengan retensi data 90 hari:

Perhatikan polanya. Dari 25 ke 100 agent, kebutuhan RAM tidak berubah dan CPU hanya naik dua kali lipat, sementara penyimpanan melonjak empat kali lipat. Penyimpanan adalah sumber daya yang paling cepat habis, dan memperpanjang retensi dari 90 ke 180 hari kira-kira melipatgandakan kebutuhan disk Anda.

Sistem operasi yang didukung mencakup Ubuntu 16.04 sampai 24.04, RHEL 7 sampai 10, CentOS Stream 10, serta Amazon Linux 2 dan 2023, semuanya 64-bit.

Karena Wazuh membutuhkan akses root penuh dan resource yang tidak dibagi dengan aplikasi lain, VPS adalah tempat paling masuk akal untuk menjalankannya. Sebuah VPS Indonesia dengan 8 vCPU dan 8 GB RAM sudah memadai untuk seratus endpoint. Di atas angka itu komponen sebaiknya dipisah, dan dedicated server mulai lebih ekonomis dibanding menumpuk VPS besar.

Pemasangannya sendiri singkat. Wazuh menyediakan skrip asisten yang memasang keempat komponen sekaligus:

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

Skrip ini mencetak kredensial admin dan alamat dashboard setelah selesai. Simpan keluarannya, karena kata sandinya hanya ditampilkan sekali.

Gratis Lisensinya, Bukan Gratis Biayanya

Kata "gratis" pada Wazuh mudah disalahpahami. Yang gratis adalah lisensinya; sisanya tetap Anda bayar dalam bentuk lain. Ada tiga pos biaya yang nyata: server yang berjalan sepanjang waktu, penyimpanan yang terus tumbuh, dan — ini yang paling sering diremehkan — waktu orang yang menyetel rule serta menindaklanjuti alert.

Layanan terkelola Wazuh Cloud bisa dijadikan pembanding untuk menakar kewajaran angka tersebut. Paket Small dibanderol mulai $571 per bulan untuk maksimal 100 agent, sedangkan paket Large mulai $1.467 per bulan untuk 500 agent.

Cara membacanya sederhana. Selama biaya VPS dan waktu administrator Anda masih jauh di bawah $571 per bulan, memasang sendiri jelas lebih hemat. Untuk skala di bawah seratus endpoint biasanya memang demikian. Selisihnya baru menyempit saat endpoint mencapai beberapa ratus dan Anda membutuhkan klaster indexer.

Kelemahan dan Hal yang Perlu Anda Pertimbangkan

Wazuh bukan solusi yang bisa dipasang lalu dilupakan. Empat hal berikut sebaiknya Anda perhitungkan sebelum memutuskan.

1. Minggu-minggu awal akan berisik: ruleset bawaan dirancang umum, sehingga aktivitas normal di lingkungan Anda kerap dianggap mencurigakan. Cron job, skrip backup, dan pembaruan paket sering memicu alert palsu. Tanpa waktu untuk menyetel rule, dashboard Anda akan penuh peringatan yang akhirnya diabaikan.
2. Penyimpanan tumbuh tanpa henti: setiap alert disimpan sepanjang masa retensi. Tanpa kebijakan retensi yang tegas, server Wazuh justru berpotensi menjadi mesin pertama yang kehabisan ruang.
3. Decoder dan rule ditulis dalam XML: menyesuaikan Wazuh dengan aplikasi buatan sendiri berarti menulis keduanya secara manual. Pekerjaan ini bisa dipelajari, tetapi jauh berbeda dari sekadar mencentang opsi di antarmuka.
4. Server Wazuh itu sendiri adalah target bernilai tinggi: mesin ini memegang log dari seluruh infrastruktur Anda dan memiliki agent di setiap endpoint. Menguasainya sama dengan menguasai jaringan.

Poin terakhir bukan kekhawatiran teoretis. Pada Februari 2025 Wazuh menambal CVE-2025-24016, celah unsafe deserialization pada API server yang memungkinkan eksekusi kode jarak jauh dengan skor CVSS 9,9. Versi 4.4.0 sampai sebelum 4.9.1 terdampak.

Yang terjadi sesudahnya lebih penting. Akamai mencatat eksploitasi aktif sejak awal Maret 2025 oleh varian Mirai bernama "morte", disusul gelombang kedua pada Mei 2025 lewat botnet Resbot. Dua kelompok berbeda memburu celah yang sama, dan sasarannya adalah server Wazuh yang API-nya terbuka ke internet.

Pelajarannya jelas. Jangan pernah mengekspos port 55000 ke internet: batasi lewat firewall agar hanya jaringan internal yang menjangkau, dan pertimbangkan lapisan seperti CSF Firewall di server yang sama. Lalu perlakukan pembaruan Wazuh sepenting pembaruan sistem operasi.

Kapan Wazuh Layak Dipasang dan Kapan Sebaiknya Tidak

Tiga pertanyaan berikut cukup untuk memutuskan.

Pertama, berapa mesin yang Anda kelola? Di bawah lima server, manfaat Wazuh masih tipis dibanding biaya operasionalnya. Mulai dari sekitar sepuluh mesin, korelasi antarserver memberi nilai nyata, dan di atas dua puluh mesin pemantauan manual tidak lagi mungkin.

Kedua, adakah orang yang akan membaca alert-nya? SIEM tanpa penanggung jawab hanya menghasilkan riwayat rapi tentang kejadian yang tidak pernah ditangani. Sediakan setidaknya 30 sampai 60 menit setiap hari pada bulan-bulan pertama untuk meninjau dan menyetel.

Ketiga, apakah Anda terikat kewajiban kepatuhan? Jika perusahaan Anda perlu memenuhi PCI DSS atau standar sejenis, dashboard kepatuhan Wazuh saja sudah memangkas banyak pekerjaan penyusunan bukti audit.

Sebaliknya, kalau Anda hanya mengelola satu VPS berisi satu website, Wazuh terlalu besar untuk masalahnya. Firewall yang dikonfigurasi benar, pembaruan rutin, autentikasi kunci untuk SSH, dan backup yang teruji akan memberi perlindungan lebih nyata dengan biaya jauh lebih kecil.

Kalau Anda ingin membandingkan dulu, ada beberapa nama yang sering masuk daftar pertimbangan. Splunk adalah rujukan kelas enterprise dengan biaya lisensi mengikuti volume data, sehingga jarang masuk akal untuk skala kecil. Elastic Security dan Graylog lebih dekat ke pengelolaan log terpusat, dengan kemampuan keamanan yang perlu ditambah sendiri. Security Onion memantau lalu lintas jaringan alih-alih endpoint, dan justru sering dipasang berdampingan dengan Wazuh. OSSEC sendiri masih hidup dan tetap layak untuk kebutuhan sederhana, meski tanpa dashboard dan API.

Pertanyaan yang Sering Diajukan

Apakah Wazuh benar-benar gratis? Ya. Wazuh dirilis di bawah GPLv2, tanpa edisi berbayar yang mengunci fitur dan tanpa batas jumlah agent. Yang berbayar hanya Wazuh Cloud dan dukungan resmi.

Apa bedanya Wazuh dengan OSSEC? Wazuh lahir sebagai fork OSSEC pada 2015. Bedanya ada pada arsitektur yang sanggup diperbesar, ruleset jauh lebih luas, REST API, dan dashboard web. OSSEC masih berjalan dengan cakupan yang lebih terbatas.

Berapa spesifikasi minimal untuk mencoba Wazuh? Untuk pemasangan all-in-one sampai 25 agent: 4 vCPU, 8 GiB RAM, dan 50 GB penyimpanan pada Linux 64-bit.

Bisakah Wazuh dijalankan dengan Docker? Bisa. Wazuh menyediakan image dan berkas Compose resmi lewat repositori wazuh/wazuh-docker yang masih aktif dikembangkan.

Apakah Wazuh bisa menggantikan antivirus atau firewall? Tidak. Wazuh bekerja di sisi deteksi dan respons, bukan pencegahan di garis depan. Ia melengkapi keduanya, bukan menggantikan.

Kesimpulan

Wazuh adalah platform SIEM sekaligus XDR open source yang menyatukan log dari banyak mesin menjadi alert yang bisa ditindaklanjuti. Empat komponennya — agent, server, indexer, dan dashboard — bekerja sebagai satu rangkaian, dan seluruh kemampuannya tersedia tanpa biaya lisensi di bawah GPLv2.

Yang perlu diingat, biaya itu tidak hilang melainkan berpindah ke server, penyimpanan, dan waktu orang yang merawatnya. Pasang Wazuh ketika mesin Anda sudah melewati sekitar sepuluh dan ada penanggung jawab yang benar-benar membaca alert-nya. Kalau belum, memperkuat pencegahan dan disiplin memperbarui sistem memberi hasil lebih baik.

Semoga artikel ini membantu.