Apa Itu OSSEC dan Bagaimana Cara Kerjanya?

OSSEC adalah sistem deteksi intrusi berbasis host (HIDS) gratis dan open source yang memantau log, integritas berkas, dan tanda-tanda penyusupan pada server maupun komputer. Berbeda dengan sensor jaringan yang hanya melihat lalu lintas, OSSEC bekerja dari dalam sistem yang dilindungi. Artikel ini menjelaskan apa itu OSSEC, komponennya, cara kerjanya, serta kapan alat ini layak dipakai.

Apa Itu OSSEC?

Situs resmi OSSEC menggambarkannya sebagai host-based intrusion detection system yang gratis dan open source. Fitur yang dicantumkan meliputi deteksi intrusi berbasis log lintas platform, pemantauan integritas berkas, deteksi malware, respons aktif, dan audit kepatuhan. OSSEC berjalan di Windows, Linux, FreeBSD, OpenBSD, Unix, dan macOS. Proyek ini dikelola oleh Atomicorp, dan rilis terbaru yang tercantum pada situs resminya per Oktober 2026 adalah OSSEC 4.4.1.

Perlu dipahami bahwa HIDS berbeda dari IDS jaringan seperti Snort. HIDS melihat apa yang terjadi di dalam host: entri log, perubahan berkas, dan proses. IDS jaringan melihat paket yang lewat. Kedua pendekatan saling melengkapi, dan perbandingannya dibahas pada artikel perbedaan IDS dan IPS.

Bagaimana Cara Kerja OSSEC?

Menurut manual OSSEC, arsitekturnya berpusat pada sebuah manager (server) yang menerima data dari agen yang terpasang pada sistem yang dipantau. Untuk perangkat yang tidak bisa dipasangi agen, seperti firewall, switch, dan router, tersedia pemantauan tanpa agen. Alur kerjanya secara umum:

1. Agen mengumpulkan log dan data integritas dari host.
2. Data dikirim ke manager melalui komunikasi yang dikelola antara agen dan server.
3. Manager memecah log dengan decoder, lalu mencocokkannya dengan rule.
4. Jika ada kecocokan, OSSEC membuat peringatan dan, bila dikonfigurasi, menjalankan respons aktif.

Komponen dan Kemampuan OSSEC

Analisis log

OSSEC memantau berkas log, proses, dan journald, kemudian menerapkan rule dan decoder pada entri tersebut. Rule dapat disesuaikan, diuji, dan dikelompokkan berdasarkan klasifikasi. Contoh yang umum adalah mendeteksi banyak kegagalan login atau perubahan konfigurasi layanan.

Pemeriksaan integritas berkas (syscheck)

Modul syscheck memeriksa apakah berkas penting berubah, dengan opsi pemantauan real time. Ini berguna untuk menyadari bahwa berkas konfigurasi atau biner sistem dimodifikasi tanpa sepengetahuan administrator, salah satu tanda umum sebuah host telah dikompromikan.

Deteksi rootkit dan audit kebijakan (rootcheck)

Modul rootcheck mencari tanda rootkit, yaitu perangkat lunak berbahaya yang berusaha menyembunyikan keberadaannya, serta mengaudit kebijakan pada sistem Unix.

Respons aktif

OSSEC dapat menjalankan tindakan otomatis ketika peringatan muncul, di Unix maupun Windows, termasuk lewat skrip buatan sendiri. Gunakan dengan hati-hati: respons otomatis yang terlalu agresif dapat memblokir pengguna sah atau mengganggu layanan. Mulailah dari mode pemantauan sebelum mengaktifkan pemblokiran.

Keluaran peringatan

Peringatan dapat dikirim melalui syslog, email termasuk laporan harian, berkas log JSON, atau basis data seperti MySQL dan PostgreSQL. Karena itu OSSEC mudah dihubungkan ke platform SIEM untuk korelasi dengan sumber log lain.

Contoh Penerapan OSSEC di Organisasi

Bayangkan sebuah perusahaan dengan dua puluh server Linux dan beberapa komputer Windows. Tim TI memasang manager OSSEC pada satu server khusus, lalu memasang agen pada setiap host dan mendaftarkannya ke manager. Manual OSSEC menyebut agen ditambahkan melalui ossec-authd dan dapat bekerja di belakang NAT atau dengan alamat IP dinamis.

Setelah berjalan, tim dapat memperoleh beberapa hal yang sulit didapat tanpa pemantauan terpusat: peringatan ketika berkas konfigurasi SSH berubah, notifikasi saat ada rentetan login gagal pada banyak server, dan laporan harian yang merangkum aktivitas mencurigakan. Pada tahap awal, jalankan OSSEC dalam mode pengamatan selama beberapa minggu untuk mengenali perilaku normal, kemudian padamkan rule yang terlalu bising sebelum mengaktifkan respons aktif.

Langkah persiapan yang disarankan

1. Daftar host yang akan dipantau dan tentukan tingkat kepentingannya.
2. Tentukan berkas dan direktori kritis yang perlu diawasi integritasnya.
3. Siapkan tujuan peringatan, misalnya email tim atau SIEM.
4. Tunjuk orang yang bertanggung jawab meninjau dan menindaklanjuti peringatan setiap hari.
5. Dokumentasikan perubahan rule agar hasil penyetelan dapat dilacak.

Kelebihan dan Keterbatasan OSSEC

Kelebihannya:

• Gratis dan open source, sehingga biaya lisensi tidak menjadi hambatan.
• Mencakup banyak sistem operasi dan bisa dipasang pada lingkungan kecil maupun besar.
• Menggabungkan beberapa fungsi (log, integritas berkas, rootkit, respons aktif) dalam satu platform.
• Rule dan decoder dapat disesuaikan dengan aplikasi internal.

Keterbatasannya perlu diperhitungkan sejak awal. Antarmuka bawaannya sederhana sehingga banyak tim menambah alat visualisasi atau SIEM. Rule yang belum disetel menghasilkan banyak peringatan yang tidak berguna, dan tim tetap perlu orang yang rutin meninjau peringatan. OSSEC juga hanya melihat host yang diberi agen, jadi perangkat yang terlewat akan menjadi titik buta.

Kapan Organisasi Perlu Memakai OSSEC?

OSSEC cocok ketika Anda ingin visibilitas dasar pada banyak server tanpa biaya lisensi, atau ketika audit kepatuhan menuntut bukti pemantauan integritas berkas dan log. Pemantauan ini merupakan bagian dari strategi endpoint security yang lebih luas. Sebelum memasangnya, tentukan siapa yang akan menerima dan menindaklanjuti peringatan, karena alat deteksi tanpa proses respons hanya menumpuk notifikasi.

Pasang agen hanya pada sistem yang Anda kelola atau yang pemiliknya telah mengizinkan pemantauan, dan beri tahu pengguna jika perangkat kerja mereka dipantau sesuai kebijakan organisasi dan aturan pelindungan data yang berlaku.

Baca juga: Apa Itu Honeypot? Pengertian, Jenis, dan Fungsinya.

Pertanyaan yang Sering Diajukan

Apakah OSSEC gratis?

Ya, situs resminya menyebut OSSEC sebagai HIDS gratis dan open source. Biaya yang muncul biasanya berupa waktu operasional, infrastruktur server, dan tenaga yang mengelola rule.

Apa bedanya OSSEC dengan antivirus?

Antivirus berfokus mengenali dan membersihkan malware di perangkat. OSSEC memantau log, perubahan berkas, dan perilaku sistem untuk mendeteksi aktivitas mencurigakan dan mengirim peringatan ke administrator.

Apakah OSSEC bisa memantau Windows?

Bisa. OSSEC mendukung Windows di samping Linux, FreeBSD, OpenBSD, Unix, dan macOS, dan manualnya mencakup agen Windows.

Apakah OSSEC mencegah serangan?

Fungsi utamanya mendeteksi dan memberi peringatan. Fitur respons aktif dapat mengambil tindakan otomatis, tetapi OSSEC bukan pengganti penambalan, firewall, dan pengelolaan akses.

Kesimpulan

OSSEC memberi pandangan dari dalam host melalui analisis log, pemeriksaan integritas berkas, deteksi rootkit, dan respons aktif, tanpa biaya lisensi. Nilainya muncul bila rule disetel, peringatan ditinjau, dan hasilnya terhubung ke proses insiden. Jika organisasi Anda ingin membangun kemampuan pemantauan dan respons, lihat pelatihan tim di Linuxhackingid untuk membekali staf Anda.