Untuk mengoptimalkan fungsi alert pada Wazuh, kita bisa menghubungkan Wazuh Alert dengan Telegram Bot. Produk akhir dari tutorial ini adalah, Wazuh akan mengirimkan alert kepada Blue Team atau Tim CISRT melalui Telegram yang ada di Smartphone anggota tim. Tutorial ini dibagi menjadi 2 bagian yaitu membuat Telegram Bot dan Menghubungkan Telegram Bot dengan server Wazuh.
Membuat Telegram Bot dan Mendapatkan Chat ID
Buka Telegram lalu search BotFather pilih akun yang Verified atau dengan centang biru supaya tidak terkena Man-in-the-Middle Attack
Klik start untuk memulai percakapan dengan BotFather
Ketik command /newbot lalu masukkan nama bot, di sini saya menggunakan nama BayuskyWazuhBot untuk bot saya, lalu simpan dan catat HTTP API, karena akan digunakan untuk integrasi nantinya.
Search bot yang baru dibuat BayuskyWazuhBot lalu klik start untuk memulai percakapan.
Buat grup yang beranggotakan BayuskyWazuhBot dengan anggota tim CISRT (bila ada). Lalu mulai percapakan dalam grup untuk membangkitkan chat ID.
Masukkan HTTP API ke link https://api.telegram.org/bot<HTTP-API>/getUpdates untuk mendapatkan chat ID. Chat ID berupa angka : -xxxx (termasuk tanda minus) , dalam hal ini saya mendapatkan Chat ID : -826434xxx dan HTTP API : 551002xxxx:AAGT1kcg554SFINnRGlga11J-lHvLSxxxxx
Chat ID dan HTTP API harus dirahasiakan, jika bocor, kendali bot bisa diambil oleh orang lain.
Jika link getUpdates belum menghasilkan chat ID, bisa dicoba langkah berikut: buka dan login Telegram di web browser, lalu buka grup, chat ID grup akan muncul di address bar browser.
Integrasi dengan Wazuh Server
Cek kesiapan sistem dengan command ini
# pip install requests
Buat 2 file : custom-telegram dan custom-telegram.py dalam directory /var/ossec/integrations
Kode di atas jika ingin mengirimkan alert level 3 ke atas melalui bot telegram. Namun jika hanya ingin mengirimkan yang critical saja, bisa mengubah nilai parameter pada frame <level>
Restart wazuh-manager
# systemctl restart wazuh-manager
Telegram Tim CISRT / Blue Team sudah bisa mendapatkan alert dari Wazuh