Wazuh SIEM → Telegram Real-Time Security Alert Integration

Langkah membuat bot dan mendapatkan token serta chat ID yang dibutuhkan integrasi.

1. Buka BotFather di Telegram dan mulai percakapan.
2. Kirim perintah /newbot untuk membuat bot baru, lalu tentukan nama dan username bot.
3. BotFather akan memberikan bot token — simpan sebagai TOKEN_BOT_KAMU, jangan pernah membagikannya.
4. Buka bot yang baru dibuat dari hasil pencarian Telegram.
5. Tekan tombol Start agar bot bisa mengirim pesan ke chat kamu.
6. Dapatkan CHAT_ID_KAMU dengan memanggil endpoint getUpdates (lihat bagian Telegram API Testing).

Dua endpoint utama digunakan untuk memvalidasi bot sebelum dihubungkan ke Wazuh.

getUpdates — mengambil chat_id dari pesan terakhir ke bot

curl -s "https://api.telegram.org/botTOKEN_BOT_KAMU/getUpdates"

Command ini mengembalikan JSON berisi riwayat pesan ke bot, termasuk chat.id pengirim — inilah nilai yang dipakai sebagai CHAT_ID_KAMU.

Contoh response getUpdates (setelah menekan Start di bot)

{"ok":true,"result":[{"update_id":XXXXXXXXX,
"message":{"message_id":1,"from":{"id":CHAT_ID_KAMU,"is_bot":false,
"first_name":"...","username":"...","language_code":"id"},
"chat":{"id":CHAT_ID_KAMU,"type":"private"},
"date":XXXXXXXXXX,"text":"/start",
"entities":[{"offset":0,"length":6,"type":"bot_command"}]}}]}

Field chat.id pada response inilah yang diambil sebagai CHAT_ID_KAMU. Nilai token dan chat ID pada dokumentasi ini sengaja diganti placeholder — jangan pernah mem-publish token/chat ID asli.

sendMessage — mengirim pesan uji ke chat Telegram

curl -s -X POST "https://api.telegram.org/botTOKEN_BOT_KAMU/sendMessage" \
  -d chat_id="CHAT_ID_KAMU" \
  -d text="Test alert dari Wazuh Integration"

Digunakan untuk memastikan token dan chat ID valid sebelum diintegrasikan ke script Python.

Contoh response sendMessage (status 200 / ok: true)

{"ok":true,"result":{"message_id":2,
"from":{"id":BOT_ID_KAMU,"is_bot":true,"first_name":"nama_bot_kamu"},
"chat":{"id":CHAT_ID_KAMU,"type":"private"},
"date":XXXXXXXXXX,"text":"TEST WAZUH TELEGRAM"}}

"ok":true menandakan pesan berhasil terkirim — token bot dan chat ID sudah valid dan siap dipakai di script integrasi.

File integrasi berada di /var/ossec/integrations/custom-telegram dan berjalan sebagai script Python yang dipanggil otomatis oleh Wazuh Manager setiap kali ada alert yang cocok dengan konfigurasi.

Membuat file integrasi

Buat / edit file integrasi dengan editor nano

sudo nano /var/ossec/integrations/custom-telegram

Isi script custom-telegram

custom-telegram (Python)

#!/usr/bin/env python3
import sys
import json
import requests

TOKEN = "TOKEN_BOT_KAMU"
CHAT_ID = "CHAT_ID_KAMU"

alert_file = sys.argv[1]

with open(alert_file, "r") as f:
    alert = json.load(f)

rule = alert.get("rule", {})
agent = alert.get("agent", {})
syscheck = alert.get("syscheck", {})

message = f"""🚨 WAZUH ALERT
🔴 Level    : {rule.get("level", "-")}
📋 Rule ID  : {rule.get("id", "-")}
💻 Agent    : {agent.get("name", "-")}
🆔 Agent ID : {agent.get("id", "-")}
⚠️ Event    : {rule.get("description", "-")}
📁 Path     : {syscheck.get("path", "-")}
🔧 Action   : {syscheck.get("event", "-")}
"""

url = f"https://api.telegram.org/bot{TOKEN}/sendMessage"

requests.post(
    url,
    data={
        "chat_id": CHAT_ID,
        "text": message
    },
    timeout=10
)

Wazuh Manager memanggil script ini dengan path file alert JSON sebagai argumen (sys.argv[1]) setiap kali sebuah alert cocok dengan konfigurasi <integration> di ossec.conf.

Fungsi script

• Membaca alert dalam format JSON yang dikirim Wazuh melalui argumen script
• Mengambil data rule (id, level, description)
• Mengambil data agent (name, id)
• Mengambil data syscheck (path file, jenis perubahan)
• Membentuk pesan terformat dari data-data tersebut
• Mengirim pesan ke Telegram melalui endpoint sendMessage

Permission & ownership

Permission script integrasi

sudo chmod 750 /var/ossec/integrations/custom-telegram

Ownership script integrasi

sudo chown root:wazuh /var/ossec/integrations/custom-telegram

Dependency

Install library Python yang dibutuhkan

sudo apt install python3-requests -y

Integrasi didaftarkan pada /var/ossec/etc/ossec.conf agar Wazuh Manager memanggil script custom-telegram setiap kali alert baru terbentuk.

Edit ossec.conf dengan nano

sudo nano /var/ossec/etc/ossec.conf

Tambahkan blok <integration> berikut tepat sebelum tag penutup </ossec_config>.

/var/ossec/etc/ossec.conf

<integration>
    <name>custom-telegram</name>
    <level>5</level>
    <group>syscheck</group>
    <alert_format>json</alert_format>
</integration>

Restart Wazuh Manager setelah perubahan konfigurasi

sudo systemctl restart wazuh-manager

Skenario pengujian yang digunakan untuk memvalidasi seluruh pipeline, dari perubahan file di endpoint hingga notifikasi diterima di Telegram.

1. Windows membuat file uji di C:\Users\Public\wazuh-test.txt
2. Wazuh Agent memonitor lokasi file tersebut melalui modul syscheck
3. File dimodifikasi (isi file diubah)
4. Agent mengirim event perubahan ke Wazuh Manager
5. Wazuh Manager menganalisis event terhadap rule yang tersedia
6. Rule ID 550 (integrity checksum changed) terpicu pada level 7
7. Custom integration mengambil alert JSON dan membentuk pesan
8. Telegram menerima notifikasi alert secara real-time

Detail tujuh langkah dari satu kejadian di endpoint Windows hingga alert diterima di Telegram — ini adalah alur yang sudah diuji menggunakan skenario FIM.

Inti dari lab ini dalam lima poin. Item bertanda konsep menggambarkan kemampuan yang sudah didesain dalam topologi tetapi belum sepenuhnya diuji — lihat Future Development.

Contoh notifikasi asli yang diterima di Telegram setelah pengujian FIM pada wazuh-test.txt.