ELK ، SIEM من OpenSource ، Open Distro: التكامل مع WAZUH

المضي قدما في مشروعنا. لقد أكملنا جزء SIEM. حان الوقت لنقل مشروعنا من مراقب بسيط إلى مستجيب نشط. واحدة من الأدوات الهامة التي استخدمناها لهذا هو Wazuh. في هذه المقالة ، نأمل أن نطلعك على الفوائد التي تقدمها هذه الأداة. سنخبرك أيضًا بكيفية تثبيته واستخدامه.

Wazuh هو محرك مفتوح المصدر للكشف عن الامتثال الأمني ​​وعرضه ومقارنته.

تم إنشاؤه كشوكة لـ OSSEC HIDS ، ثم تم دمجه لاحقًا مع Elastic Stack و OpenSCAP ، والذي تحول إلى حل أكثر شمولاً.

يساعدك Wazuh في الحصول على رؤية أمنية أعمق عبر البنية التحتية الخاصة بك عن طريق تتبع المضيفين في نظام التشغيل وطبقة التطبيق.

جدول محتويات لجميع الوظائف.

• المقدمة. نشر البنية التحتية والتكنولوجيا لشركة SOC كخدمة (SOCasS)
• ELK Stack - التثبيت والتكوين
• المشي من خلال Distro المفتوح
• لوحات القيادة وتصور ELK SIEM
• التكامل مع WAZUH
• تنبيه
• عمل تقرير
• إدارة حالة

المقال مقسم إلى الأقسام التالية:

• تركيب خادم Wazuh والوكيل

1. تركيب خادم Wazuh Server

   
   
   

2. تركيب وكيل Wazuh

   
   
   

3. تثبيت التطبيق والتكامل مع kibana

   
   
   

4. تكوين وكلاء وتوصيلهم

   
   
   

1- wazuh

Wazuh — , , , . , .

Wazuh: Wazuh, API Filebeat. .

Wazuh: , . Wazuh, .

1.1- Wazuh:

Wazuh , , . , ( , , , . .), / . Elasticsearch .

(Single-host architecture (HIDS)), :

. :

https://documentation.wazuh.com/3.8/getting-started/architecture.html

1.2- Wazuh manager, API Filebeat

wazuh

https://documentation.wazuh.com/3.12/installation-guide/installing-wazuh-manager/linux/ubuntu/wazuh_server_packages_ubuntu.html#wazuh-server-packages-ubuntu

filebeat: filebeat elasticsearch logstash. elasticsearch ssl ( , )

cd /etc/filebeat
nano filebeat.yml

3 :

filebeat setup — index-management
service filebeat start
service wazuh-manager start
service wazuh-api start

1.3- wazuh-

https://documentation.wazuh.com/3.12/installation-guide/installing-wazuh-agent/linux/ubuntu12.04-or-greater/wazuh_agent_package_ubuntu12.04_or_greater.html#wazuh-agent-package-ubuntu12-04-or —

, wazuh-agent:

1.4- wazuh Kibana:

Wazuh Kibana ELK, .

Git Hub, -.

wazuh, ELK Stack 7.6.1. .

cd /usr/share/kibana

sudo -u kibana bin/kibana-plugin install https://packages.wazuh.com/wazuhapp/wazuhapp-3.12.2_7.6.1.zip

Kibana, :

cat >> /etc/default/kibana << EOF
NODE_OPTIONS=" —max_old_space_size=2048"
EOF

:

systemctl restart kibana

:

https://github.com/wazuh/wazuh-kibana-app

, wazuh . . wazuh api. . . , . , .

1–5

. .

Wazuh manager manage_agents, . . :

/var/ossec/bin/manage_agents

, A . , , user1. IP- . : IP- , () IP-. Enter

, wazuh.

E . , 001.

, Wazuh, Linux root. .

/var/ossec/bin/manage_agents -i "__"

, "y" Enter.

Wazuh /var/ossec/etc/ossec.conf, IP- Wazuh. <> <> MANAGER_IP Wazuh. Wazuh- IP- DNS-:

1.6- :

, ELK wazuh. . - (wazuh-alert wazuh-monitoring)

1. Wazuh:

   
   
   

Wazuh , Wazuh-manager.

— , , . — . , .

, IP- , , , Bruteforce, , RDP SSH, .

, IP- , , Wazuh. SSH-Bruteforce. 8 . , "5712 — SSHD ". . , IP .

-, , .

OSSEC , . / var / ossec / active-response / bin / . firewall-drop.sh, Linux / Unix IP- .

ossec.conf OSSEC Manager:

nano /var/ossec/etc/ossec.conf

firewall-drop.sh, Linux / Unix IP- .

OSSEC . :

-command: (firewall-drop).

-location: . , . , local.

-rules_id: , 5712.

-timeout: IP 60 (iptables, ipfilter . .)

. wazuh-manager :

service wazuh-manager restart

wazuh-agent ossec.conf :

<active-response>
<disabled>no</disabled>
</active-response>

SSH -, Wazuh, 60 8 .

Wazuh, :

https://documentation.wazuh.com/3.7/user-manual/capabilities/active-response/how-it-works.html

دردشة Telegram على Elasticsearch: https://t.me/elasticsearch_ru