Wazuh - SIEM с открытым исходным кодом

Что такое SIEM, если по-простому

SIEM(Security Information and Event Management) - это система, которая анализирует события на информационных ресурсах компании, смотрит их логи, находит закономерности, выстраивает цепочки, чтобы вовремя обнаружить подозрительную активность и успеть предпринять меры для блокировки атак. Нормально, если вы 3 раза пытаетесь залогиниться в винде, 2 раза из которых забыли сменить раскладку. Нормально, если это происходит в пятый или даже в десятый раз с интервалом в несколько секунд. Но если вы дрочитесь по 30 раз в секунду в попытках залогиниться, на 1001-й раз за минуту в логах отображается успешный вход, это определенно повод поволноваться. Вот как раз SIEM распознает это как подозрительную активность, передаст информацию о том, что происходит с вашим аккаунтом SOC-аналитикам, чтобы они блокнули вашу учетку к херам от греха подальше.

Для справки: SOC (Security Operation Center) - это толпа инженеров разной квалификации, которые надрессированы работать с SIEM-системами и в идеальном случае знают, как реагировать на атаки, как распознавать ложные сработки этой системы и как неистово выебываться в IT-комьюнити.

Злой рок, в конечном счете, привел меня к необходимости самостоятельно разобраться с халявными решениями SIEM. Коммерческие лицензии, надо сказать, стоят просто нереальных денег, я до стольки еще считать не научилась. Не на пустом месте, конечно. Однако, жизненный путь тернист, а судьба неудачника - бесплатный цирк для богов. И вот я знакомлюсь с Wazuh - SIEM-система с открытым исходным кодом.

Вертится она у меня на обычной Ubuntu 24.4.5 TSL - виртуалочке,которая автозапускается вместе с виндой.
Выглядит приятно, а при базовой настройке правил корреляции даже неплохо так отрабатывает. Есть 6 гигов ОЗУ, а на диске надо выделить около 80. За 3 месяца они будут забиты и придется очищать.

Ну, начнем с настройки. Wazuh на сегодняшний день стабильно работает на Ubuntu 24.4.0 версии. На 26-й может отрыгнуть. Так что, я решила не рисковать, нервов и так уже не осталось и поставила эту вундервафлю по гайду от разрабов.

Работаю с Oracle, так что для VMWare-поклонников инструкции будут немного другими.

Важно на виртуалке выделить не менее 6 гигов оперативки (6144 GiB) и не менее 4 ядер процессора.

Я ставлю Wazuh на ноутбук (бегите, я бешеный), потому у меня нет необходимости в доступности SIEM снаружи, зато есть необходимость не дрочиться с постоянным редактированием конфигов из-за динамичного ip. Так что я сразу же даю виртуалке 2 сетевых атаптера. Один NAT, второй "Виртуальный адаптер - VirtualBox Host-Only Ethernet Adapter" и тараканю править конфигурации

Через ip a узнаем имена виртуального адаптера. Там будет, скорее всего enp0s8 без адреса. Пугать это не должно. Адрес назначается легче легкого (если б не нейросеть, то ебалась бы 3 дня в попытке разобраться, какого хера просиходит и почему сраный ip не появляется) .

Создаем файл настроек:

sudo nano /etc/netplan/60-hostonly.yaml

и внутри вводим это:
network:

version: 2

ethernets:

enp0s8:

addresses: [192.168.xx.xx/24] ^*

*Вместо xx поставь че-нибудь свое. По типу 67.67

Важное замечание: Отступы - это не TAB, это строго 2 пробела. Отступы важны. Они должны быть ИМЕННО ТАКИМИ, И НИКАКИМИ ДРУГИМИ.

Применяем настроечки:

sudo chmod 600 /etc/netplan/60-hostonly.yaml

sudo netplan apply

Проверяем, что у enp0s8 появился тот адрес, который назначили через ip a

Ну, собственно, теперь ставим wazuh.

Ставится одной командой:

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

В конце будут креды. Че т типа такого:

User: admin

Password: какой-то_длинный_пароль

Их надо сохранить. Это креды от веб-панели.

Если пароль "потеряется", то можно его опять достать:

sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

В Веб-панель заход стандартный:

https://192.168.xx.xx

Логин-пароль Выше.

Дальше надо будет поставить агента (херню, которая будет собирать все ваши события с тачки)

В менюшке слева ищете Agents Managers -> Summary. Справа "Deploy new agent"

Дальше по форме надо заполнить параметры:

Сгенерируется 2 команды. Нужна та, которая начинается с Invoke-WebRequest (для винды). Для Linux начинается с wget.
Эту команду надо запихнуть в командную строку. В моем случае в PowerShell. Агент утсановится, а дальше для виндв надо прописать:

NET START Wazuh


Это служба только что загруженного агента. Если косяков по пути нигде не было, то в веб-панели появится созданный агент с зеленой лампочкой в состоянии Active

Протестить работу можно, создав и удалив пользователя. В новорожденной SIEM появятся события с уровнем угрозы >7

net user hacker Test12345! /add

net user hacker /delete

Отобразится хрень в Treat Intellegence (левая менюшка) -> Treat Hunting -> Events.

Далее надо очень плотно и потно настраивать эту систему. В целом, она может анализировать любые логи, какие захотите ей кормить в режиме "онлайн". Главное, суметь настроить. Для отслеживания состояния компа лучше сразу качнуть Sysmon (бесплатная утилита Microsoft, которая записывает подробности о том, что происходит в системе: какая программа запустилась, кто её запустил, куда она подключается по сети) и начать кастовать правила. Когда нормально корреляция будет настроена, можно сделать интеграцию с почтой и телегой, что б туда сливались особо серьезные алерты.

В целом, штука классная, потому что бесплатно, без лишней мозгодрочки, помогает отслеживать события в системе, смотреть, когда, где, куда именно и какой именно, был скачан майнер. Также он через Vulnerability Detection помогает отслеживать, какие проги надо обновить и какие уязвимости есть в текущих версиях, ибо в него подружается БД CVE-шек. Также можно найти какой-нибудь опенсурсный WAF, кидануть в него трафик своего сайта и слить логи в этот же Wazuh и даже отслеживать события ИБ на уровне веб-приложения.

Выглядит, опять же, красиво:

Да, конечно, в плане установки на ноутбук сразу возникает вопрос: а почему не обычное АВПО? Не касперский, не тот же защитник виндовс?

Потому что пошли они нахуй, вот почему. Потому что в АВПО свои правила, свои сценарии, и они самовольно удаляют или блокируют файлы. А в SIEM можно посмотреть самостоятельно и самолично принять решение, надо там что-то удалять или нет. Можно написать свои правила о том, что считать угрозой, а что нет. А еще это бесплатно и без геморройных подписок, рекламы и т.д. и т.п.

Ссылка на оф документацию: https://documentation.wazuh.com/

Всем six seven