Instalacja systemu Wazuh na Ubuntu

Wazuh to rozwiązanie podnoszące bezpieczeństwo w infrastrukturze informatycznej. Jego skuteczność wynika z pokrycia dwóch obszarów funkcjonalności XDR  (Extended detection and response) i SIEM (Security Information and Event Management) 

A wszystko to za darmo, obsługiwane z ładnego interfejsu graficznego za pomocą przeglądarki internetowej.

System Wazuh składa z trzech, a właściwie czterech komponentów. 

Wazuh server – kompetent ma za zadanie analizować zebrane dane od agentów Wazuha. Dane przetwarza za pomocą dekoderów i reguł, wykorzystując analizę zagrożeń ze znanych wskaźników kompromitacji (IOC – indicators of compromise). Ten komponent służy również do zarządzania agentami, ich zdalnej konfiguracji i aktualizacji. 

Wazuh indexer – to silnik wyszukiwania pełnotekstowego. Indeksuje i przechowuje alerty generowane przez serwer Wazuha.

Wazuh Dashboard – to webowy interfejs użytkownika umożliwiający wizualizację danych.  Zawiera gotowe pulpity nawigacyjne dla zdarzeń związanych z bezpieczeństwem, wykrytych podatności, monitorowania integralności plików, wyników oceny konfiguracji i inne. Służy także do zarządzania konfiguracją Wazuh. Dashboard działa najlepiej z najnowszymi wersjami przeglądarek.

Powyższe trzy komponenty mogą być zainstalowane razem na jednym serwerze lub oddzielnie na wielu serwerach w klastrze, kiedy obciążenie jest większe dla dużej skali środowisk. Ostatni składnik to agent, do zainstalowania już poza serwerem.

Wazuh Agent – agenty są instalowane na punktach końcowych, takich maszyny robocze, serwery, maszyny wirtualne, itp. Zapewniają zapobieganie zagrożeniom, ich wykrywanie i reagowanie. Działają na systemach operacyjnych takich jak Linux, Windows, macOS, Solaris, AIX i HP-UX.

Oprócz możliwości monitorowania w oparciu o agenty, Wazuh potrafi monitorować urządzenia bez użycia agenta. Mogą to być urządzenia sieciowe,  jak firewalle, switche, routery i inne. Dane dziennika systemowego można gromadzić za pośrednictwem protokołu komunikacyjnego Syslog, a konfigurację można monitorować poprzez okresowe sprawdzanie danych, poprzez SSH lub poprzez API.

Wymagania

Wymagania Wazuha zależą głównie od liczby agentów, z których mają być zbierane dane. Dla środowiska do 100 agentów wystarczy podstawowa instalacja ze wszystkimi składnikami na jednym serwerze (one-node). Dla większej ilości agentów niezbędna jest instalacja w klastrze i skalowanie horyzontalne.

Najlepiej gdy serwer posiada 8 vCPU i 8 GiB RAM plus większą przestrzeń magazynową – w przypadku 100 agentów potrzeba około 2 TB dla danych przechowywanych przez 3 miesiące.  Dla mniejszego środowiska  (do 25 agentów) możemy zredukować serwer do  4vCPU, analogicznie mniejsza przestrzeń. Nie zalecam przydzielenia  mniejszej pamięci RAM.

 Instalacja

W przypadku instalacji wszystkich komponentów na jednym serwerze, dla ułatwienia został przygotowany skrypt który wszystko instaluje za nas na serwerze Ubuntu.  W przypadku wersji 4.7  będzie to polecenie 

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

Po zakończeniu instalacji jak w wynik dostaniemy adres IP naszego dashboardu i wygenerowane zostanie hasło dla użytkownika admin do Dashboardu, warto je zapisać.  Choć gdyby to umknęło, to  wszystkie hasła można wyświetlić w ten sposób:

sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

Aby odinstalować Wazuha w ten sposób zainstalowanego, to wystarczy tylko skorzystać ze skryptu z parametrem -u lub –uninstall, czyli:
sudo bash ./wazuh-install.sh –uninstall

Po zainstalowaniu możesz przejść do przeglądarki i na porcie https i IP serwera zalogować się to Dashboardu.