Information Security Squad

В этой статье рассказывается, как установить сервер Wazuh на CentOS 8.

Бесплатный инструмент Host & Endpoint Security: Wazuh

Сервер Wazuh – это бесплатный инструмент мониторинга безопасности с открытым исходным кодом, который использует elasticsearch (ELK).

Он используется для отслеживания событий безопасности на уровне приложений и ОС.

Таким образом, вы можете получить информацию об обнаружении угроз, реагировании на инциденты и мониторинге целостности.

В этом руководстве мы развернем Wazuh на одной ноде CentOS с установленным ELK на том же хосте.

altprobe: сборщик событий для Suricata NIDS, Wazuh HIDS, Modsecurity WAF, Elastic Metricbeat

Вы можете использовать Wazuh в следующих целях:

• Анализ безопасности
• Анализ логов
• Обнаружение уязвимостей
• Безопасность контейнеров
• Облачная безопасность

Шаг 1 – Установка Wazuh Server на CentOS 8

sudo dnf update -y

sudo rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH

sudo tee /etc/yum.repos.d/wazuh.repo <<EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF

sudo dnf -y install wazuh-manager

sudo systemctl enable --now wazuh-manager

sudo sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

Мы продолжим установку стека ELK на нашем экземпляре CentOS 8.

Elasticsearch, Logstash и Kibana составляют стек ELK, который используется для анализа логов.

Эти инструменты работают в сотрудничестве с сервером Wazuh, обеспечивая анализ инцидентов безопасности и управление ими.

Установим Java на CentOS 8

sudo dnf install java-11-openjdk-devel

java -version

openjdk version "11.0.5" 2019-10-15 LTS
OpenJDK Runtime Environment 18.9 (build 11.0.5+10-LTS)
OpenJDK 64-Bit Server VM 18.9 (build 11.0.5+10-LTS, mixed mode, sharing)

Установим Elasticsearch на CentOS 8

sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

sudo tee /etc/yum.repos.d/elasticsearch.repo << EOF
[elasticsearch-7.x]
name=Elasticsearch repository for 7.x packages
baseurl=https://artifacts.elastic.co/packages/7.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

sudo dnf install elasticsearch

sudo systemctl enable elasticsearch.service --now

sudo dnf -y install kibana 

$ sudo vim /etc/kibana/kibana.yml
# Kibana is served by a back end server. This setting specifies the port to use.
# server.port: 5601
server.port: 5601 
... 
# To allow connections from remote users, set this parameter to a non-loopback address.
#server.host: "localhost" 
server.host: "localhost"
# The URL for the elasticsearch instance
elasticsearch.hosts: [http://localhost:9200]

sudo systemctl enable --now kibana

sudo yum install filebeat

sudo mv /etc/filebeat/filebeat.yml{,.bak}
sudo curl -so /etc/filebeat/filebeat.yml https://raw.githubusercontent.com/wazuh/wazuh/v4.0.3/extensions/filebeat/7.x/filebeat.yml

$ sudo vim /etc/filebeat/filebeat.yml
#output.elasticsearch.hosts: ['http://YOUR_ELASTIC_SERVER_IP:9200']
output.elasticsearch.hosts: ['http://localhost:9200']

logging.level: info
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7
  permissions: 0644

$ sudo filebeat test output
 elasticsearch: http://localhost:9200...
  parse url... OK
  connection...
    parse host... OK
    dns lookup... OK
    addresses: 192.168.1.83
    dial up... OK
  TLS... WARN secure connection disabled
  talk to server... OK
  version: 7.9.3

wget https://packages.wazuh.com/4.x/filebeat/wazuh-filebeat-0.1.tar.gz -P /tmp/
sudo mkdir /usr/share/filebeat/module/wazuh
sudo tar xzf /tmp/wazuh-filebeat-0.1.tar.gz -C /usr/share/filebeat/module/wazuh/ --strip-components=1

$ sudo curl -so /etc/filebeat/wazuh-template.json https://raw.githubusercontent.com/wazuh/wazuh/v4.0.3/extensions/elasticsearch/7.x/wazuh-template.json

$ sudo filebeat setup --path.config /etc/filebeat --path.home /usr/share/filebeat --path.data /var/lib/filebeat --index-management -E setup.template.json.enabled=false

sudo systemctl restart filebeat

sudo chown -R kibana: /usr/share/kibana/{optimize,plugins}

$ cd /usr/share/kibana
$ sudo -u kibana bin/kibana-plugin install https://packages.wazuh.com/4.x/ui/kibana/wazuh_kibana-4.0.3_7.9.3-1.zip

$ sudo -u kibana /usr/share/kibana/bin/kibana-plugin list
wazuh@4.0.3

sudo systemctl restart kibana
sudo systemctl restart elasticsearch
sudo systemctl restart wazuh-manager

Настройте брандмауэр, чтобы разрешить доступ к Kibana с удаленного хоста.

Вам также может потребоваться разрешить Elasticsearch, если у вас установлены Kibana и Elasticsearch на разных хостах.

sudo firewall-cmd --zone=public --add-port=5601/tcp --permanent
sudo firewall-cmd --reload

Теперь вы можете получить доступ к своему интерфейсу кибаны, используя адрес http://server-IP: 5601

• 📜 4 решения для обработки журналов и анализа безопасности SIEM на основе стека ELK
• Как настроить Elasticsearch на Ubuntu 18.04 и 16.04 LTS