مختبر منزلي عملي لـ Wazuh SIEM/XDR يغطي نشر OVA، وتسجيل الوكلاء، ومراقبة سلامة الملفات، واكتشاف البرمجيات الخبيثة عبر VirusTotal، واصطياد التهديدات باستخدام MITRE ATT&CK.
يوضح هذا المشروع نشر واختبار نظام إدارة معلومات وأحداث الأمن SIEM باستخدام Wazuh. يستخدم الإعداد ملف OVA مُعد مسبقًا لـ Wazuh يعمل داخل جهاز افتراضي، مما يجعله طريقة سريعة وسهلة للتعرف على قدرات المراقبة والكشف في Wazuh.
⦁ نشر Wazuh SIEM باستخدام ملف OVA في بيئة افتراضية.
⦁ تكوين إعدادات الشبكة للتواصل بين الوكيل والمدير.
⦁ تثبيت وكلاء Wazuh على نقاط النهاية المراقبة.
⦁ توليد أحداث أمنية محاكاة وكشفها.
⦁ تحليل سجلات الأمان وعرضها بصريًا في لوحة تحكم Wazuh.
| الأداة / التقنية | الغرض |
|---|---|
| Wazuh OVA | نظام SIEM مُعد مسبقًا مع Wazuh Manager ولوحة التحكم |
| VMware Workstation | منصة المحاكاة الافتراضية لجهاز Wazuh الافتراضي |
| Windows 11 | أنظمة نقاط النهاية لوكلاء Wazuh |
| Wazuh Agent | يُثبَّت على نقاط النهاية لإرسال السجلات/الأحداث |
| متصفح الويب | للوصول إلى لوحة تحكم Wazuh |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
تنزيل ملف .ova من قسم التنزيلات الرسمي لـ Wazuh.
استيراد ملف .ova إلى VMware.
تخصيص 8GB RAM على الأقل، و4 أنوية CPU، و50GB مساحة تخزين، وتكوين Bridged Networking أو NAT مع إعادة توجيه المنافذ.
إقلاع الجهاز الافتراضي.
• تسجيل الدخول باستخدام بيانات الاعتماد الافتراضية:
اسم المستخدم:
wazuh-user
كلمة المرور:
wazuh
• العثور على عنوان IP للجهاز الافتراضي باستخدام:
ip addr
⦁ تشغيل فحص ping:
ping <agent-ip>
أرجع ping نسبة فقدان 0%، عنوان IP الخاص بـ Wazuh قابل للوصول ومتجاوب.
⦁ فتح متصفح والانتقال إلى:
https://<WAZUH_VM_IP>
ثم عرض المتصفح Google Chrome وEdge صفحة اتصالك ليس خاصًا.
النقر على Advanced -> Continue to website(unsafe).
⦁ تسجيل الدخول باستخدام بيانات الاعتماد الافتراضية وتغيير كلمة المرور:
اسم المستخدم:
admin
كلمة المرور:
admin
• من لوحة التحكم: نشر وكيل جديد.
• اتباع تعليمات المثبّت لـ Windows.
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'
.\wazuh-agent-4.12.0-1.msi /q WAZUH_MANAGER="10.22.137.106"
لصق هذا في Windows Powershell.
واجهة مستخدم وكيل Wazuh.