Labo domestique pratique Wazuh SIEM/XDR couvrant le déploiement OVA, l'enrôlement des agents, la surveillance de l'intégrité des fichiers, la détection de malwares via VirusTotal et la chasse aux menaces MITRE ATT&CK.
Ce projet démontre le déploiement et le test d'un système Security Information and Event Management SIEM utilisant Wazuh. L'installation utilise un fichier OVA Wazuh pré-construit exécuté dans une machine virtuelle, ce qui en fait un moyen rapide et facile d'apprendre les capacités de surveillance et de détection de Wazuh.
⦁ Déploiement de Wazuh SIEM à l'aide d'un fichier OVA dans un environnement virtuel.
⦁ Configuration des paramètres réseau pour la communication agent–manager.
⦁ Installation des agents Wazuh sur les points de terminaison surveillés.
⦁ Génération et détection d'événements de sécurité simulés.
⦁ Analyse et visualisation des journaux de sécurité dans le tableau de bord Wazuh.
| Outil / Technologie | Objectif |
|---|---|
| Wazuh OVA | SIEM pré-configuré avec Wazuh Manager et tableau de bord |
| VMware Workstation | Plateforme de virtualisation pour la VM Wazuh |
| Windows 11 | Systèmes de point de terminaison pour les agents Wazuh |
| Wazuh Agent | Installé sur les points de terminaison pour envoyer les journaux/événements |
| Navigateur Web | Pour accéder au tableau de bord Wazuh |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
Téléchargement du fichier .ova depuis la section officielle Wazuh Downloads.
Importation du fichier .ova dans VMware.
Allocation d'au moins 8 Go de RAM, 4 cœurs de CPU et 50 Go de stockage et configuration du Bridged Networking ou du NAT avec Port Forwarding.
Démarrage de la machine virtuelle.
• Connexion avec les identifiants par défaut :
Nom d'utilisateur :
wazuh-user
Mot de passe :
wazuh
• Trouver l'adresse IP de la machine virtuelle à l'aide de :
ip addr
⦁ Exécution d'un scan ping :
ping <agent-ip>
Le ping renvoie 0 % de perte, l'adresse IP Wazuh est joignable et réactive.
⦁ Ouverture d'un navigateur et navigation vers :
https://<WAZUH_VM_IP>
Ensuite, les navigateurs Google Chrome, Edge ont affiché la page Votre connexion n'est pas privée.
Cliquez sur Avancé -> Continuer vers le site web (non sécurisé).
⦁ Connexion avec les identifiants par défaut et changement du mot de passe :
Nom d'utilisateur :
admin
Mot de passe :
admin
• Depuis le tableau de bord : Déploiement d'un nouvel agent.
• Suivi des instructions d'installation pour Windows.