Wazuh

Wazuh è una piattaforma gratuita e open source utilizzata per la prevenzione, il rilevamento e la risposta alle minacce. È in grado di proteggere carichi di lavoro in ambienti on-premises, virtualizzati, containerizzati e basati su cloud.

La soluzione Wazuh è composta da un agente di sicurezza endpoint, distribuito sui sistemi monitorati, e da un server di gestione che raccoglie e analizza i dati raccolti dagli agenti. Inoltre, Wazuh è stato completamente integrato con Elastic Stack, fornendo un motore di ricerca e uno strumento di visualizzazione dati che consente agli utenti di navigare tra i propri avvisi di sicurezza.

Funzionalità di Wazuh

Una breve presentazione di alcuni dei casi d'uso più comuni della soluzione Wazuh.

Rilevamento intrusioni

Gli agenti Wazuh scansionano i sistemi monitorati alla ricerca di malware, rootkit e anomalie sospette. Possono rilevare file nascosti, processi camuffati o listener di rete non registrati, oltre a incongruenze nelle risposte delle chiamate di sistema.

Oltre alle capacità dell'agente, il componente server utilizza un approccio basato su firme per il rilevamento delle intrusioni, sfruttando il proprio motore di espressioni regolari per analizzare i dati dei log raccolti e cercare indicatori di compromissione.

Analisi dei dati di log

Gli agenti Wazuh leggono i log del sistema operativo e delle applicazioni e li inoltrano in modo sicuro a un manager centrale per l'analisi basata su regole e l'archiviazione. Quando non è presente un agente, il server può anche ricevere dati tramite syslog da dispositivi di rete o applicazioni.

Le regole di Wazuh aiutano a rendersi conto di errori applicativi o di sistema, configurazioni errate, attività dannose tentate e/o riuscite, violazioni delle policy e una serie di altri problemi di sicurezza e operativi.

Monitoraggio dell'integrità dei file

Wazuh monitora il filesystem, identificando modifiche nel contenuto, nei permessi, nella proprietà e negli attributi dei file che è necessario tenere d'occhio. Inoltre, identifica in modo nativo gli utenti e le applicazioni utilizzati per creare o modificare i file.

Le funzionalità di monitoraggio dell'integrità dei file possono essere utilizzate in combinazione con l'intelligence sulle minacce per identificare minacce o host compromessi. Inoltre, diversi standard di conformità normativa, come PCI DSS, lo richiedono.

Rilevamento vulnerabilità

Gli agenti Wazuh raccolgono i dati dell'inventario software e inviano queste informazioni al server, dove vengono correlate con database CVE (Common Vulnerabilities and Exposure) aggiornati continuamente, al fine di identificare software vulnerabile noto.

La valutazione automatizzata delle vulnerabilità aiuta a individuare i punti deboli delle risorse critiche e ad intraprendere azioni correttive prima che gli aggressori li sfruttino per sabotare l'attività o rubare dati riservati.

Valutazione della configurazione

Wazuh monitora le impostazioni di configurazione del sistema e delle applicazioni per garantire che siano conformi alle policy di sicurezza, agli standard e/o alle guide di hardening. Gli agenti eseguono scansioni periodiche per rilevare applicazioni note per essere vulnerabili, non aggiornate o configurate in modo non sicuro.

Inoltre, i controlli di configurazione possono essere personalizzati per allinearsi correttamente all'organizzazione. Gli avvisi includono raccomandazioni per una configurazione migliore, riferimenti e mappatura con la conformità normativa.

Risposta agli incidenti

Gli agenti Wazuh forniscono risposte attive pronte all'uso per eseguire varie contromisure per affrontare minacce attive, come bloccare l'accesso a un sistema dalla fonte della minaccia quando vengono soddisfatti determinati criteri.

Inoltre, Wazuh può essere utilizzato per eseguire comandi o query di sistema in remoto sugli agenti, identificando indicatori di compromissione (IOC) e aiutando a svolgere altre attività di live forensics o risposta agli incidenti.

Conformità normativa

Wazuh fornisce alcuni dei controlli di sicurezza necessari per essere conformi agli standard e alle normative del settore. Queste funzionalità, combinate con la sua scalabilità e il supporto multipiattaforma, aiutano le organizzazioni a soddisfare i requisiti di conformità tecnica.

Wazuh è ampiamente utilizzato dalle società di elaborazione dei pagamenti e dagli istituti finanziari per soddisfare i requisiti PCI DSS (Payment Card Industry Data Security Standard). La sua interfaccia utente web fornisce report e dashboard che possono essere d'aiuto per questo e per altre normative (ad esempio GPG13 o GDPR).

Sicurezza del cloud

Wazuh aiuta a monitorare l'infrastruttura cloud a livello di API, utilizzando moduli di integrazione in grado di estrarre dati di sicurezza da noti provider cloud, come Amazon AWS, Azure o Google Cloud. Inoltre, Wazuh fornisce regole per valutare la configurazione dell'ambiente cloud, individuando facilmente i punti deboli.

Inoltre, gli agenti leggeri e multipiattaforma di Wazuh sono comunemente utilizzati per monitorare gli ambienti cloud a livello di istanza.

Sicurezza dei container

Wazuh fornisce visibilità sulla sicurezza degli host e dei container Docker, monitorandone il comportamento e rilevando minacce, vulnerabilità e anomalie. L'agente Wazuh ha un'integrazione nativa con il motore Docker che consente agli utenti di monitorare immagini, volumi, impostazioni di rete e container in esecuzione.

Wazuh raccoglie e analizza continuamente informazioni dettagliate sul runtime. Ad esempio, segnala container in esecuzione in modalità privilegiata, applicazioni vulnerabili, una shell in esecuzione in un container, modifiche a volumi o immagini persistenti e altre possibili minacce.

WUI

La WUI di Wazuh fornisce una potente interfaccia utente per la visualizzazione e l'analisi dei dati. Questa interfaccia può anche essere utilizzata per gestire la configurazione di Wazuh e monitorarne lo stato.

Panoramica dei moduli

Eventi di sicurezza

Monitoraggio dell'integrità

Rilevamento vulnerabilità

Conformità normativa

Panoramica agenti

Riepilogo agente

Orchestrazione

Qui puoi trovare tutti gli strumenti di automazione mantenuti dal team Wazuh.

• Wazuh AWS CloudFormation

• Docker containers

• Wazuh Ansible

• Wazuh Chef

• Wazuh Puppet

• Wazuh Kubernetes

• Wazuh Bosh

• Wazuh Salt

Branches

• Il branch main contiene il codice più recente, fai attenzione a possibili bug su questo branch.

Software e librerie utilizzati

• PyPi packages

Documentazione

• Documentazione completa
• Guida all'installazione di Wazuh

Partecipa

Entra a far parte della community di Wazuh per imparare dagli altri utenti, partecipare a discussioni, parlare con i nostri sviluppatori e contribuire al progetto.

Se desideri contribuire al nostro progetto, non esitare a fare pull-request, segnalare issue o inviare commit, esamineremo tutte le tue domande.

Puoi anche unirti al nostro canale Slack della community e alla mailing list inviando un'email a [email protected], per fare domande e partecipare alle discussioni.

Rimani aggiornato su notizie, versioni, articoli tecnici e altro ancora.

• Sito web di Wazuh
• LinkedIn
• YouTube
• Twitter
• Blog di Wazuh
• Canale annunci di Slack

Autori

Wazuh Copyright (C) 2015-2023 Wazuh Inc. (Licenza GPLv2)

Basato sul progetto OSSEC avviato da Daniel Cid.