Laboratorio domestico pratico su Wazuh SIEM/XDR che copre il deployment OVA, l'enrollment degli agenti, il file integrity monitoring, il rilevamento di malware con VirusTotal e il threat hunting con MITRE ATT&CK.
Questo progetto dimostra il deployment e il testing di un sistema Security Information and Event Management SIEM utilizzando Wazuh. La configurazione utilizza un file OVA Wazuh pre-costruito in esecuzione all'interno di una macchina virtuale, rendendolo un modo rapido e semplice per apprendere le capacità di monitoraggio e rilevamento di Wazuh.
⦁ Deployment di Wazuh SIEM utilizzando un file OVA in un ambiente virtuale.
⦁ Configurazione delle impostazioni di rete per la comunicazione agent–manager.
⦁ Installazione degli Wazuh agents sugli endpoint monitorati.
⦁ Generazione e rilevamento di eventi di sicurezza simulati.
⦁ Analisi e visualizzazione dei log di sicurezza nella Wazuh Dashboard.
| Strumento / Tecnologia | Scopo |
|---|---|
| Wazuh OVA | SIEM pre-configurato con Wazuh Manager e Dashboard |
| VMware Workstation | Piattaforma di virtualizzazione per la VM Wazuh |
| Windows 11 | Sistemi endpoint per gli agenti Wazuh |
| Wazuh Agent | Installato sugli endpoint per inviare log/eventi |
| Web Browser | Per accedere alla Wazuh Dashboard |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
Download del file .ova dalla sezione ufficiale Downloads di Wazuh.
Importazione del file .ova in VMware.
Allocazione di almeno 8GB di RAM, 4 core CPU e 50GB di storage e configurazione di Bridged Networking o NAT with Port Forwarding.
Avvio della Macchina Virtuale.
• Login con Credenziali Predefinite:
Username:
wazuh-user
Password:
wazuh
• Trovare l'IP della Macchina Virtuale utilizzando:
ip addr
⦁ Esecuzione di un ping scan:
ping <agent-ip>
Il ping restituisce 0% di perdita, l'IP di Wazuh è raggiungibile e reattivo.
⦁ Apertura di un browser e navigazione verso:
https://<WAZUH_VM_IP>
Poi il browser Google Chrome, Edge hanno visualizzato la pagina Your connection isn't private.
Cliccato su Advanced -> Continue to website(unsafe).
⦁ Login con credenziali predefinite e cambio della password:
Username:
admin
Password:
admin
• Dalla dashboard: Deployed new agent.
• Seguite le istruzioni dell'installer per Windows.
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'