swastiksagar/wazuhlabproject
Wazuh SIEM/XDRのハンズオンホームラボ。OVAデプロイ、エージェント登録、ファイル整合性監視、VirusTotalによるマルウェア検出、MITRE ATT&CK脅威ハンティングを扱う。
このプロジェクトは、Wazuhを使用したSecurity Information and Event Management SIEMシステムのデプロイとテストを実演します。このセットアップでは、仮想マシン内で動作する事前構築済みのWazuh OVAファイルを使用しており、Wazuhの監視および検知機能について素早く簡単に学ぶことができます。
⦁ 仮想環境でOVAファイルを使用してWazuh SIEMをデプロイしました。
⦁ エージェントとマネージャー間の通信のためにネットワーク設定を構成しました。
⦁ 監視対象エンドポイントにWazuhエージェントをインストールしました。
⦁ シミュレートされたセキュリティイベントを生成し、検知しました。
⦁ Wazuh Dashboardでセキュリティログを分析し、可視化しました。
| ツール / テクノロジー | 目的 |
|---|---|
| Wazuh OVA | Wazuh ManagerとDashboardを備えた事前構成済みSIEM |
| VMware Workstation | Wazuh VM用の仮想化プラットフォーム |
| Windows 11 | Wazuhエージェント用のエンドポイントシステム |
| Wazuh Agent | ログ/イベントを送信するためにエンドポイントにインストール |
| Webブラウザ | Wazuh Dashboardにアクセスするため |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
公式WazuhのDownloadsセクションから*.ova**をダウンロードします。*
.ovaをVMwareにインポートします。
少なくとも8GBのRAM、4つのCPUコア、50GBのストレージを割り当て、ブリッジネットワークまたはポートフォワーディング付きNATを構成します。
仮想マシンを起動します。
• デフォルトの認証情報でログインします:
ユーザー名:
wazuh-user
パスワード:
wazuh
• 以下を使用して仮想マシンのIPを確認します:
ip addr
⦁ pingスキャンを実行します:
ping <agent-ip>
Pingは0%の損失を返し、Wazuh IPは到達可能で応答しています。
⦁ ブラウザを開き、以下に移動します:
https://<WAZUH_VM_IP>
その後、ブラウザGoogle Chrome、EdgeはYour connection isn't privateページを表示しました。
Advanced -> Continue to website(unsafe)をクリックしました。
⦁ デフォルトの認証情報でログインし、パスワードを変更しました:
ユーザー名:
admin
パスワード:
admin
• ダッシュボードから: Deployed new agent。
• Windows用のインストーラーの指示に従いました。
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'
.\wazuh-agent-4.12.0-1.msi /q WAZUH_MANAGER="10.22.137.106"
これをWindows Powershellに貼り付けます。
WazuhエージェントのGUI。
Wazuhの概要ダッシュボード。