Wazuh SIEM/XDR 홈 랩 실습: OVA 배포, 에이전트 등록, 파일 무결성 모니터링, VirusTotal 악성코드 탐지, MITRE ATT&CK 위협 헌팅을 다룹니다.
이 프로젝트는 Wazuh를 사용한 보안 정보 및 이벤트 관리 SIEM 시스템의 배포 및 테스트를 보여줍니다. 이 설정은 가상 머신 내에서 실행되는 사전 구축된 Wazuh OVA 파일을 사용하므로 Wazuh의 모니터링 및 탐지 기능을 빠르고 쉽게 배울 수 있습니다.
⦁ 가상 환경에서 OVA 파일을 사용하여 Wazuh SIEM을 배포했습니다.
⦁ 에이전트-매니저 통신을 위한 네트워크 설정을 구성했습니다.
⦁ 모니터링 대상 엔드포인트에 Wazuh 에이전트를 설치했습니다.
⦁ 시뮬레이션된 보안 이벤트를 생성하고 탐지했습니다.
⦁ * Wazuh 대시보드에서 보안 로그를 분석하고 시각화했습니다.*
| 도구 / 기술 | 목적 |
|---|---|
| Wazuh OVA | Wazuh Manager와 Dashboard가 포함된 사전 구성된 SIEM |
| VMware Workstation | Wazuh VM을 위한 가상화 플랫폼 |
| Windows 11 | Wazuh 에이전트를 위한 엔드포인트 시스템 |
| Wazuh Agent | 로그/이벤트를 전송하기 위해 엔드포인트에 설치됨 |
| 웹 브라우저 | Wazuh 대시보드에 접속하기 위한 용도 |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
공식 Wazuh 다운로드 섹션에서 .ova를 다운로드합니다.
.ova를 VMware로 가져옵니다.
최소 8GB RAM, 4 CPU 코어, 50GB 저장 공간을 할당하고 브리지 네트워킹 또는 포트 포워딩을 사용한 NAT를 구성했습니다.
가상 머신을 부팅합니다.
• 기본 자격 증명으로 로그인:
사용자 이름:
wazuh-user
비밀번호:
wazuh
• 다음을 사용하여 가상 머신 IP 찾기:
ip addr
⦁ 핑 스캔 실행:
ping <agent-ip>
핑이 0% 손실을 반환하여 Wazuh IP에 연결할 수 있고 응답합니다.
⦁ 브라우저를 열고 다음으로 이동:
https://<WAZUH_VM_IP>
그런 다음 브라우저 Google Chrome, Edge에서 Your connection isn't private 페이지를 표시했습니다.
Advanced -> Continue to website(unsafe)를 클릭했습니다.
⦁ 기본 자격 증명으로 로그인하고 비밀번호를 변경했습니다:
사용자 이름:
admin
비밀번호:
admin
• 대시보드에서: 새 에이전트 배포.
• Windows용 설치 프로그램 지침을 따랐습니다.
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'
.\wazuh-agent-4.12.0-1.msi /q WAZUH_MANAGER="10.22.137.106"
이것을 Windows Powershell에 붙여넣습니다.
Wazuh 에이전트의 GUI.
Wazuh의 개요 대시보드.
