Laboratório prático de Wazuh SIEM/XDR em ambiente doméstico abordando implantação de OVA, registro de agentes, monitoramento de integridade de arquivos, detecção de malware com VirusTotal e caça a ameaças com MITRE ATT&CK.
Este projeto demonstra a implantação e os testes de um sistema Security Information and Event Management SIEM usando o Wazuh. A configuração utiliza um arquivo OVA pré-construído do Wazuh executado dentro de uma máquina virtual, tornando-se uma maneira rápida e fácil de aprender sobre os recursos de monitoramento e detecção do Wazuh.
⦁ Implantação do Wazuh SIEM usando um arquivo OVA em um ambiente virtual.
⦁ Configuração das definições de rede para a comunicação agente–gerenciador.
⦁ Instalação dos agentes Wazuh nos endpoints monitorados.
⦁ Geração e detecção de eventos de segurança simulados.
⦁ Análise e visualização dos logs de segurança no Painel do Wazuh.
| Ferramenta / Tecnologia | Finalidade |
|---|---|
| Wazuh OVA | SIEM pré-configurado com o Wazuh Manager e o Painel |
| VMware Workstation | Plataforma de virtualização para a VM do Wazuh |
| Windows 11 | Sistemas endpoint para os agentes Wazuh |
| Wazuh Agent | Instalado nos endpoints para enviar logs/eventos |
| Navegador Web | Para acessar o Painel do Wazuh |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
Baixando o .ova da seção oficial de Downloads do Wazuh.
Importando o .ova para o VMware.
Alocando pelo menos 8GB de RAM, 4 núcleos de CPU e 50GB de armazenamento e configurando Bridged Networking ou NAT com Port Forwarding.
Inicializando a Máquina Virtual.
• Login com Credenciais Padrão:
Usuário:
wazuh-user
Senha:
wazuh
• Encontre o IP da Máquina Virtual usando:
ip addr
⦁ Executando um ping scan:
ping <agent-ip>
O ping retornou 0% de perda, o IP do Wazuh está acessível e responsivo.
⦁ Abrindo um navegador e navegando até:
https://<WAZUH_VM_IP>
Então os navegadores Google Chrome e Edge exibiram a página Sua conexão não é particular.
Cliquei em Avançado -> Continuar para o site (não seguro).
⦁ Login com credenciais padrão e alteração da senha:
Usuário:
admin
Senha:
admin
• No painel: Implantar novo agente.
• Segui as instruções do instalador para Windows.
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'
.\wazuh-agent-4.12.0-1.msi /q WAZUH_MANAGER="10.22.137.106"
Colando isso no Windows Powershell.