Wazuh

Wazuh — это бесплатная платформа с открытым исходным кодом, предназначенная для предотвращения угроз, их обнаружения и реагирования на них. Она способна защищать рабочие нагрузки в локальных, виртуализированных, контейнеризированных и облачных средах.

Решение Wazuh состоит из агента безопасности конечной точки, развёртываемого на контролируемых системах, и управляющего сервера, который собирает и анализирует данные, полученные от агентов. Кроме того, Wazuh полностью интегрирован с Wazuh Indexer, предоставляя поисковую систему и инструмент визуализации данных, позволяющий пользователям просматривать свои оповещения безопасности.

Возможности Wazuh

Краткое описание некоторых наиболее распространённых сценариев использования решения Wazuh.

Обнаружение вторжений

Агенты Wazuh сканируют контролируемые системы в поисках вредоносного ПО, руткитов и подозрительных аномалий. Они способны обнаруживать скрытые файлы, замаскированные процессы или незарегистрированные сетевые слушатели, а также несоответствия в ответах системных вызовов.

Помимо возможностей агентов, серверный компонент использует сигнатурный подход к обнаружению вторжений, применяя свой движок регулярных выражений для анализа собранных данных журналов и поиска индикаторов компрометации.

Анализ данных журналов

Агенты Wazuh считывают журналы операционной системы и приложений и безопасно пересылают их на центральный менеджер для анализа на основе правил и хранения. Если агент не развёрнут, сервер также может получать данные через syslog от сетевых устройств или приложений.

Правила Wazuh помогают выявлять ошибки приложений или системы, ошибки конфигурации, попытки и/или успешные вредоносные действия, нарушения политик и множество других проблем безопасности и эксплуатации.

Мониторинг целостности файлов

Wazuh отслеживает файловую систему, выявляя изменения в содержимом, разрешениях, владельце и атрибутах файлов, за которыми необходимо следить. Кроме того, он изначально определяет пользователей и приложения, использованные для создания или изменения файлов.

Возможности мониторинга целостности файлов можно использовать в сочетании с аналитикой угроз для выявления угроз или скомпрометированных узлов. Кроме того, этого требуют некоторые стандарты нормативного соответствия, например PCI DSS.

Обнаружение уязвимостей

Агенты Wazuh собирают данные инвентаризации программного обеспечения и отправляют эту информацию на сервер, где она сопоставляется с постоянно обновляемыми базами данных CVE (Common Vulnerabilities and Exposure) для выявления известного уязвимого программного обеспечения.

Автоматизированная оценка уязвимостей помогает находить слабые места в критически важных активах и принимать корректирующие меры до того, как злоумышленники воспользуются ими для нанесения ущерба бизнесу или кражи конфиденциальных данных.

Оценка конфигурации

Wazuh отслеживает настройки конфигурации системы и приложений, чтобы убедиться в их соответствии вашим политикам безопасности, стандартам и/или руководствам по усилению защиты. Агенты выполняют периодические сканирования для обнаружения приложений, которые, как известно, уязвимы, не пропатчены или небезопасно настроены.

Кроме того, проверки конфигурации можно настраивать, адаптируя их под вашу организацию. Оповещения включают рекомендации по улучшению конфигурации, ссылки и сопоставление с нормативными требованиями.

Реагирование на инциденты

Агенты Wazuh предоставляют готовые активные ответные действия для применения различных контрмер против активных угроз, например блокирование доступа к системе со стороны источника угрозы при выполнении определённых критериев.

Кроме того, Wazuh можно использовать для удалённого выполнения команд или системных запросов на агентах, выявления индикаторов компрометации (IOC) и помощи в выполнении других задач оперативной криминалистики или реагирования на инциденты.

Нормативное соответствие

Wazuh предоставляет некоторые необходимые средства контроля безопасности для соответствия отраслевым стандартам и нормативным требованиям. Эти функции в сочетании с масштабируемостью и поддержкой множества платформ помогают организациям выполнять технические требования соответствия.

Wazuh широко используется платёжными компаниями и финансовыми учреждениями для выполнения требований PCI DSS (Payment Card Industry Data Security Standard). Его веб-интерфейс предоставляет отчёты и дашборды, которые могут помочь с этим и другими нормативными требованиями (например, GPG13 или GDPR).

Безопасность облака

Wazuh помогает отслеживать облачную инфраструктуру на уровне API, используя модули интеграции, способные получать данные безопасности от известных облачных провайдеров, таких как Amazon AWS, Azure или Google Cloud. Кроме того, Wazuh предоставляет правила для оценки конфигурации вашей облачной среды, позволяя легко выявлять слабые места.

Кроме того, лёгкие и многоплатформенные агенты Wazuh обычно используются для мониторинга облачных сред на уровне экземпляров.

Безопасность контейнеров

Wazuh обеспечивает видимость безопасности ваших хостов и контейнеров Docker, отслеживая их поведение и обнаруживая угрозы, уязвимости и аномалии. Агент Wazuh имеет встроенную интеграцию с движком Docker, позволяя пользователям отслеживать образы, тома, сетевые настройки и работающие контейнеры.

Wazuh непрерывно собирает и анализирует подробную информацию о среде выполнения. Например, оповещает о контейнерах, работающих в привилегированном режиме, уязвимых приложениях, работающей в контейнере оболочке, изменениях постоянных томов или образов и других возможных угрозах.

WUI

Wazuh WUI предоставляет мощный пользовательский интерфейс для визуализации и анализа данных. Этот интерфейс также можно использовать для управления конфигурацией Wazuh и мониторинга его состояния.

Обзор модулей

События безопасности

Мониторинг целостности

Обнаружение уязвимостей

Нормативное соответствие

Обзор агентов

Сводка по агенту

Оркестрация

Здесь вы можете найти все инструменты автоматизации, поддерживаемые командой Wazuh.

• Wazuh AWS CloudFormation

• Docker containers

• Wazuh Ansible

• Wazuh Chef

• Wazuh Puppet

• Wazuh Kubernetes

• Wazuh Bosh