Wazuh

Wazuh — это бесплатная платформа с открытым исходным кодом, используемая для предотвращения, обнаружения и реагирования на угрозы. Она способна защищать рабочие нагрузки в локальных, виртуализированных, контейнерных и облачных средах.

Решение Wazuh состоит из агента безопасности конечных точек, развертываемого на контролируемых системах, и сервера управления, который собирает и анализирует данные, полученные от агентов. Кроме того, Wazuh полностью интегрирован со стеком Elastic Stack, предоставляя поисковую систему и инструмент визуализации данных, позволяющие пользователям просматривать свои оповещения безопасности.

Возможности Wazuh

Краткое описание некоторых наиболее распространенных случаев использования решения Wazuh.

Обнаружение вторжений

Агенты Wazuh сканируют контролируемые системы на предмет вредоносного ПО, руткитов и подозрительных аномалий. Они могут обнаруживать скрытые файлы, замаскированные процессы или незарегистрированные сетевые прослушиватели, а также несоответствия в ответах системных вызовов.

В дополнение к возможностям агента серверный компонент использует сигнатурный подход к обнаружению вторжений, применяя свой механизм регулярных выражений для анализа собранных данных журналов и поиска индикаторов компрометации.

Анализ данных журналов

Агенты Wazuh читают журналы операционной системы и приложений и безопасно пересылают их на центральный менеджер для анализа на основе правил и хранения. Если агент не развернут, сервер также может получать данные через syslog от сетевых устройств или приложений.

Правила Wazuh помогают узнавать об ошибках приложений или системы, неправильных конфигурациях, попытках и/или успешных вредоносных действиях, нарушениях политик и различных других проблемах безопасности и эксплуатации.

Мониторинг целостности файлов

Wazuh отслеживает файловую систему, выявляя изменения в содержимом, правах доступа, владении и атрибутах файлов, за которыми необходимо следить. Кроме того, он нативно идентифицирует пользователей и приложения, используемые для создания или изменения файлов.

Возможности мониторинга целостности файлов могут использоваться в сочетании с разведкой угроз для выявления угроз или скомпрометированных хостов. Кроме того, этого требуют некоторые стандарты нормативного соответствия, такие как PCI DSS.

Обнаружение уязвимостей

Агенты Wazuh собирают данные об инвентаризации программного обеспечения и отправляют эту информацию на сервер, где она сопоставляется с постоянно обновляемыми базами данных CVE (Common Vulnerabilities and Exposures) для выявления известного уязвимого программного обеспечения.

Автоматизированная оценка уязвимостей помогает находить слабые места в критически важных активах и предпринимать корректирующие действия до того, как злоумышленники используют их для саботажа бизнеса или кражи конфиденциальных данных.

Оценка конфигурации

Wazuh отслеживает настройки конфигурации системы и приложений, чтобы убедиться, что они соответствуют политикам безопасности, стандартам и/или руководствам по усилению защиты. Агенты выполняют периодические сканирования для обнаружения приложений, которые, как известно, являются уязвимыми, не исправлены или небезопасно сконфигурированы.

Кроме того, проверки конфигурации могут быть настроены в соответствии с вашей организацией. Предупреждения включают рекомендации по улучшению конфигурации, ссылки и сопоставление с нормативными требованиями.

Реагирование на инциденты

Агенты Wazuh предоставляют встроенные активные ответные меры для выполнения различных контрмер против активных угроз, например, блокирование доступа к системе из источника угрозы при выполнении определенных критериев.

Кроме того, Wazuh может использоваться для удаленного выполнения команд или системных запросов на агентах, выявления индикаторов компрометации (IOCs) и помощи в выполнении других задач прямой криминалистики или реагирования на инциденты.

Соответствие нормативным требованиям

Wazuh предоставляет некоторые из необходимых средств контроля безопасности для соответствия отраслевым стандартам и нормативам. Эти функции в сочетании с масштабируемостью и поддержкой нескольких платформ помогают организациям выполнять технические требования соответствия.

Wazuh широко используется компаниями, обрабатывающими платежи, и финансовыми учреждениями для соблюдения требований PCI DSS (Стандарта безопасности данных индустрии платежных карт). Его веб-интерфейс предоставляет отчеты и панели мониторинга, которые могут помочь с этим и другими нормативами (например, GPG13 или GDPR).

Облачная безопасность

Wazuh помогает мониторить облачную инфраструктуру на уровне API, используя модули интеграции, которые могут получать данные безопасности от известных облачных провайдеров, таких как Amazon AWS, Azure или Google Cloud. Кроме того, Wazuh предоставляет правила для оценки конфигурации вашего облачного окружения, легко выявляя слабые места.

Кроме того, легкие и мультиплатформенные агенты Wazuh обычно используются для мониторинга облачных сред на уровне экземпляров.

Безопасность контейнеров

Wazuh обеспечивает видимость безопасности для ваших хостов и контейнеров Docker, отслеживая их поведение и обнаруживая угрозы, уязвимости и аномалии. Агент Wazuh имеет собственную интеграцию с движком Docker, позволяющую пользователям отслеживать образы, тома, сетевые настройки и работающие контейнеры.

Wazuh непрерывно собирает и анализирует подробную информацию о времени выполнения. Например, он предупреждает о контейнерах, работающих в привилегированном режиме, уязвимых приложениях, запущенной оболочке в контейнере, изменениях в постоянных томах или образах, а также о других возможных угрозах.

WUI

WUI Wazuh предоставляет мощный пользовательский интерфейс для визуализации и анализа данных. Этот интерфейс также может использоваться для управления конфигурацией Wazuh и мониторинга его состояния.

Обзор модулей

События безопасности

Мониторинг целостности

Обнаружение уязвимостей

Соответствие нормативным требованиям

Обзор агентов

Сводка по агенту

Оркестрация

Здесь вы можете найти все инструменты автоматизации, поддерживаемые командой Wazuh.

• Wazuh AWS CloudFormation

• Docker containers

• Wazuh Ansible

• Wazuh Chef

• Wazuh Puppet

• Wazuh Kubernetes

• Wazuh Bosh

• Wazuh Salt

Ветки

• Ветка main содержит последний код, имейте в виду возможные ошибки в этой ветке.

Используемое программное обеспечение и библиотеки

• Пакеты PyPi

Документация

• Полная документация
• Руководство по установке Wazuh

Присоединяйтесь

Станьте частью сообщества Wazuh, чтобы учиться у других пользователей, участвовать в обсуждениях, общаться с нашими разработчиками и вносить вклад в проект.

Если вы хотите внести вклад в наш проект, не стесняйтесь создавать pull-запросы, отправлять issues или коммиты — мы рассмотрим все ваши вопросы.

Вы также можете присоединиться к нашему каналу Slack сообщества и списку рассылки, отправив электронное письмо на адрес [email protected], чтобы задавать вопросы и участвовать в обсуждениях.

Будьте в курсе новостей, релизов, технических статей и многого другого.

• Веб-сайт Wazuh
• Linkedin
• YouTube
• Twitter
• Блог Wazuh
• Канал объявлений Slack

Авторы

Wazuh Copyright (C) 2015-2023 Wazuh Inc. (Лицензия GPLv2)

Основан на проекте OSSEC, начатом Daniel Cid.