Wazuh — это бесплатная платформа с открытым исходным кодом, используемая для предотвращения угроз, их обнаружения и реагирования на них. Она способна защищать рабочие нагрузки в локальных, виртуализированных, контейнерных и облачных средах.

Решение Wazuh состоит из агента безопасности конечной точки, развёртываемого на контролируемых системах, и сервера управления, который собирает и анализирует данные, полученные от агентов. Кроме того, Wazuh полностью интегрирован с Elastic Stack, предоставляя поисковую систему и инструмент визуализации данных, позволяющий пользователям ориентироваться в своих оповещениях безопасности.

Возможности Wazuh

Краткое описание некоторых наиболее распространённых сценариев использования решения Wazuh.

Обнаружение вторжений

Агенты Wazuh сканируют контролируемые системы на предмет вредоносных программ, руткитов и подозрительных аномалий. Они могут обнаруживать скрытые файлы, замаскированные процессы или незарегистрированные сетевые слушатели, а также несоответствия в ответах системных вызовов.

В дополнение к возможностям агентов серверный компонент использует сигнатурный подход к обнаружению вторжений, применяя свой механизм регулярных выражений для анализа собранных данных журналов и поиска индикаторов компрометации.

Анализ данных журналов

Агенты Wazuh читают журналы операционной системы и приложений и безопасно пересылают их центральному менеджеру для анализа на основе правил и хранения. Когда агент не развёрнут, сервер также может получать данные через syslog от сетевых устройств или приложений.

Правила Wazuh помогают вам узнавать об ошибках приложений или системы, неправильных конфигурациях, попытках и/или успешных вредоносных действиях, нарушениях политик и множестве других проблем безопасности и эксплуатации.

Мониторинг целостности файлов

Wazuh отслеживает файловую систему, выявляя изменения в содержимом, правах, владельце и атрибутах файлов, за которыми вам необходимо следить. Кроме того, он нативно идентифицирует пользователей и приложения, использованные для создания или изменения файлов.

Возможности мониторинга целостности файлов могут использоваться в сочетании с разведкой угроз для выявления угроз или скомпрометированных хостов. Кроме того, этого требуют некоторые стандарты нормативного соответствия, такие как PCI DSS.

Обнаружение уязвимостей

Агенты Wazuh собирают данные об инвентаризации программного обеспечения и отправляют эту информацию на сервер, где она сопоставляется с постоянно обновляемыми базами CVE (Common Vulnerabilities and Exposure), чтобы выявлять известное уязвимое программное обеспечение.

Автоматизированная оценка уязвимостей помогает находить слабые места в ваших критически важных активах и принимать корректирующие меры до того, как злоумышленники используют их для саботажа вашего бизнеса или кражи конфиденциальных данных.

Оценка конфигурации

Wazuh отслеживает параметры конфигурации системы и приложений, чтобы гарантировать их соответствие вашим политикам безопасности, стандартам и/или руководствам по усилению защиты. Агенты выполняют периодические сканирования для обнаружения приложений, которые, как известно, уязвимы, не имеют исправлений или небезопасно сконфигурированы.

Кроме того, проверки конфигурации можно настраивать, адаптируя их для правильного соответствия вашей организации. Оповещения включают рекомендации по улучшению конфигурации, ссылки и сопоставление с нормативным соответствием.

Реагирование на инциденты

Wazuh предоставляет готовые активные ответы для выполнения различных контрмер по устранению активных угроз, таких как блокировка доступа к системе из источника угрозы при выполнении определённых критериев.

Кроме того, Wazuh можно использовать для удалённого выполнения команд или системных запросов, выявления индикаторов компрометации (IOC) и помощи в выполнении других задач живой криминалистики или реагирования на инциденты.

Нормативное соответствие

Wazuh предоставляет некоторые из необходимых средств контроля безопасности для соответствия отраслевым стандартам и нормативным требованиям. Эти функции в сочетании с масштабируемостью и поддержкой нескольких платформ помогают организациям выполнять технические требования соответствия.

Wazuh широко используется компаниями по обработке платежей и финансовыми учреждениями для выполнения требований PCI DSS (Payment Card Industry Data Security Standard). Его веб-интерфейс пользователя предоставляет отчёты и информационные панели, которые могут помочь с этим и другими нормативными требованиями (например, GPG13 или GDPR).

Облачная безопасность

Wazuh помогает контролировать облачную инфраструктуру на уровне API, используя модули интеграции, способные получать данные безопасности от известных облачных провайдеров, таких как Amazon AWS, Azure или Google Cloud. Кроме того, Wazuh предоставляет правила для оценки конфигурации вашей облачной среды, позволяя легко выявлять слабые места.

Кроме того, лёгкие и многоплатформенные агенты Wazuh часто используются для мониторинга облачных сред на уровне экземпляров.

Безопасность контейнеров

Wazuh обеспечивает видимость безопасности ваших хостов и контейнеров Docker, отслеживая их поведение и обнаруживая угрозы, уязвимости и аномалии. Агент Wazuh имеет нативную интеграцию с движком Docker, позволяющую пользователям отслеживать образы, тома, сетевые настройки и запущенные контейнеры.

Wazuh непрерывно собирает и анализирует подробную информацию о времени выполнения. Например, оповещает о контейнерах, работающих в привилегированном режиме, уязвимых приложениях, оболочке, запущенной в контейнере, изменениях постоянных томов или образов и других возможных угрозах.

WUI

WUI Wazuh предоставляет мощный пользовательский интерфейс для визуализации и анализа данных. Этот интерфейс также можно использовать для управления конфигурацией Wazuh и мониторинга его состояния.

Обзор модулей

События безопасности

Мониторинг целостности

Обнаружение уязвимостей

Нормативное соответствие

Обзор агентов

Сводка по агенту

Оркестрация

Здесь вы можете найти все инструменты автоматизации, поддерживаемые командой Wazuh.

• Wazuh AWS CloudFormation

• Docker containers

• Wazuh Ansible

• Wazuh Chef

• Wazuh Puppet

• Wazuh Kubernetes

• Wazuh Bosh

• Wazuh Salt

Ветки

• Ветка main содержит последний код; учитывайте возможные ошибки в этой ветке.

Используемое программное обеспечение и библиотеки

• PyPi packages

Документация

• Полная документация
• Руководство по установке Wazuh

Присоединяйтесь

Станьте частью сообщества Wazuh, чтобы учиться у других пользователей, участвовать в обсуждениях, общаться с нашими разработчиками и вносить вклад в проект.

Если вы хотите внести вклад в наш проект, не стесняйтесь отправлять pull-requests, сообщать о проблемах или присылать коммиты — мы рассмотрим все ваши вопросы.

Вы также можете присоединиться к нашему каналу сообщества в Slack и списку рассылки, отправив письмо на [email protected], чтобы задавать вопросы и участвовать в обсуждениях.

Будьте в курсе новостей, релизов, инженерных статей и многого другого.

• Веб-сайт Wazuh
• Linkedin
• YouTube
• Twitter
• Блог Wazuh
• Канал объявлений в Slack

Авторы

Wazuh Copyright (C) 2015-2023 Wazuh Inc. (License GPLv2)

На основе проекта OSSEC, созданного Daniel Cid.