Практическая домашняя лаборатория Wazuh SIEM/XDR, охватывающая развёртывание OVA, подключение агентов, мониторинг целостности файлов, обнаружение вредоносного ПО через VirusTotal и охоту за угрозами по MITRE ATT&CK.
Этот проект демонстрирует развёртывание и тестирование системы Security Information and Event Management SIEM с использованием Wazuh. В основе установки — готовый файл OVA Wazuh, запускаемый внутри виртуальной машины, что делает его быстрым и простым способом изучения возможностей мониторинга и обнаружения Wazuh.
⦁ Развёрнут Wazuh SIEM с использованием файла OVA в виртуальной среде.
⦁ Настроены сетевые параметры для взаимодействия агента и менеджера.
⦁ Установлены агенты Wazuh на контролируемых конечных точках.
⦁ Сгенерированы и обнаружены смоделированные события безопасности.
⦁ Проанализированы и визуализированы журналы безопасности в Wazuh Dashboard.
| Инструмент / Технология | Назначение |
|---|---|
| Wazuh OVA | Предварительно настроенный SIEM с Wazuh Manager и Dashboard |
| VMware Workstation | Платформа виртуализации для виртуальной машины Wazuh |
| Windows 11 | Конечные системы для агентов Wazuh |
| Wazuh Agent | Устанавливается на конечные точки для отправки журналов/событий |
| Web Browser | Для доступа к Wazuh Dashboard |
+--------------------+ +-------------------+ +-------------------+
| Endpoint (Agent) | ---> | | | |
| Windows / Linux | | | | |
+--------------------+ | | | |
| Wazuh Manager | <--> | (OVA VM) | | Dashboard |
+--------------------+ | | | |
| Endpoint (Agent) | ---> | | | |
+--------------------+ +-------------------+ +-------------------+
Загрузка файла .ova из официального раздела Wazuh Downloads.
Импорт файла .ova в VMware.
Выделено не менее 8 ГБ ОЗУ, 4 ядер CPU и 50 ГБ дискового пространства, а также настроено Bridged Networking или NAT с пробросом портов.
Загрузка виртуальной машины.
• Вход с учётными данными по умолчанию:
Имя пользователя:
wazuh-user
Пароль:
wazuh
• Узнайте IP-адрес виртуальной машины с помощью:
ip addr
⦁ Запуск ping-сканирования:
ping <agent-ip>
Ping вернул 0% потерь — IP-адрес Wazuh доступен и отвечает.
⦁ Откройте браузер и перейдите по адресу:
https://<WAZUH_VM_IP>
Затем браузеры Google Chrome, Edge отобразили страницу Your connection isn't private.
Нажмите Advanced -> Continue to website(unsafe).
⦁ Вход с учётными данными по умолчанию и смена пароля:
Имя пользователя:
admin
Пароль:
admin
• Из панели управления: Deployed new agent.
• Следуйте инструкциям установщика для Windows.
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'
.\wazuh-agent-4.12.0-1.msi /q WAZUH_MANAGER="10.22.137.106"
Вставьте это в Windows Powershell.