Wazuh

Wazuh — это бесплатная платформа с открытым исходным кодом, предназначенная для предотвращения угроз, их обнаружения и реагирования на них. Она способна защищать рабочие нагрузки в локальных, виртуализированных, контейнеризированных и облачных средах.

Решение Wazuh состоит из агента безопасности конечной точки, развёртываемого на контролируемых системах, и сервера управления, который собирает и анализирует данные, полученные от агентов. Кроме того, Wazuh полностью интегрирован с Wazuh Indexer, предоставляя поисковую систему и инструмент визуализации данных, позволяющий пользователям просматривать свои оповещения безопасности.

Возможности Wazuh

Краткое описание некоторых наиболее распространённых сценариев использования решения Wazuh.

Обнаружение вторжений

Агенты Wazuh сканируют контролируемые системы в поисках вредоносного ПО, руткитов и подозрительных аномалий. Они способны обнаруживать скрытые файлы, замаскированные процессы или незарегистрированные сетевые прослушиватели, а также несоответствия в ответах системных вызовов.

Помимо возможностей агентов, серверный компонент использует сигнатурный подход к обнаружению вторжений, применяя свой движок регулярных выражений для анализа собранных данных журналов и поиска индикаторов компрометации.

Анализ данных журналов

Агенты Wazuh читают журналы операционной системы и приложений и безопасно пересылают их на центральный менеджер для анализа на основе правил и хранения. Если агент не развёрнут, сервер также может получать данные через syslog от сетевых устройств или приложений.

Правила Wazuh помогают узнавать об ошибках приложений или системы, ошибках конфигурации, попытках и/или успешных вредоносных действиях, нарушениях политик и множестве других проблем безопасности и эксплуатации.

Мониторинг целостности файлов

Wazuh отслеживает файловую систему, выявляя изменения в содержимом, разрешениях, владельце и атрибутах файлов, за которыми необходимо следить. Кроме того, он изначально определяет пользователей и приложения, использованные для создания или изменения файлов.

Возможности мониторинга целостности файлов можно использовать в сочетании с аналитикой угроз для выявления угроз или скомпрометированных хостов. Кроме того, его требуют несколько стандартов нормативного соответствия, таких как PCI DSS.

Обнаружение уязвимостей

Агенты Wazuh собирают данные инвентаризации программного обеспечения и отправляют эту информацию на сервер, где она сопоставляется с постоянно обновляемыми базами данных CVE (Common Vulnerabilities and Exposure) для выявления известного уязвимого программного обеспечения.

Автоматизированная оценка уязвимостей помогает находить слабые места в критически важных активах и принимать корректирующие меры до того, как злоумышленники воспользуются ими для нанесения ущерба бизнесу или кражи конфиденциальных данных.

Оценка конфигурации

Wazuh отслеживает параметры конфигурации системы и приложений, чтобы убедиться в их соответствии вашим политикам безопасности, стандартам и/или руководствам по усилению защиты. Агенты выполняют периодические сканирования для обнаружения приложений, которые, как известно, уязвимы, не пропатчены или небезопасно настроены.

Кроме того, проверки конфигурации можно настраивать, адаптируя их к вашей организации. Оповещения включают рекомендации по улучшению конфигурации, ссылки и сопоставление с нормативными требованиями.

Реагирование на инциденты

Агенты Wazuh предоставляют готовые активные ответные действия для применения различных контрмер в отношении активных угроз, например блокировку доступа к системе со стороны источника угрозы при выполнении определённых критериев.

Кроме того, Wazuh можно использовать для удалённого выполнения команд или системных запросов на агентах, выявления индикаторов компрометации (IOC) и помощи в выполнении других задач оперативной криминалистики или реагирования на инциденты.

Соответствие нормативным требованиям

Wazuh предоставляет некоторые из необходимых средств безопасности для соответствия отраслевым стандартам и нормативным требованиям. Эти возможности в сочетании с масштабируемостью и поддержкой множества платформ помогают организациям выполнять технические требования к соответствию.

Wazuh широко используется платёжными компаниями и финансовыми учреждениями для соответствия требованиям PCI DSS (Payment Card Industry Data Security Standard). Его веб-интерфейс предоставляет отчёты и панели мониторинга, которые могут помочь в соблюдении этого и других нормативов (например, GPG13 или GDPR).

Безопасность облака

Wazuh помогает отслеживать облачную инфраструктуру на уровне API, используя интеграционные модули, способные получать данные о безопасности от известных облачных провайдеров, таких как Amazon AWS, Azure или Google Cloud. Кроме того, Wazuh предоставляет правила для оценки конфигурации вашей облачной среды, позволяя легко выявлять слабые места.

Кроме того, лёгкие и кроссплатформенные агенты Wazuh обычно используются для мониторинга облачных сред на уровне экземпляров.

Безопасность контейнеров

Wazuh обеспечивает видимость безопасности ваших хостов и контейнеров Docker, отслеживая их поведение и обнаруживая угрозы, уязвимости и аномалии. Агент Wazuh имеет встроенную интеграцию с движком Docker, позволяя пользователям отслеживать образы, тома, сетевые настройки и работающие контейнеры.

Wazuh непрерывно собирает и анализирует подробную информацию о среде выполнения. Например, оповещает о контейнерах, работающих в привилегированном режиме, уязвимых приложениях, оболочке, запущенной в контейнере, изменениях постоянных томов или образов и других возможных угрозах.

WUI

Wazuh WUI предоставляет мощный пользовательский интерфейс для визуализации и анализа данных. Этот интерфейс также можно использовать для управления конфигурацией Wazuh и мониторинга его состояния.

Обзор модулей

Обзор модулей