本项目演示了使用 Wazuh 部署和测试安全信息和事件管理 SIEM 系统。该设置使用在虚拟机中运行的预构建 Wazuh OVA 文件，使其成为一种快速简便的方式来了解 Wazuh 的监控和检测能力。

⦁ 在虚拟环境中使用 OVA 文件部署了 Wazuh SIEM。
⦁ 配置了代理与管理器通信的网络设置。
⦁ 在被监控的端点上安装了 Wazuh 代理。
⦁ 生成并检测了模拟的安全事件。
⦁ 在 Wazuh 仪表板中分析和可视化了安全日志。

工具 / 技术	用途
Wazuh OVA	预配置的 SIEM，包含 Wazuh Manager 和仪表板
VMware Workstation	用于 Wazuh 虚拟机的虚拟化平台
Windows 11	用于 Wazuh 代理的端点系统
Wazuh Agent	安装在端点上以发送日志/事件
Web 浏览器	用于访问 Wazuh 仪表板

+--------------------+        +-------------------+       +-------------------+
|  Endpoint (Agent)  |  --->  |                   |       |                   |
|  Windows / Linux   |        |                   |       |                   |
+--------------------+        |                   |       |                   |
|   Wazuh Manager    |  <-->  |     (OVA VM)      |       |     Dashboard     |
+--------------------+        |                   |       |                   |
|  Endpoint (Agent)  |  --->  |                   |       |                   |
+--------------------+        +-------------------+       +-------------------+

从官方 Wazuh 下载部分下载 .ova。

将 .ova 导入 VMware。

分配至少 8GB 内存、4 个 CPU 核心和 50GB 存储空间，并配置了桥接网络或带端口转发的 NAT。

启动虚拟机。

• 使用默认凭据登录：

用户名：

wazuh-user

密码：

wazuh

• 使用以下命令查找虚拟机 IP：

   ip addr

⦁ 运行 ping 扫描：

  ping <agent-ip>

Ping 返回 0% 丢包，Wazuh IP 可达且响应正常。

⦁ 打开浏览器并导航至：

  https://<WAZUH_VM_IP>

然后浏览器 Google Chrome、Edge 显示了 Your connection isn't private 页面。
点击 Advanced -> Continue to website(unsafe)。

⦁ 使用默认凭据登录并更改了密码：

用户名：

admin

密码：

admin

• 从仪表板：部署新代理。
• 按照 Windows 的安装程序说明操作。

Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.12.0-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='10.22.137.106' WAZUH_AGENT_NAME='Windows-Swastik'

 .\wazuh-agent-4.12.0-1.msi /q WAZUH_MANAGER="10.22.137.106"

将此粘贴到 Windows Powershell 中。

Wazuh 代理的 GUI。

Wazuh 的概览仪表板。

配置评估仪表板提供了基准，用于扫描和监控端点的安全错误配置，确保符合安全最佳实践。