WAZUH--安装

最新推荐文章于 2024-09-11 20:18:44 发布
最新推荐文章于 2024-09-11 20:18:44 发布
阅读量2.8k 收藏 5
点赞数 1
分类专栏： 防篡改
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Devour_/article/details/109444968
版权

注意：（仅用于个人学习）

转载于：https://www.cnblogs.com/backlion/p/10397092.html    如有侵权，请联系我删除

安装Wazuh服务器

Wazuh服务器可以安装在任何类型的Unix操作系统上。最常见安装在Linux上。如果可以为您的系统提供自动化脚本，则安装过程会更容易，但是，从源码构建和安装也非常简单。

通常在Wazuh服务器上安装两个组件：管理器和API。此外，对于分布式体系结构（Wazuh服务器将数据发送到远程Elastic Stack集群），需要安装Filebeat。

安装Wazuh服务器有多种选择，具体取决于操作系统以及是否希望从源代码构建。请参阅下表并选择如何安装：

类型描述
RPM包在CentOS / RHEL / Fedora上安装Wazuh服务器
DEB包在Debian/Ubuntu上安装Wazuh服务器
  

注意

强烈建议在64位操作系统上安装Wazuh Server，因为Wazuh API在32位平台上不可用。如果没有Wazuh API，Wazuh Kibana应用程序的大部分功能都将无法使用。同样，如果您为Wazuh Server平台使用Red Hat或CentOS，请确保它是版本6或更高版本才能正确安装Wazuh API。

使用RPM软件包安装Wazuh服务器

对于CentOS / RHEL / Fedora平台，安装Wazuh服务器组件需要在添加更新源后安装相关软件包。

注意：下面使用的许多命令都需要以root用户权限执行。

添加Wazuh存储库

设置Wazuh的第一步是将Wazuh更新源添加到您的系统中。如果您想直接下载wazuh-manager软件包，或查看兼容版本，请单击此处。

要设置更新源，请运行以下命令：

# cat > /etc/yum.repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=Wazuh repository
baseurl=https://packages.wazuh.com/3.x/yum/
protect=1
EOF

对于CentOS-5和RHEL-5：

# cat > /etc/yum.repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=http://packages.wazuh.com/key/GPG-KEY-WAZUH-5
enabled=1
name=Wazuh repository
baseurl=http://packages.wazuh.com/3.x/yum/5/$basearch/
protect=1
EOF

安装Wazuh Manager

下一步是在您的系统上安装Wazuh Manager：

# yum install wazuh-manager

完成此过程后，您可以使用以下命令检查服务状态

a.for  Systemd：

# systemctl status wazuh-manager
b.For SysV Init:
# service wazuh-manager status

安装Wazuh API

  1. 要运行Wazuh API，需要NodeJS> = 4.6.1。如果您没有安装NodeJS或者您的版本低于4.6.1，我们建议您添加官方NodeJS更新源库，如下所示：
# curl --silent --location https://rpm.nodesource.com/setup_8.x | bash -

然后，安装NodeJS：

# yum install nodejs
2.要运行Wazuh API，需要Python> = 2.7。它默认安装或包含在大多数Linux发行版的官方库中。
要确定系统上的python版本是否低于2.7，可以运行以下命令：
 # python --version

It is possible to set a custom Python path for the API in ``/var/ossec/api/configuration/config.js``, in case the stock version of Python in your distro is too old:
config.python = [
    // Default installation
    {
        bin: "python",
        lib: ""
    },
    // Package 'python27' for CentOS 6
    {
        bin: "/opt/rh/python27/root/usr/bin/python",
        lib: "/opt/rh/python27/root/usr/lib64"
    }
];

CentOS 6和Red Hat 6附带Python 2.6，但是，你可以并行安装Python 2.7来兼容旧版本

a.对于CentOS 6：

# yum install -y centos-release-scl
# yum install -y python27
b.对于RHEL 6：
# yum install python27

您可能需要首先启用存储库以获取python27，使用如下命令：
#   yum-config-manager --enable rhui-REGION-rhel-server-rhscl
#   yum-config-manager --enable rhel-server-rhscl-6-rpms
3.安装Wazuh API。如果需要，它将更新NodeJS：
# yum install wazuh-api
4.完成此过程后，您可以使用以下命令检查服务状态：
a.for  Systemd：
# systemctl status wazuh-api
b.for SysV Init：
# service wazuh-api status
5.（可选）禁用Wazuh更新源：

建议禁用Wazuh更新源以防止意外升级。为此，请使用以下命令：

# sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

安装Filebeat

Filebeat是Wazuh服务器上的工具，可以将警报和归档事件安全地转发到Elastic Stack服务器上的Logstash服务上

 

警告：在单主机架构中（Wazuh服务器和Elastic Stack安装在同一系统中），不需要安装Filebeat，因为Logstash将能够直接从本地文件系统读取事件/警报数据，而无需转发器。

 

RPM软件包适合安装在Red Hat，CentOS和其他基于RPM的系统上

  1. 从Elastic安装GPG密钥，然后安装Elastic更新源：
# rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch

# cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-6.x]
name=Elasticsearch repository for 6.x packages
baseurl=https://artifacts.elastic.co/packages/6.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF
2.安装Filebeat：
# yum install filebeat-6.6.0
3.从Wazuh存储库下载Filebeat配置文件。这是预配置为将Wazuh警报转发给Logstash：
# curl -so /etc/filebeat/filebeat.yml https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/filebeat/filebeat.yml
4. 编辑文件/etc/filebeat/filebeat.yml并替换ELASTIC_SERVER_IP 为Elastic Stack服务器的IP地址或主机名。例如：
output:
  logstash:
    hosts: ["ELASTIC_SERVER_IP:5000"]
5.启动Filebeat服务：
 a.for Systemd：
# systemctl daemon-reload
# systemctl enable filebeat.service
# systemctl start filebeat.service
b.for SysV Init：
# chkconfig --add filebeat
# service filebeat start
6.（可选）禁用Elasticsearch存储库：

建议禁用Elasticsearch更新源，以防止升级到较新的Elastic Stack版本，为此，请使用以下命令：

# sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.rep

使用DEB包安装Wazuh服务器

对于Debian / Ubuntu平台，安装Wazuh服务器组件需要在添加存储库后安装相关的软件包。下面使用的许多命令都需要以root用户权限执行。

添加Wazuh更新源

设置Wazuh的第一步是将Wazuh更新源添加到您的系统上。如果您想直接下载wazuh-manager软件包，或查看兼容版本，请单击此处。

  1. 要执行此过程中，curl，apt-transport-https和lsb-release软件包必须安装在系统上。如果它们没被安装，请使用以下命令安装它们：
# apt-get update
# apt-get install curl apt-transport-https lsb-release

如果该/usr/bin/python文件不存在（如在Ubuntu 16.04 LTS或更高版本中），请使用以下命令创建Python（2.7或更高版本）：

# if [ ! -f /usr/bin/python ]; then ln -s /usr/bin/python3 /usr/bin/python; fi
2.安装GPG密钥
# curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | apt-key add -
3.添加更新源
# echo "deb https://packages.wazuh.com/3.x/apt/ stable main" | tee -a /etc/apt/sources.list.d/wazuh.list
4.更新包
# apt-get update

安装Wazuh Manager

在您的终端上，安装Wazuh manager：

# apt-get install wazuh-manager

完成此过程后，您可以使用以下命令检查服务状态：

a. for Systemd：

# systemctl status wazuh-manager
b.for  SysV Init：
# service wazuh-manager status

安装Wazuh API

  1. 要运行Wazuh API，需要NodeJS> = 4.6.1。如果您没有安装NodeJS或者您的版本低于4.6.1，我们建议您添加官方NodeJS存储库，如下所示：
# curl -sL https://deb.nodesource.com/setup_8.x | bash -

 

如果您使用的是Ubuntu 12.04（Precise）或Debian 7（Wheezy），则必须使用以下命令安装NodeJS 6：

# curl -sL https://deb.nodesource.com/setup_6.x | bash -

然后，安装NodeJS：

# apt-get install nodejs
2.要运行API，需要Python> = 2.7。它默认安装或包含在大多数Linux发行版的官方库中。
要确定系统上的python版本是否低于2.7，可以运行以下命令：
# python --version

It is possible to set a custom Python path for the API in ``/var/ossec/api/configuration/config.js``, in case the stock version of Python in your distro is too old:
config.python = [
    // Default installation
    {
        bin: "python",
        lib: ""
    },
    // Package 'python27' for CentOS 6
    {
        bin: "/opt/rh/python27/root/usr/bin/python",
        lib: "/opt/rh/python27/root/usr/lib64"
    }
];
3.安装Wazuh API。如果需要，它将更新NodeJS：
# apt-get install wazuh-api
4.完成此过程后，您可以使用以下命令检查服务状态：
a.for Systemd：
# systemctl status wazuh-api
b.for SysV Init：
# service wazuh-api status
5.（可选）禁用Wazuh更新：

建议禁用Wazuh更新源以防止意外升级。为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/wazuh.list
# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "wazuh-manager hold" | sudo dpkg --set-selections
# echo "wazuh-api hold" | sudo dpkg --set-selections

安装Filebeat

Filebeat是Wazuh服务器上的工具，可以将警报和归档事件安全地转发到Elastic Stack服务器上的Logstash服务。

警告：在单主机架构中（Wazuh服务器和Elastic Stack安装在同一系统中），不需要安装Filebeat，因为Logstash将能够直接从本地文件系统读取事件/警报数据，而无需转发器。

DEB包适用于Debian，Ubuntu和其他基于Debian的系统。

  1. 从Elastic安装GPG密钥，然后安装Elastic存储库：
# curl -s https://artifacts.elastic.co/GPG-KEY-elasticsearch | apt-key add -
# echo "deb https://artifacts.elastic.co/packages/6.x/apt stable main" | tee /etc/apt/sources.list.d/elastic-6.x.list
# apt-get update
2.安装Filebeat：
# apt-get install filebeat=6.6.0
3.从Wazuh更新源下载Filebeat配置文件。这是预配置为将Wazuh警报转发给Logstash：
# curl -so /etc/filebeat/filebeat.yml https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/filebeat/filebeat.yml
4. 编辑文件/etc/filebeat/filebeat.yml并替换ELASTIC_SERVER_IP为Elastic Stack服务器的IP地址或主机名。例如：
output:
  logstash:
    hosts: ["ELASTIC_SERVER_IP:5000"]
5.启动Filebeat服务：
a.for Systemd:
# systemctl daemon-reload
# systemctl enable filebeat.service
# systemctl start filebeat.service
b.for SysV Init：
# update-rc.d filebeat defaults 95 10
# service filebeat start
6.(可选）禁用Elasticsearch更新：

建议禁用Elasticsear更新源，以防止升级到较新的Elastic Stack版本，为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/elastic-6.x.list
# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "filebeat hold" | sudo dpkg --set-selections


 

安装Elastic Stack

本指南介绍了由Logstash，Elasticsearch和Kibana组成的Elastic Stack服务器的安装。我们将说明这些基于包的组件安装。您也可以从源代码编译tar 安装它们，但是，这不是Wazuh文档中的首选安装。

除了Elastic Stack组件，您还可以找到安装和配置Wazuh应用程序（部署为Kibana插件）的说明。

根据您的操作系统，您可以选择从RPM或DEB软件包安装Elastic Stack。请参阅下表并选择：

类型描述
RPM包在CentOS / RHEL / Fedora上安装Elastic Stack
DEB包在Debian / Ubuntu上安装Elastic Stack

注意

目前，Elastic Stack仅支持64位操作系统

 

 

使用RPM软件包安装Elastic Stack

RPM软件包适合安装在Red Hat，CentOS和其他基于RPM的系统上。

注意：下面的许多命令都需要以root用户权限执行。

Preparation

  1. Logstash和Elasticsearch需要Oracle Java JRE 8。

注意：以下命令下载Oracle Java JRE需要带上cookie。请访问Oracle Java 8 JRE下载页面以获取更多信息。

# curl -Lo jre-8-linux-x64.rpm --header "Cookie: oraclelicense=accept-securebackup-cookie""https://download.oracle.com/otn-pub/java/jdk/8u202-b08/1961070e4c9b4e26a04e7f5a083f551e/jre-8u202-linux-x64.rpm"

现在，检查包是否已成功下载：

# rpm -qlp jre-8-linux-x64.rpm > /dev/null 2>&1&&echo"Java package downloaded successfully"||echo"Java package did not download successfully"

最后，使用yum安装RPM包：

# yum -y install jre-8-linux-x64.rpm
# rm -f jre-8-linux-x64.rpm
2.安装Elastic存储库及其GPG密钥：
# rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch

# cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-6.x]
name=Elasticsearch repository for 6.x packages
baseurl=https://artifacts.elastic.co/packages/6.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

Elasticsearch

Elasticsearch是一个高度可扩展的全文搜索和分析引擎。有关更多信息，请参阅Elasticsearch。

  1. 安装Elasticsearch包：
# yum install elasticsearch-6.6.0
2.启动Elasticsearch服务：
a.for Systemd：
# systemctl daemon-reload
# systemctl enable elasticsearch.service
# systemctl start elasticsearch.service
b.for SysV Init：
# chkconfig --add elasticsearch
# service elasticsearch start

等待Elasticsearch服务器完成启动非常重要。使用以下命令检查当前状态，该命令应该给出如下所示的响应：

# curl "http://localhost:9200/?pretty"

{
  "name" : "Zr2Shu_",
  "cluster_name" : "elasticsearch",
  "cluster_uuid" : "M-W_RznZRA-CXykh_oJsCQ",
  "version" : {
    "number" : "6.6.0",
    "build_flavor" : "default",
    "build_type" : "rpm",
    "build_hash" : "053779d",
    "build_date" : "2018-07-20T05:20:23.451332Z",
    "build_snapshot" : false,
    "lucene_version" : "7.3.1",
    "minimum_wire_compatibility_version" : "5.6.0",
    "minimum_index_compatibility_version" : "5.0.0"
  },
  "tagline" : "You Know, for Search"
}
3.为Elasticsearch加载Wazuh模板：Kibana的Wazuh应用程序需要Elasticsearch模板才能正常工作，因此确保正确安装它非常重要。
# curl https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/elasticsearch/wazuh-elastic6-template-alerts.json | curl -X PUT "http://localhost:9200/_template/wazuh" -H 'Content-Type: application/json' -d @-

注意：建议编辑默认配置以提高Elasticsearch的性能。为此，请参阅Elasticsearch调优。

Logstash

Logstash是收集，解析和转发数据到Elasticsearch的工具，用于索引和存储Wazuh服务器生成的所有日志。有关更多信息，请参阅Logstash。

  1. 安装Logstash包：
# yum install logstash-6.6.0
2.下载Logstash的Wazuh配置文件：

  • 本地配置（仅在单主机架构中）：

    # curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-local.conf

    由于Logstash用户需要读取alerts.json文件，请运行以下命令将其添加到OSSEC组：

    # usermod -a -G ossec logstash

  • 远程配置（仅在分布式架构中）：

    # curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-remote.con

 

如果您使用CentOS-6 / RHEL-6或Amazon AMI（logstash像服务管理器一样使用Upstart并需要修复，请参阅此错误），请按照以下步骤操作：

  1. 编辑文件/etc/logstash/startup.options，将第30行从LS_GROUP = logstash更改为LS_GROUP = ossec
  2. 通过运行命令 /usr/share/logstash/bin/system-install，并使用新参数更新服务
  3. 重新启动Logstash

 

4.启用并启动Logstash服务：

a.for Systemd：

# systemctl daemon-reload
# systemctl enable logstash.service
# systemctl start logstash.service
b.for SysV Init：
# chkconfig --add logstash
# service logstash start

 

注意:如果您在不同的系统（分布式体系结构）上运行Wazuh服务器和Elastic Stack服务器，则在Filebeat和Logstash之间配置加密非常重要。为此，请参阅为Filebeat和Logstash设置SSL。

Kibana

Kibana是一个灵活，直观的Web界面，用于可视化存储在Elasticsearch中的事件和信息。在Kibana上查找更多信息。

  1. 安装Kibana包：
# yum install kibana-6.6.0
2.为Kibana安装Wazuh应用程序插件：
# sudo -u kibana NODE_OPTIONS="--max-old-space-size=3072" /usr/share/kibana/bin/kibana-plugin install https://packages.wazuh.com/wazuhapp/wazuhapp-3.8.2_6.6.0.zip

Kibana插件安装过程可能需要几分钟。请耐心等待。

3.可选，Kibana默认只监听环回接口（localhost）。要将Kibana设置为侦听所有接口，请编辑文件/etc/kibana/kibana.yml取消注释并设置server.host，将值更改为：

server.host:"0.0.0.0"

注意：建议为Kibana设置Nginx代理，以便使用SSL加密并启用身份验证。可以在为Kibana设置SSL和身份验证中找到设置代理的说明。

4.启动Kibana服务：

a.for Systemd：

# systemctl daemon-reload
# systemctl enable kibana.service
# systemctl start kibana.service
b.for SysV Init：
# chkconfig --add kibana
# service kibana start
5.（可选）禁用Elasticsearch更新源：

建议禁用Elasticsearch更新源，以防止升级到较新的Elastic Stack版本，为此，请使用以下命令：

# sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.repo

 

 

使用Debian软件包安装Elastic Stack

DEB包适用于Debian，Ubuntu和其他基于Debian的系统。

注意：下面的许多命令都需要以root用户权限执行。

Preparation

1.Logstash和Elasticsearch需要Oracle Java JRE或OpenJDK：

a.对于Debian >= 8/Jessie or Ubuntu >= 16.04/Xenial:

    # apt-get update
   # apt-get install openjdk-8-jre

a.

对于Debian <8 / Jessie：
# echo "deb http://ppa.launchpad.net/webupd8team/java/ubuntu xenial main" | tee /etc/apt/sources.list.d/webupd8team-java.list
# apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys EEA14886
# apt-get update
# apt-get install oracle-java8-installer
b.对于Ubuntu <16.04 / Xenial：
#
add-apt-repository ppa：webupd8team / java 
＃
apt-get update 
＃
apt-get install oracle-java8-installer 
2.安装Elastic存储库及其GPG密钥：
# apt-get install curl apt-transport-https
# curl -s https://artifacts.elastic.co/GPG-KEY-elasticsearch | apt-key add -
# echo "deb https://artifacts.elastic.co/packages/6.x/apt stable main" | tee /etc/apt/sources.list.d/elastic-6.x.list
# apt-get update

Elasticsearch

Elasticsearch是一个高度可扩展的全文搜索和分析引擎。有关更多信息，请参阅Elasticsearch。

  1. 安装Elasticsearch包：
# apt-get install elasticsearch=6.6.0
2.启动Elasticsearch服务：
a.for Systemd：
# systemctl daemon-reload
# systemctl enable elasticsearch.service
# systemctl start elasticsearch.service
b.for SysV Init：
# update-rc.d elasticsearch defaults 95 10
# service elasticsearch start

等待Elasticsearch服务器完成启动是非常重要。使用以下命令检查当前状态，该命令应该给出如下所示的响应：

# curl "http://localhost:9200/?pretty"

{
  "name" : "Zr2Shu_",
  "cluster_name" : "elasticsearch",
  "cluster_uuid" : "M-W_RznZRA-CXykh_oJsCQ",
  "version" : {
    "number" : "6.6.0",
    "build_flavor" : "default",
    "build_type" : "deb",
    "build_hash" : "053779d",
    "build_date" : "2018-07-20T05:20:23.451332Z",
    "build_snapshot" : false,
    "lucene_version" : "7.3.1",
    "minimum_wire_compatibility_version" : "5.6.0",
    "minimum_index_compatibility_version" : "5.0.0"
  },
  "tagline" : "You Know, for Search"
}
3.为Elasticsearch加载Wazuh模板：Kibana的Wazuh应用程序需要Elasticsearch模板才能正常工作，因此确保正确它非常重要。
# curl https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/elasticsearch/wazuh-elastic6-template-alerts.json | curl -X PUT "http://localhost:9200/_template/wazuh" -H 'Content-Type: application/json' -d @-

注意:建议编辑默认配置以提高Elasticsearch的性能。为此，请参阅Elasticsearch调优。

Logstash

Logstash是收集，解析和转发数据到Elasticsearch的工具，用于索引和存储Wazuh服务器生成的所有日志。有关更多信息，请参阅Logstash。

  1. 安装Logstash包：
# apt-get install logstash=1:6.6.0-1
2.下载Logstash的Wazuh配置文件：
a.本地配置（仅在单主机架构中）：
# curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-local.conf

由于Logstash用户需要读取alerts.json文件，请运行以下命令将其添加到OSSEC组：

# usermod -a -G ossec logstash
b.远程配置（仅在分布式架构中）：
# curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-remote.conf
3. 启用并启动Logstash服务：
a.for Systemd：
# systemctl daemon-reload
# systemctl enable logstash.service
# systemctl start logstash.service
b.for SysV Init：
# update-rc.d logstash defaults 95 10
# service logstash start

注意:如果您在不同的系统（分布式体系结构）上运行Wazuh服务器和Elastic Stack服务器，则在Filebeat和Logstash之间配置加密非常重要。为此，请参阅为Filebeat和Logstash设置SSL。

Kibana

Kibana是一个灵活，直观的Web界面，用于可视化存储在Elasticsearch中的事件和信息。在Kibana上查找更多信息。

  1. 安装Kibana包：
# apt-get install kibana=6.6.0
  1. 为Kibana安装Wazuh应用程序插件：
# sudo -u kibana NODE_OPTIONS="--max-old-space-size=3072" /usr/share/kibana/bin/kibana-plugin install https://packages.wazuh.com/wazuhapp/wazuhapp-3.8.2_6.6.0.zip

Kibana插件安装过程可能需要几分钟。请耐心等待

3.可选，Kibana默认只监听环回接口（localhost）。要将Kibana设置为侦听所有接口，请编辑该文件/etc/kibana/kibana.yml，并取消注释该设置server.host。将值更改为：

server.host: "0.0.0.0"

注意：建议为Kibana设置Nginx代理，以便使用SSL加密并启用身份验证。可以在为Kibana设置SSL和身份验证中找到设置代理的说明。

4.并启动Kibana服务：

a.for Systemd：

# systemctl daemon-reload
# systemctl enable kibana.service
# systemctl start kibana.service
b. for SysV Init：

# update-rc.d kibana defaults 95 10
# service kibana start
5.（可选）禁用Elasticsearch更新：

建议禁用Elasticsearch更新源，以防止升级到较新的Elastic Stack版本，因为可能会撤消应用程序的更改。为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/elastic-6.x.list
# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "elasticsearch hold" | sudo dpkg --set-selections
# echo "kibana hold" | sudo dpkg --set-selections
# echo "logstash hold" | sudo dpkg --set-selections

 

安装Wazuh代理

Wazuh代理程序在您要监控的主机上运行。它是多平台的，并提供以下功能：

  • 日志和数据收集，
  • 文件完整性监控，
  • rootkit和恶意软件检测
  • 安全策略监测

此外，它还与Wazuh manger 进行通信，通过加密和认证的通道实时地发送数据。

安装Wazuh代理有多种选择，具体取决于操作系统以及是否希望从源代码构建。请参阅下表并选择如何继续执行：

类型描述
RPM包在CentOS / RHEL / Fedora上安装Wazuh agnet
DEB包在Debian / Ubuntu上安装Wazuh agent
Windows安装程序在Windows上安装Wazuh agent

注意:使用Puppet，Chef，SCCM或Ansible等自动化工具可以更轻松地将agnet部署到大量服务器或端点上。如果要在更大的环境中部署Wazuh，请考虑探索这些方法。

使用RPM软件包安装Wazuh agent

RPM软件包适合安装在Red Hat，CentOS和其他基于RPM的系统上。

注意：下面的许多命令都需要以root用户权限执行

添加Wazuh存储库

安装Wazuh代理的第一步是将Wazuh存储库添加到您的系统。或者，如果您想直接下载wazuh-agent软件包，或查看兼容版本，可以从这里开始。根据您的发行版运行以下命令来设置更新源：

CentOS 6 / RHEL 6，CentOS 7 / RHEL 7，Fedora 22或更高版本以及Amazon Linux

# cat > /etc/yum.repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=Wazuh repository
baseurl=https://packages.wazuh.com/3.x/yum/
protect=1
EOF

 

CentOS 5 / RHEL 5

# cat > /etc/yum.repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=http://packages.wazuh.com/key/GPG-KEY-WAZUH-5
enabled=1
name=Wazuh repository
baseurl=http://packages.wazuh.com/3.x/yum/5/$basearch/
protect=1
EOF

 

SUSE 12

# rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
# cat > /etc/zypp/repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=Wazuh repository
baseurl=https://packages.wazuh.com/3.x/yum/
protect=1
EOF

SUSE 11

# rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH-5
# cat > /etc/zypp/repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=http://packages.wazuh.com/key/GPG-KEY-WAZUH-5
enabled=1
name=Wazuh repository
baseurl=http://packages.wazuh.com/3.x/yum/5/$basearch/
protect=1
EOF

 

安装Wazuh agent

  1. 在终端上，按如下方式安装Wazuh agent:

  • 使用yum包安装：

    # yum install wazuh-agent

  • 使用zypper包安装

    # zypper install wazuh-agent

2.（可选）禁用Wazuh存储库：

建议禁用Wazuh更新源以防止意外升级。为此，请使用以下命令：

  • 使用yum包管理器：

    # sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

  • 使用zypper包管理器：

    # sed -i "s/^enabled=1/enabled=0/" /etc/zypp/repos.d/wazuh.repo

 

使用DEB包安装Wazuh agent

DEB包适用于Debian，Ubuntu和其他基于Debian的系统。

注意：下面的许多命令都需要以root用户权限执行

添加Wazuh存储库

安装Wazuh代理的第一步是将Wazuh存储库添加到您的服务器。或者，如果您希望直接下载wazuh-agent软件包，可以在此处找到它。

  1. 要执行此过程中，curl，apt-transport-https和lsb-release软件包必须安装在系统上。如果它们没有被安装，请使用以下命令安装它们：
# apt-get install curl apt-transport-https lsb-release
2.安装Wazuh存储库GPG密钥
# curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | apt-key add -
3.添加存储库：
# echo "deb https://packages.wazuh.com/3.x/apt/ stable main" | tee /etc/apt/sources.list.d/wazuh.list
4.更新包
# apt-get update

安装Wazuh agent

  1. 在您的终端上，安装Wazuh agent
# apt-get install wazuh-agent
2.（可选）禁用Wazuh更新：

建议禁用Wazuh存储库以防止意外升级。为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/wazuh.list
# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "wazuh-agent hold" | sudo dpkg --set-selections

 

在Windows上安装Wazuh agent

注意:您将需要管理员权限才能执行此安装

在Windows计算机上安装Wazuh agent的第一步是从软件包列表中下载Windows安装程序。下载完成后，可以使用以下两种方法之一安装Windows代理：

使用GUI

要从GUI安装Windows agent，请运行下载的文件，然后按照安装向导中的步骤操作。如果您不确定如何选择，只需使用默认选项安装即可。

安装后，agent 会使用图形用户界面进行配置，打开日志文件或启动和停止服务。

默认情况下，所有agent的配置文件将在：C:\Program Files(x86)\ossec-agent

注意：现在已安装agent程序，下一步是注册并配置它以与mangent通信。有关此过程的更多信息，请访问用户手册。

使用命令

注意:必须使用管理员权限运行进行自动安装

要从命令中安装Windows agent,请使用以下命令运行安装程序（该/q参数用与无人参与安装）：

wazuh-agent-3.8.2-1.msi /q

要卸载 agent，将需要原始MSI文件来执行自动卸载

msiexec.exe /x wazuh-agent-3.8.2-1.msi /qn

您可以使用以下参数来自动安装authd注册agent：

选项描述
APPLICATIONFOLDER设置安装路径。默认C:\Program Files (x86)\ossec-agent.
ADDRESS指定管理器IP地址或主机名。此选项还接受以分号分隔的IP或主机名列表。
SERVER_PORT指定管理器连接端口。
PROTOCOL设置管理器和代理之间的通信协议。接受UDP和TCP。默认为UDP。
AUTHD_SERVER指定Authd IP地址。
AUTHD_PORT指定Authd连接端口。
PASSWORD设置Authd密码。
NOTIFY_TIME设置管理器检查与agent 之间连接的时间。
TIME_RECONNECT设置重新连接尝试之前的时间（以秒为单位）。
CERTIFICATE指定授权路径证书。
PEM指定证书路径。
KEY指定密钥路径。
AGENT_NAME指定代理的名称。默认情况下将是计算机名称。
GROUP将指定的组分配给代理。
/ l installer.log生成安装过程的日志。
/ l * v installer.log生成安装过程的日志，包括详细消息。

下面是一些安装和注册Windows agent 的示例

使用带密码注册：

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" PASSWORD="TopSecret" AGENT_NAME="W2012"

使用带密码注册并分配组：

azuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" PASSWORD="TopSecret" GROUP="my-group"

使用带CA注册的相对路径。它将在您的APPLICATIONFOLDER文件夹中搜索：

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" AGENT_NAME="W2019" CERTIFICATE="rootCA.pem"

包含空格的CA，证书或密钥的绝对路径可以写成如下所示：

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" KEY="C:\Progra~2\sslagent.key" PEM="C:\Progra~2\sslagent.cert"

数字“2”表示将在第二次出现“Progra”时搜索文件，因此，将在文件夹“C:\Program Files (x86)””中搜索密钥和证书。如果此数字为“1”，则将在“Program Files”中搜索。

注意：要通过SSL验证agent，必须同时使用KEY和PEM选项。请参阅带SSL的验证主机部分。

使用带协议注册

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" AGENT_NAME="W2016" PROTOCOL="TCP"

注意：在早于Windows Server 2008或Windows 7的Windows版本中，在Wazuh管理器上ossec-authd必须使用-a标志运行程序，或者在auth配置上设置<ssl_auto_negotiate>选项以避免兼容性错误。

 

可选配置

本节为与建立高效，稳定和安全的Wazuh环境相关的最佳实践提供指导。在这里，您将找到有关如何在分布式体系结构中设置SSL通信的信息（Wazuh服务器与Elastic Stack集群通信），如何使用Nginx为Kibana设置安全 agent 以及如何向Web用户添加身份验证接口。

内容

 

为Filebeat和Logstash设置SSL

如果您在单独的系统和服务器（分布式体系结构）上运行Wazuh服务器和Elastic Stack ，则在Filebeat和Logstash之间配置SSL加密非常重要。（这不适用于单服务器体系结构）

注意：下面的许多命令都需要以root用户权限执行

生成自签名SSL证书

  1. 生成SSL证书和密钥，如下所示：

    在安装了Logstash服务器的计算机上，创建OpenSSL示例配置文件的副本。文件位置可能因操作系统而异：

    1. 在Debian或Ubuntu上：

      # cp /etc/ssl/openssl.cnf custom_openssl.cnf

    2. 在CentOS或Red Hat上：

      # cp /etc/pki/tls/openssl.cnf custom_openssl.cnf

注意：通常，您将在Elastic Stack服务器中运行Logstash服务器，或者，如果已在其中一个节点中设置了分布式Elasticsearch集群，则运行Logstash服务器。

2.编辑自定义配置文件custom_openssl.cnf：

找到该部分并添加如下所示的命令行，其中包含您的Elastic服务器的IP地址：

 

[ v3_ca ] subjectAltName = IP: YOUR_SERVER_IP例如：[ v3_ca ] subjectAltName = IP: 192.168.1.23.生成SSL证书和密钥： 
# openssl req -x509 -batch -nodes -days 365 -newkey rsa:2048 -keyout /etc/logstash/logstash.key -out /etc/logstash/logstash.crt -config custom_openssl.cnf
4. 
您可以删除自定义配置文件：
# rm custom_openssl.cnf

 

配置Logstash服务器

新生成的SSL证书和密钥分别位于/etc/logstash/logstash.crt和/etc/logstash/logstash.key。接下来，配置Logstash以使用此新密钥与Filebeat进行通信。

  1. 编辑文件/etc/logstash/conf.d/01-wazuh.conf并取消注释与SSL相关的行。现在输入以下命令：

    input {
    beats {
        port => 5000
        codec => "json_lines"
        ssl => true
        ssl_certificate => "/etc/logstash/logstash.crt"
        ssl_key => "/etc/logstash/logstash.key"
    }
}

  2. 重新启动Logstash。该命令取决于OS init系统：

    1. for Systemd：

      # systemctl restart logstash.service

    2. for  SysV Init：

      # service logstash restart

配置Filebeat

配置Filebeat以验证Logstash服务器的证书。

  1. 在安装了Filebeat 的计算机（Wazuh服务器）上，获取Logstash服务器的SSL证书文件/etc/logstash/logstash.crt并将其复制到/etc/filebeat/logstash.crt。

    下面是一个示例，可用于将SSL证书从Logstash服务器复制到安装了Filebeat的Wazuh服务器：

    # scp root@LOGSTASH_SERVER_IP:/etc/logstash/logstash.crt /etc/filebeat

  2. 编辑文件/etc/filebeat/filebeat.yml,并取消注释与SSL内部相关的行，如下所示：

    output:
 logstash:
   hosts: ["192.168.1.2:5000"]
   ssl:
     certificate_authorities: ["/etc/filebeat/logstash.crt"]

  3. 重新启动Filebeat。该命令取决于OS init系统：

a.for Systemd：

# systemctl restart logstash.service

b.for SysV Init：

# service logstash restart

注意：有关更多详细信息，请参阅 Elastic的“ 与Logstash保护通信”指南。

为Kibana设置SSL和身份验证

默认情况下，Kibana（包括Wazuh应用程序）与最终用户系统上的Web浏览器之间的通信未加密。强烈建议将Kibana配置为使用SSL加密并启用身份验证。在本节中，我们将介绍如何使用NGINX设置完成此操作。

NGINX是一种流行的开源Web服务器和反向代理，以其高性能，稳定性，丰富的功能集，简单的配置和低资源消耗而着称。在此示例中，我们将其用作反向代理，以向最终用户提供对Kibana的加密和经过身份验证的访问。

注意：下面的许多命令都需要以root用户权限执行。Kibana Web界面的默认端口是5601。本案例将使80和443端口可用于HTTP / HTTPS访问。

  1. 用于Kibana的NGINX SSL代理（基于RPM的发行版）
  2. 用于Kibana的NGINX SSL代理（基于Debian的发行版）

用于Kibana的NGINX SSL代理（基于RPM的发行版）

  1. 安装NGINX：

    a.对于CentOS：

# cat > /etc/yum.repos.d/nginx.repo <<\EOF
[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=0
enabled=1
EOF

# yum install ngin
 b.对于RHEL：
# cat > /etc/yum.repos.d/nginx.repo <<\EOF
[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/rhel/$releasever/$basearch/
gpgcheck=0
enabled=1
EOF

# yum install nginx

注意:有关更多信息，请参阅NGINX：官方Red Hat / CentOS软件包。

2.安装SSL证书和私钥：

a.如果您拥有有效的签名证书，请将密钥文件<ssl_key>和证书文件复制到适当的位置：

＃ MKDIR -p的/ etc / PKI / TLS /证书的/ etc / PKI / TLS /私人
 ＃ CP <ssl_pem> /etc/pki/tls/certs/kibana-access.pem
 ＃ CP <ssl_key>的/ etc / PKI / TLS /private/kibana-access.key
b.如果您没有有效的签名证书，请按如下方式创建自签名证书。请记住将字段设置为您的服务器名称。例如，如果您的服务器是，您将执行以下操作：
# mkdir -p /etc/pki/tls/certs /etc/pki/tls/private
# openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/kibana-access.key -out /etc/pki/tls/certs/kibana-access.pem
  Generating a 2048 bit RSA private key
  ...........+++
  ................+++
  writing new private key to '/etc/pki/tls/private/kibana-access.key'
  -----
  You are about to be asked to enter information that will be incorporated
  into your certificate request.
  What you are about to enter is what is called a Distinguished Name or a DN.
  There are quite a few fields but you can leave some blank
  For some fields there will be a default value,
  If you enter '.', the field will be left blank.
  -----
  Country Name (2 letter code) [AU]: US
  State or Province Name (full name) [Some-State]: California
  Locality Name (eg, city) []: San Jose
  Organization Name (eg, company) [Internet Widgits Pty Ltd]: Example Inc.
  Organizational Unit Name (eg, section) []: section
  Common Name (e.g. server FQDN or YOUR name) []: example.com
  Email Address []: example@mail.com
3.将NGINX配置为Kibana的HTTPS反向代理：
# cat > /etc/nginx/conf.d/default.conf <<\EOF
server {
    listen 80;
    listen [::]:80;
    return 301 https://$host$request_uri;
}

server {
    listen 443 default_server;
    listen            [::]:443;
    ssl on;
    ssl_certificate /etc/pki/tls/certs/kibana-access.pem;
    ssl_certificate_key /etc/pki/tls/private/kibana-access.key;
    access_log            /var/log/nginx/nginx.access.log;
    error_log            /var/log/nginx/nginx.error.log;
    location / {
        auth_basic "Restricted";
        auth_basic_user_file /etc/nginx/conf.d/kibana.htpasswd;
        proxy_pass http://kibana-server-ip:5601/;
    }
}
EOF

 

注意:我们配置Nginx以封装Kibana服务器的IP地址。此配置允许将Kibana请求重定向到HTTPS。使用此配置时，建议编辑文件/etc/kibana/kibana.yml以将字段设置server.host为localhost。必须重新启动Kibana服务才能应用此更改。

4.如果正在使用SELinux，则允许NGINX连接到Kibana端口：

# semanage port -a -t http_port_t -p tcp 5601

注意:这假设您已安装policycoreutils-python来管理SELinux。

通过htpasswd启用身份验证

  1. 安装httpd-tools包
# yum install httpd-tools
2.生成.htpasswd文件，确保替换wazuh为您选择的用户名，与auth_basic_user_file匹配：
# htpasswd -c /etc/nginx/conf.d/kibana.htpasswd wazuh
3.重启NGINX：
a.for Systemd：
# systemctl restart nginx
b. for SysV Init：
# service nginx restart

现在，通过HTTPS访问Kibana Web界面。它将提示您输入在上述步骤中创建的用户名和密码。

警告:如果您遇到权限问题或获得502代码错误，请尝试执行以下命令：

 setsebool -P httpd_can_network_connect 1

用于Kibana的NGINX SSL代理（基于Debian的发行版）

  1. 安装NGINX：
# apt-get install nginx
2.安装SSL证书和私钥：
a.如果您拥有有效的签名证书，请将密钥文件<ssl_key>和证书文件复制<ssl_pem>到适当的位置：
# mkdir -p /etc/ssl/certs /etc/ssl/private
# cp <ssl_pem> /etc/ssl/certs/kibana-access.pem
# cp <ssl_key> /etc/ssl/private/kibana-access.key
b.如果您没有有效的签名证书，请按如下方式创建自签名证书：
# mkdir -p /etc/ssl/certs /etc/ssl/private
# openssl req -x509 -batch -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/kibana-access.key -out /etc/ssl/certs/kibana-access.pem
  Generating a 2048 bit RSA private key
  .............+++
  ..+++
  writing new private key to '/etc/ssl/private/kibana-access.key'
  -----
3.将NGINX配置为Kibana的HTTPS反向代理：
# cat > /etc/nginx/sites-available/default <<\EOF
server {
    listen 80;
    listen [::]:80;
    return 301 https://$host$request_uri;
}

server {
    listen 443 default_server;
    listen            [::]:443;
    ssl on;
    ssl_certificate /etc/ssl/certs/kibana-access.pem;
    ssl_certificate_key /etc/ssl/private/kibana-access.key;
    access_log            /var/log/nginx/nginx.access.log;
    error_log            /var/log/nginx/nginx.error.log;
    location / {
        auth_basic "Restricted";
        auth_basic_user_file /etc/nginx/conf.d/kibana.htpasswd;
        proxy_pass http://kibana-server-ip:5601/;
    }
}
EOF

注意:我们配置Nginx以封装Kibana服务器的IP地址。此配置允许将Kibana请求重定向到HTTPS。使用此配置时，建议编辑文件/etc/kibana/kibana.yml以将字段设置server.host为localhost。必须重新启动Kibana服务才能应用此更改。

通过htpasswd启用身份验证

  1. 安装apache2-utils包：
# apt-get install apache2-utils
2.使用您选择的用户名生成.htpasswd替换<user>下面的文件：
# htpasswd -c /etc/nginx/conf.d/kibana.htpasswd <user>
3.重启NGINX：
a.For Systemd:
# systemctl restart nginx
b.For SysV Init:
# service nginx restart

现在，通过HTTPS访问Kibana Web界面。它将提示您输入在上述步骤中创建的用户名和密码。

保护Wazuh API

默认情况下，Wazuh Kibana App和Wazuh API之间的通信未加密。强烈建议您按照以下步骤保护Wazuh API：

  1. 更改默认凭据：

默认情况下，您可以通过键入用户“foo”和密码“bar”来访问Wazuh API，但是，您可以按如下方式创建新凭据：

# cd /var/ossec/api/configuration/auth
# node htpasswd -c user myUserName

然后，您需要重新启动wazuh-api和wazuh-manager服务才能使更改生效。

2.启用HTTPS：

要启用HTTPS，您需要生成或提供证书。您可以学习如何生成自己的证书或使用脚本自动生成证书:

/var/ossec/api/scripts/configure_api.sh

3.绑定到localhost：

如果您不需要从外部访问API，则应将API绑定到localhost使用配置文件/var/ossec/api/configuration/config.js中的选项的config.host。

Elasticsearch调整

本指南总结了允许优化Elasticsearch的相关配置。

1.Memory locking

2.Shards and replicas

Memory locking

当系统交换内存时，Elasticsearch的性能很差。对于节点的运行状况而言，任何JVM都不会交互到磁盘是至关重要的。

在本示例中，我们将展示如何将bootstrap.memory_lock设置为true，以便Elasticsearch将进程地址空间锁定到RAM中。这可以防止任何Elasticsearch内存被溢出。

  1. 设置bootstrap.memory_lock

取消注释或将此行添加到文件中/etc/elasticsearch/elasticsearch.yml：

bootstrap.memory_lock: true
2.编辑系统资源的限制

配置系统设置的位置取决于您选择用于Elasticsearch安装的软件包和操作系统。

  • 在使用systemd的情况下，需要通过systemd指定系统限制。为此，请创建执行命令的文件夹：
# mkdir -p /etc/systemd/system/elasticsearch.service.d/

然后，在新目录中，添加一个名为elasticsearch.conf文件，并指定该文件中的设置

[Service]
LimitMEMLOCK=infinity

在其他情况下，编辑/etc/sysconfig/elasticsearch（RPM）或/etc/default/elasticsearch（Debian ）并正确设置：

MAX_LOCKED_MEMORY=unlimited
3.Limit memory

如果Elasticsearch尝试分配的内存超过可用内存，则先前的配置可能会导致节点不稳定甚至节点挂掉。JVM堆限制将有助于限制内存使用并防止出现这种情况。

设置Elasticsearch内存大小时，有两个规则适用：

  • 使用不超过可用RAM的50％。
  • 使用不超过32 GB。

此外，重要的是要考虑主机上运行的操作系统，服务和软件的内存使用情况。

默认情况下，Elasticsearch配置有1 GB的内存。您可以使用以下/etc/elasticsearch/jvm.options文件通过JVM标志更改内存大小：

# Xms represents the initial size of total heap space
# Xmx represents the maximum size of total heap space
-Xms4g
-Xmx4g

警告：确保min（Xms）和max（Xmx）大小相同，以防止JVM内存在运行时调整大小，因为这是一个非常重要的过程。

4.重启Elasticsearch

最后，重启Elasticsearch服务：

a.for Systemd：

# systemctl daemon-reload
# systemctl restart elasticsearch
b.for SysV Init：
# service elasticsearch restart

启动Elasticsearch后，您可以通过检查mlockall下一个请求的输出中的值来查看是否已成功应用此设置：

# curl "http://localhost:9200/_nodes?filter_path=**.mlockall&pretty"

{
  "nodes" : {
    "sRuGbIQRRfC54wzwIHjJWQ" : {
      "process" : {
        "mlockall" : true
      }
    }
  }
}

 

如果该"mlockall"字段的输出为false，则请求失败。您还会在日志（位于）中找到无法锁定JVM内存的行/var/log/elasticsearch/elasticsearch.log。

参考：

Shards and replicas

Elasticsearch提供了将索引拆分为多个称为分片的段的功能。每个分片本身都是一个功能齐全且独立的“索引”，可以托管在集群中的任何节点上。分片很重要，主要有两个原因：

  • 您可以水平拆分/缩放内容卷
  • 您可以跨分片区分发和并行化操作，从而提高性能和吞吐量。

此外，Elasticsearch允许您将索引的分片的一个或多个副本转换成所谓的副本分片或简称副本。复制很重要，主要有两个原因：

  • 它在碎片或节点出现故障时提供高可用性
  • 它允许您扩展搜索量和吞吐量，因为可以在所有副本上并行执行搜索。

警告：可以在创建索引时为每个索引定义分片和副本的数量。创建索引后，您可以动态更改副本数，但是，您无法在事后更改分片数。

我的索引应该有多少个分片？

由于在没有重建索引的情况下无法重新设置（更改分片数），因此应仔细考虑在创建第一个索引之前需要多少分片。您在安装中计划的节点数将影响您应该计划的分片数。通常，通过使用与节点相同数量的分片来实现最佳性能。因此，具有三个节点的群集应该具有三个分片，而具有一个节点的群集将仅需要一个分片。

我的索引应该有多少个副本？

让我们看看如何设置具有三个节点和三个分片的集群的一些选项：

  • 无副本：每个节点都有一个分片。如果节点发生故障，我们将留下两个分片的不完整索引。
  • 一个副本：每个节点有一个分片和一个副本。如果节点出现故障，我们仍然会有一个完整的索引。
  • 两个副本：每个节点有一个分片和两个副本（完整索引）。通过此设置，即使两个节点发生故障，群集仍可以正常运行。这似乎是最好的解决方案，但它确实增加了存储要求。

设置分片和副本的数量

使用RPM或Debian软件包的默认安装Elastic Stack 将为每个索引配置五个主分片和一个副本。

如果要更改这些设置，则需要编辑Elasticsearch模板。在以下示例中，分片和副本的正确值在仅包含一个节点的群集中配置。

警告：如果已创建索引，则必须在编辑模板后重新编辑索引。

  1. 下载Wazuh Elasticsearch模板：
# curl https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/elasticsearch/wazuh-elastic6-template-alerts.json -o w-elastic-template.json
2.编辑模板以设置一个没有副本的分片：
# nano w-elastic-template.json

{
  "order": 0,
  "template": "wazuh-alerts-3.x-*",
  "settings": {
    "index.refresh_interval": "5s",
    "number_of_shards" :   1,
    "number_of_replicas" : 0
  },
  "mappings": {
  "...": "..."
  }
}
3.加载模板：
# curl -X PUT "http://localhost:9200/_template/wazuh" -H 'Content-Type: application/json' -d @w-elastic-template.json

{ "acknowledged" : true }
4.可选。确认您的配置已成功更新：
# curl "http://localhost:9200/_template/wazuh?pretty&filter_path=wazuh.settings"

{
  "wazuh" : {
    "settings" : {
      "index" : {
        "number_of_shards" : "1",
        "number_of_replicas" : "0",
        "refresh_interval" : "5s"
      }
    }
  }
}

 

更改副本数量

可以使用Elasticsearch API动态更改副本数。

在具有一个节点的群集中，副本数应设置为零：

# curl -X PUT "http://localhost:9200/wazuh-alerts-*/_settings?pretty" -H 'Content-Type: application/json' -d'
{
  "settings" : {
    "number_of_replicas" : 0
  }
}
'

{ "acknowledged" : true }

 

请注意，我们假设您的目标索引模式是“wazuh-alerts- *”，但是，可以使用不同的索引模式。您可以使用以下命令查看当前索引的完整列表：

# curl "http://localhost:9200/_cat/indices"

参考：

Search Guard

Search Guard可用于通过使用不同的行业标准身份验证技术来保护您的Elasticsearch集群，例如Kerberos，LDAP/Active Directory，JSON Web令牌，TLS证书和代理身份验证 SSO。

无论您使用何种身份验证方法，基本流程如下：

  • 用户想要访问Elasticsearch集群，例如通过发出简单查询。

  • Search Guard从请求中检索用户的凭据

    • 如何检索凭据取决于身份验证方法。例如，可以从HTTP基本身份验证头，JSON Web令牌或Kerberos票证中提取它们。

  • Search Guard根据配置的身份验证后端对凭据进行身份验证。

  • Search Guard通过从配置的授权后端检索用户角色的列表来授权用户

    • 从授权后端检索的角色称为后端角色。
    • 例如，可以从LDAP / AD，JSON Web令牌或Search Guard内部用户数据库中获取角色。

  • Search Guard将用户和后端角色映射到Search Guard角色。

  • Search Guard确定与Search Guard角色关联的权限，并决定是否允许用户执行的操作。

  • 如果您使用的是文档和字段级安全性，则还可以根据文档和单个字段应用精细化的权限。

为Logstash设置Search Guard

我们的默认配置不使用Logstash的身份验证，因此我们需要正确配置它。编辑Logstash配置文件（位于/etc/logstash/conf.d/01-wazuh.conf）：

1.停止Logstash服务：

# systemctl stop logstash
2.查找输出部分并将其替换为以下内容：
output {
    elasticsearch {
        hosts => ["ELASTICSEARCH_HOST:9200"]
        index => "wazuh-alerts-3.x-%{+YYYY.MM.dd}"
        document_type => "wazuh"
        user => logstash
        password => logstash
        ssl => true
        ssl_certificate_verification => false
    }
}
3.重新启动Logstash。
# systemctl restart logstash

警告：必须对所有Logstash配置应用此配置，替换特定字段（如主机或索引），具体取决于您的Logstash位置和要求。

为Elasticsearch设置Search Guard

目前，不支持同时使用X-Pack安全性。如果您的环境当前正在使用X-Pack安全功能，则必须先将其禁用，然后再继续阅读本示例：

对于Elasticsearch，您需要在所有节点中编辑文件/etc/elasticsearch/elasticsearch.yml，并添加以下命令：

xpack.security.enabled: false

现在重启Elasticsearch服务：

# systemctl restart elasticsearch

Search Guard必须与 Elastic stack中的任何其他组件一样适合Elasticsearch版本。Search Guard的版本控制略有不同，请在Search Guard版本中查看您的版本。

Search Guard的版本控制语法如下：

com.floragunn:search-guard-6:<elastic_version>-<searchguard_version>

本文档是为我们最新支持的版本设计的，它是6.5.4，所以我们的正确的版本设置：

com.floragunn:search-guard-6:6.5.4-24.0

由于Search Guard是一个插件，我们必须像其他Elasticsearch插件安装它：

sudo -u elasticsearch \
/usr/share/elasticsearch/bin/elasticsearch-plugin install \
-b com.floragunn:search-guard-6:6.5.4-24.0

Search Guard附带一个演示配置，它作为新手很有用，所以让我们安装演示配置：

$ cd /usr/share/elasticsearch/plugins/search-guard-6/tools/
$ chmod a+x install_demo_configuration.sh
# ./install_demo_configuration.sh
Install demo certificates? [y/N] y
Initialize Search Guard? [y/N] y
Enable cluster mode? [y/N] y

重启Elasticsearch服务：

# systemctl restart elasticsearch

您可以使用下一个请求检查它是否按预期执行（Search Guard需要大约两分钟来创建其内部索引，因此请耐心等待）：

$ curl -k -u admin:admin https://<ELASTICSEARCH_HOST>:9200/_searchguard/authinfo?pretty
{
"user" : "User [name=admin, roles=[admin], requestedTenant=null]",
"user_name" : "admin",
"user_requested_tenant" : null,
"remote_address" : "10.0.0.4:46378",
"backend_roles" : [
    "admin"
],
"custom_attribute_names" : [
    "attr.internal.attribute1",
    "attr.internal.attribute2",
    "attr.internal.attribute3"
],
"sg_roles" : [
    "sg_all_access",
    "sg_own_index"
],
"sg_tenants" : {
    "admin_tenant" : true,
    "admin" : true
},
"principal" : null,
"peer_certificates" : "0",
"sso_logout_url" : null
}

设置Search Guard角色

Search Guard使用核心角色。Search Guard用户角色使用核心角色。最后，Search Guard用户使用用户角色。

  • 角色文件

    • /usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_roles.yml
    • Search Guard在引擎下使用核心角色

  • 角色映射

    • /usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_roles_mapping.yml
    • Search Guard用户使用的角色。这些角色可以组合多个核心角色。

  • 内部用户

    • /usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_internal_users.yml
    • 这些是所有组件将使用的用户。每个组件使用具有自己角色的不同用户。

Logstash角色

Logstash有自己的预定义用户和自己的预定义角色。由于Wazuh使用wazuh-alerts-3.x- *前缀创建自定义Elasticsearch索引，因此必须将该索引前缀添加到Logstash角色。

  1. 编辑Logstash角色，位于/usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_roles.yml
sg_logstash:
    cluster:
        - CLUSTER_MONITOR
        - CLUSTER_COMPOSITE_OPS
        - indices:admin/template/get
        - indices:admin/template/put
    indices:
        'logstash-*':
            '*':
                - CRUD
                - CREATE_INDEX
        '*beat*':
            '*':
                - CRUD
                - CREATE_INDEX
        'wazuh-alerts-3?x-*':
            '*':
                - CRUD
                - CREATE_INDEX

注意：用于Search Guard角色的点被替换，3?x实际上意思是3.x

2.应用更改：

# /usr/share/elasticsearch/plugins/search-guard-6/tools/sgadmin.sh \
-cd /usr/share/elasticsearch/plugins/search-guard-6/sgconfig -icl -key \
/etc/elasticsearch/kirk-key.pem -cert /etc/elasticsearch/kirk.pem -cacert \
/etc/elasticsearch/root-ca.pem -h <ELASTICSEARCH_HOST> -nhnv

警告：在生产环境中，不建议使用-nhnv标识，因为它忽略了证书问题。

3.重新启动Elasticsearch和Logstash服务：

# systemctl restart elasticsearch
# systemctl restart logstash

此时，您可以使用user:password 身份验证和加密通信来保护您的Elasticsearch集群。这意味着必须对指向某个Elasticsearch节点的任何Logstash进行身份验证。此外，对Elasticsearch API的任何请求都必须使用https plus user:password 身份验证。

为Kibana设置Search Guard

目前，不支持同时使用X-Pack安全性。如果您的环境当前正在使用任何X-Pack安全功能，则必须先将其禁用，然后再继续阅读本示例。

对于Kibana，您需要编辑文件/etc/kibana/kibana.yml并添加以下行：

xpack.security.enabled：false

现在重启Kibana服务：

# systemctl restart kibana

Kibana也需要Search Guard插件。插件版本控制就像Elasticsearch插件版本一样，这意味着你必须完全适合你的Kibana版本。

  1. 像其他安装组件一样安装：
$ sudo -u kibana NODE_OPTIONS="--max-old-space-size=3072" /usr/share/kibana/bin/kibana-plugin install https://search.maven.org/remotecontent?filepath=com/floragunn/search-guard-kibana-plugin/6.5.4-17/search-guard-kibana-plugin-6.5.4-17.zip
2. 编辑Kibana配置文件，它位于/etc/kibana/kibana.yml，添加以下行：
# Elasticsearch URL
elasticsearch.url: "https://<ELASTICSEARCH_HOST>:9200"

# Credentials
elasticsearch.username: "admin"
elasticsearch.password: "admin"

# Disable SSL verification because we use self-signed demo certificates
elasticsearch.ssl.verificationMode: none

# Whitelist the Search Guard Multi Tenancy Header
elasticsearch.requestHeadersWhitelist: [ "Authorization" , "sgtenant" ]
 

现在，您可以像往常一样访问Kibana UI，它将提示您登录，您可以使用现有的admin的用户访问它。

接下来的步骤我们将学习如何定义新的Kibana UI用户以及如何根据他们的需要为所有用户定义特定角色。

有关详细信息，请参阅Kibana Search Guard插件。

Kibana UI和Wazuh应用程序

Wazuh应用程序需要管理.wazuh和.wazuh-version索引才能正常工作。服务器端使用索引.wazuh-version。

警告：只需从Elasticsearch集群中的一个主节点执行

Wazuh app用户

1.在/usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_roles.yml中创建新的Search Guard核心角色

sg_wazuh_admin:
  cluster:
    - indices:data/read/mget
    - indices:data/read/msearch
    - indices:data/read/search
    - indices:data/read/field_caps
    - CLUSTER_COMPOSITE_OPS
  indices:
    '?kiban*':
      '*':
        - MANAGE
        - INDEX
        - READ
        - DELETE
    '?wazuh':
      '*':
        - MANAGE
        - INDEX
        - READ
        - DELETE
    '?wazuh-version':
      '*':
        - MANAGE
        - INDEX
        - READ
        - DELETE

    'wazuh-alerts-3?x-*':
      '*':
        - indices:admin/mappings/fields/get
        - indices:admin/validate/query
        - indices:data/read/search
        - indices:data/read/msearch
        - indices:data/read/field_stats
        - indices:data/read/field_caps
        - READ
        - SEARCH

    'wazuh-monitoring*':
      '*':
        - indices:admin/mappings/fields/get
        - indices:admin/validate/query
        - indices:data/read/search
        - indices:data/read/msearch
        - indices:data/read/field_stats
        - indices:data/read/field_caps
        - READ
        - SEARCH
2.为您的密码创建哈希
bash /usr/share/elasticsearch/plugins/search-guard-6/tools/hash.sh -p yourpassword
3.使用步骤2中的哈希在/usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_internal_users.yml中创建新用户。
wazuhadmin:
  hash: $2a$12$VcCDgh2NDk07JGN0rjGbM.Ad41qVR/YFJcgHp0UGns5JDymv..TOG
  roles:
    - wazuhadmin_role
3.在/usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_roles_mapping.yml中设置Search Guard角色的角色映射
sg_wazuh_admin:
  backendroles:
    - wazuhadmin_role
4.应用更改：
# /usr/share/elasticsearch/plugins/search-guard-6/tools/sgadmin.sh \
-cd /usr/share/elasticsearch/plugins/search-guard-6/sgconfig -icl -key \
/etc/elasticsearch/kirk-key.pem -cert /etc/elasticsearch/kirk.pem -cacert \
/etc/elasticsearch/root-ca.pem -h <ELASTICSEARCH_HOST> -nhnv

Kibana简要总结

现在你有两个Kibana用户：

  • Kibana服务器使用Search Guard中预定义的管理员用户（/etc/kibana/kibana.yml）。
  • Kibana UI wazuhadmin用户可以看到所有并修改.wazuh索引。

它是如何进入Wazuh应用程序？

主要区别在于您现在必须在进入Kibana之前登录。另请注意，如果不允许用户使用某些索引，则不能在Kibana上使用它们。

参考

 

 

自动插入Wazuh API

如果您想更快地在我们的某个应用程序上添加Wazuh API凭据，您可以执行以下命令之一，具体取决于您使用的应用程序：

Kibana应用程序

# curl -X POST "http://<ELASTICSEARCH_IP>:9200/.wazuh/wazuh-configuration/1513629884013" -H 'Content-Type: application/json' -d'
{
  "api_user": "<WAZUH_API_USERNAME>",
  "api_password": "<WAZUH_API_PASSWORD>",
  "url": "<WAZUH_API_URL>",
  "api_port": "<WAZUH_API_PORT>",
  "insecure": "true",
  "component": "API",
  "cluster_info" : {
    "manager" : "<WAZUH_MANAGER_HOSTNAME>",
    "cluster" : "<WAZUH_MANAGER_CLUSTER_NAME>",
    "status" : "<WAZUH_MANAGER_CLUSTER_STATUS>"
  },
  "extensions" : {
    "audit" : true,
    "pci" : true,
    "gdpr" : true,
    "oscap" : true,
    "ciscat" : false,
    "aws" : false,
    "virustotal" : false,
    "osquery" : false
  }

 

请注意以下事项：

  1. <ELASTICSEARCH_IP>是Elasticsearch主机的URL 。
  2. cURL命令（1513629884013）上使用的数字是一个随机数，用于将Wazuh API条目标识为唯一。如果要添加更多API，则必须使用其他编号。
  3. <WAZUH_API_USERNAME>和<WAZUH_API_PASSWORD>表示要存储在应用程序中的Wazuh API凭据。
  4. API密码必须以base64格式存储。使用将以正确的格式返回密码以供使用：echo -n '<WAZUH_API_PASSWORD>' | base64
  5. <WAZUH_API_URL>和<WAZUH_API_PORT>是Wazuh API 的完整IP地址和端口。URL必须包含http://或https://，具体取决于当前配置。
  6. <WAZUH_MANAGER_HOSTNAME>是安装Wazuh管理器的实例的主机名。您只需在管理器主机上运行该命令即可获取此信息。
  7. <WAZUH_MANAGER_CLUSTER_NAME>是Wazuh集群的名称。它是在文件ossec.conf上配置的。如果您没有使用Wazuh群集，请使用Disabled。
  8. <WAZUH_MANAGER_CLUSTER_STATUS>是Wazuh集群的状态。使用enabled或disabled取决于您的配置。

Splunk app

# curl -X POST "http://<SPLUNK_IP>:<SPLUNK_PORT>/en-US/custom/SplunkAppForWazuh/manager/add_api?url=<WAZUH_API_URL>&portapi=<WAZUH_API_PORT>&userapi=<WAZUH_API_USERNAME>&passapi=<WAZUH_API_PASSWORD>"

 

  1. <SPLUNK_IP>是安装应用程序的Splunk实例的主机名或IP地址。
  2. <SPLUNK_PORT>是安装应用程序的Splunk实例的端口。默认情况下，它是8000。
  3. <WAZUH_API_URL>，<WAZUH_API_PORT>，<WAZUH_API_USERNAME>和<WAZUH_API_PASSWORD>代表Wazuh API凭证存储上的应用程序。请记住，Wazuh API URL必须包含http://或https://，具体取决于当前配置

 

 

安装包列表：

manage，agent以及API

 


 

操作系统版本系统位数包SHA512校验和MD5校验和
基于Debian3.8.232位wazuh-agent_3.8.2-1_i386.deb45fd4bf6210c21a9eb183ac6c9845ef380eb2da8c7a6c64c065866c0430036f01c8eb41c1caad7afc7a17d2016a2023c9415afa845b311d3144497b6a78dee23d514d81444da3bb1a1310cc073daf57a
wazuh-manager_3.8.2-1_i386.deb6339a1fd455f7fdc982899cdae39974528379c8d68689f3959fb5a76bea244940f136fd5c858678ea7f1722d17f22dfcf8b039c4766230bb61f4f7ab1c4b817e475685576e13a04a862e64f4b8ef678f
64位wazuh-agent_3.8.2-1_amd64.deb8328534c96c12d2df29a37c120200a0bce7de1142d5b1706cb767d541d87de0e6777a08cda9d3a010c26032e72d7255fb12ff486b4dbf48782776537deb9b4557a800037ed34070fe84b6b9fd1aa85f4
wazuh-manager_3.8.2-1_amd64.deb5f44124d3fcbf8f89a8f056f1f0837a1684ad86c2f81281044aa0cf653d429f932574a24a916f2e75c1f998109d8730c497ec4823f6021eb5ec1ac6a5098a64411d0fca5514f33d0a5292aa5769c4453
wazuh-api_3.8.2-1_amd64.deb83dc3e6c71cb670b0b2c4883941152df8b6e93729830106c6f91bef47601663f238508db4f3146c61d074a586fe4f50cf6c5baf1ec2b98b42c46110cfb2be634a6a5a2f4b7d679e02f1b26e3ba929fb7
基于RPM3.8.232位wazuh-agent-3.8.2-1.i386.rpmd2f1b7c622f12f7da682f14453f04d346df3f77b740f204b5638b736cb9bb48ebf28c502d6e705f76f39b170b65241706220a3cb08ca315244658f9e10a7f09fc711eceea1963aa783f349d3dad6ae93
wazuh-manger-3.8.2-1.i386.rpm4d90284fad80431b47393d954d2ca5575a426753abc2f5e6e698d551ba248823fcbe6f0760e982fa6dabafe59d77b8c0d78fe952e34cebb16654869b5b923a57928cca5405556858798fbb0cd3bcc6be
64位wazuh-agent-3.8.2-1.x86_64.rpm3db04f90da1701a7ff92a12e0472d78c70d2e9d9d96f075f1c2aff62a80d094acfada805b1a9edd8ac10e8eb2577470b0165171451e7a76bc44902f4b30d5b14d97f9ded99047f9c2afbe058f72aaf89
wazuh-manager，3.8.2-1.x86_64.rpm9d59fbf7a058df01e275b810f2741551283e379b36618348b1da931d46a0ef35085fa36167d772d94de8aad40715702a91e2ef0ad04917601131963d7871665592d64e9edbcddf75f570bdb732ea1e18
wazuh-API 3.8.2-1.x86_64.rpmb2d9ea714cd7f98458a33508f7b1014cf3b447f1ab532481d4a1ae70f6bcd31a3f1647b03949058dec2892ec8061c1ce81895a3a34c607403c06d61abe2c540f7a9fa1664a7fdceb0f84c6152cfbc518

CentOS 5

RedHat 5

SUSE 11

3.8.232位wazuh-agent-3.8.2-1.el5.i386.rpm0ce0cc21542388fb39421a0cb1dab8b42c7d2bb1b6afead90281bddecfadc5761f24f6805fce09c0b16a50180b6921ddb535335e3189f28b00f90060a7e322b832b575cde448e1747fb0a350bd6786bb
wazuh-manger，3.8.2-1.el5.i386.rpm1504c72235aebffe29ccfddc3a5f8588e66237ac6bbc47070f50ce2778136b06e8ec3aac5e3cfe9da9d90cf34b8118abecf8c2a182b4a7c6d2139737c7293d67d737aab2d84ebb5d0cd9ce4d447a3aeb
64位wazuh-agent-3.8.2-1.el5.x86_64.rpm131a69e9e4bc3a59d51d3382db58002b997cfad02da774cb34aaf577c20c031b4f57301b38b36f916bc6991e6f6acc66b58855b0a3746b4d3c2fb229cf29f9f8769cc8a89088109b1e491ffdcb0dbf05
wazuh-manager，3.8.2-1.el5.x86_64.rpma15c12be503be01b977d12b9b679ca834e54b19bc7615ef82b95de4267211c33344abc13ac908f0fae326ad06c86bd02602c05bcb6109c2a28cd6ba83f68c85adb57dfc16a05a8eec8bbc2c09a6d0613
windows3.8.232/64位wazuh-agnet-3.8.2-1.msi753af161918bc3cc7fc8d3de9fc73103b54cc15453af202955e885d423293182a50e7bf5612adc2c00fdd5656698aaa94aa4618176d138ba93dd46e519dbca17dd0b534e98b645eb1e43477b85013580
Mac OS X.3.8.264位wazuh-manager-3.8.2-1.pkg605bcd645a518321016d33c4c0108152862581882997575b2eb3b1682a6341a807e7f92bc6f4ed483ed608cfd765be6db021a39eb3f91f310223441cadebaf1e73bc5e724f16981130f3064a8355b700
HP-UX 11.313.8.2Itaniumwazuh-agent-3.8.2-1-HPUX-11v3-ia64.tar26ce466f8c9657289383550d6277ccbffc8eb758456f57cbe8a1fc1260f1cb4cd702edec33633cf53b1d2fca6bf7e7fed3584aa07513039708c20cd2efcdeb282c8633fb24cbf53b869238a78073f4ad
Solaris 103.8.2I386wazuh-agent_v3.8.2-SOL10，i386.pkga4a2ba591a39a382a9f8723f6b415138f4c44a18bc17956689e1bbbd1cfe2662871cbebc0e52dbee35ca590a2f183f4c93024c1a92c7e5785e5e397deb38b68750c407237f6d5d496365ef30e1411c79
SPARCwazuh-agent_v3.8.2-SOL10，sparc.pkg67d9e915a144de85c9198a76b7b97e0744b1de2cafdf31c872c2c229fd66f5e7d5b62b7a8a7651e766f304142172e9aa021eb80a4201c5b3566d828e5929123600510447e6d9e8d7f5623bd29d356986
Solaris 113.8.2I386wazuh-agent_v3.8.2-sol11-i386.p5p9bc17cb642e590d2d1bfb6a9a3260012ac585507aa6ddb37786e4faa9254a953dca181fdfb574db523b7a915b0fe308ebb3ef9fd69f04c1f3a7e885f04abfc7d24aaf35aba94c8191c0b23263559d749
SPARCwazuh-agent_v3.8.2-sol11-sparc.p5pc72100439bed144d34e589662e63dced353711df21f2e0a66b4100ad45c71aa2b6e2a5f1dcb86a2895c25ed74e9e12268f3478420440296937a2ede8934870769225474a36629b86181273fbf9cbcbfe
AIX 5.3或更高版本3.8.2LPARswazuh-agent-3.8.2-1.aix.ppc.rpm3f8da3a0deefb705c1ddad42d2fdb1240cfadd16f62285c4f7092cf327383e66f0314a0137cfb475261007cfd715c35692af9612b3d092e5941ce3de6111c5992ea0dcec1066366873942bb89575af27

 

注意:基于RPM的软件包包括CentOS / RHEL 6或更高版本，Fedora 22或更高版本，SLES 12和Amazon Linux。

Kibana和Splunk app

产品版本Wazuh包SHA512校验和MD5校验和
Elastic Stack6.6.03.8.2wazuhapp-3.8.2_6.6.0.zip0df564008cfb328c719a2847d3356dc620024535de65bb7b05204e7041d9037c7a71fff3ca544a00af3283589a2b2a4a74cdebbdb204194861f73a3f097a21ca35ab8d3dcd0db78e67e50ecc283cf6b4
Splunk的7.2.33.8.2v3.8.2_7.2.3.tar.gz443a16de801ff36170f36886083c6370efb3e10725dae8086e09aa986cd83471ba3f593d2e451a3204caf446201fefb0a4b95de3ede4189621ab9277b350c3e48cf2be3aa7f64c440e3b64f41547f961

虚拟机

系统系统位数VM格式版本软件包SHA512校验和MD5校验和
CentOS 764位OVA3.8.2wazuh3.8.2_6.5.489386f5e0a314aef7def25fe6a46f408b014fd112df448a17784684c9ba0a253bcc5caac4e0e7ab3cf3780b8e5b7a8f9682926531cde88b01b6f94bb625160a0dc40d69a1634271cc270bc5afd9e9539
OVF3.8.2wazuh3.8.2_6.5.4-disk1a4f85d0fce81ca6020bcc1d8c88de31ec2300ec9ae6f114df225022ecb26ae7208deabe4dfb5ac41f05bc78e22e4d5a8b12311fb3d4b401e8c3fcadfe035e68600b257363d54d9d62a8ce0b4c1f1a61f
wazuh3.8.2_6.5.4.ovf70a283c171dfac191

 

 

兼容性

Wazuh软件可以安装在许多操作系统中，但根据您的需要，某些系统可能不兼容。此外，不同的Wazuh产品之间也有特定的兼容性要求。为了帮助您，请检查以下兼容性。

操作系统兼容性

manager

下面显示了Wazuh manger的兼容性表。由于其稳定性和与Wazuh模块的完全兼容性，建议使用CentOS / RHEL 7作为Wazuh管理器的操作系统。

操作系统Wazuh版
3.8.x3.7.x3.6.x3.5.x3.4.x3.3.x3.2.x3.1.03.0.02.1.12.1.0
Debian Wheezy / 7✓✓✓✓✓✓✓✓✓✓✓
Debian Jessie / 8✓✓✓✓✓✓✓✓✓✓✓
Debian Stretch / 9✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Precise / 12.04✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Trusty / 14.04✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Vivid / 15.04✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Wily / 15.10 *✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Xenial / 16.04✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Yakkety / 16.10✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Zesty / 17.04✓✓✓✓✓✓✓✓✓✗✗
Ubuntu Artful / 17.10✓✓✓✓✓✓✓✓✓✗✗
Ubuntu Bionic / 18.04✓✓✓✓✓✓✓✓✓✗✗
CentOS 5 / RHEL 5 *✓✓✓✓✓✓✓✗✓✓✓
CentOS 6 / RHEL 6 **✓✓✓✓✓✓✓✓✓✓✓
CentOS 7 / RHEL 7✓✓✓✓✓✓✓✓✓✓✓
Fedora（> = 22）✓✓✓✓✓✓✓✓✓✓✓

（*）在这些系统中，Wazuh API不可用。

（**）要在CentOS 6中运行群集，请查看在CentOS 6中 运行群集部分

注意:该集群自Wazuh v3.0起可用，并且在CentOS 5 / RHEL 5上不起作用。

agent

在此表中，您可以查看我们支持的操作系统列表，其中可以安装Wazuh agent

操作系统Wazuh版
3.8.x3.7.x3.6.x3.5.03.4.03.3.13.3.03.2.43.2.33.2.23.2.13.2.03.1.03.0.02.1.x
Debian Wheezy/7 or newer✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
Ubuntu Precise / 12.04或更新版本✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
CentOS 5 / RHEL 5✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
CentOS / RHEL 6或更新版本✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
Fedora 22或更新版本✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
Windows XP 2003或更高版本✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
Windows Server 2008或更高版本✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
Mac OS X.✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓
HP-UX 11.31✓✓✓✓✓✓✗✗✓✓✓✓✓✓✓
Solaris 10 - i386✓✓✓✓✓✓✗✓✓✓✓✓✓✗✓
Solaris 11 - i386✓✓✓✓✓✓✗✓✓✓✓✓✓✗✓
Solaris 10 - Sparc✓✓✓✓✓✓✗✗✓✓✓✓✓✗✓
Solaris 11 - Sparc✓✓✓✓✓✓✗✗✓✓✓✓✓✗✓
AIX 5✓✓✓✓✓✓✗✗✓✓✓✓✓✗✓
AIX 6✓✓✓✓✓✓✗✓✓✓✓✓✓✗✓
AIX 7✓✓✓✓✓✓✗✓✓✓✓✓✓✗✓
Suse 11✓✓✓✓✓✓✓✓✓✓✓✗✗✗✗
Suse 12✓✓✓✓✓✓✓✓✓✓✓✗✗✗✓
Amazon Linux✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓

产品兼容性

当使用Wazuh软件的全栈（这意味着，wazuh-manager，wazuh-agent，wazuh-api和wazuh-app），也有为了不同的兼容性要求，使得正常运行。

manager和agent

当agent具有与管manager相同或更旧的版本时，agent和manager之间的兼容性得到保证。

agent版本manger版本
3.8.03.7.23.7.13.7.03.6.13.6.03.5.03.4.03.3.13.3.03.2.43.2.33.2.23.2.13.2.03.1.03.0.02.1.12.1.0
3.8.0✓✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗
3.7.2✓✓✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗
3.7.1✓✓✓✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗
3.7.0✓✓✓✓✗✗✗✗✗✗✗✗✗✗✗✗✗✗✗
3.6.1✓✓✓✓✓✗✗✗✗✗✗✗✗✗✗✗✗✗✗
3.6.0✓✓✓✓✓✓✗✗✗✗✗✗✗✗✗✗✗✗✗
3.5.0✓✓✓✓✓✓✓✗✗✗✗✗✗✗✗✗✗✗✗
3.4.0✓✓✓✓✓✓✓✓✗✗✗✗✗✗✗✗✗✗✗
3.3.1✓✓✓✓✓✓✓✓✓✗✗✗✗✗✗✗✗✗✗
3.3.0✓✓✓✓✓✓✓✓✓✓✗✗✗✗✗✗✗✗✗
3.2.4✓✓✓✓✓✓✓✓✓✓✓✗✗✗✗✗✗✗✗
3.2.3✓✓✓✓✓✓✓✓✓✓✓✓✗✗✗✗✗✗✗
3.2.2✓✓✓✓✓✓✓✓✓✓✓✓✓✗✗✗✗✗✗
3.2.1✓✓✓✓✓✓✓✓✓✓✓✓✓✓✗✗✗✗✗
3.2.0✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✗✗✗✗
3.1.0✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✗✗✗
3.0.0✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✗✗
2.1.1✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✗
2.1.0✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓✓

注意：Wazuh manager也与OSSEC agent兼容，但请记住，并非所有功能都可用。

manger和API

API需要与major.minor manager相同的版本才能兼容。

API版本Manager 版本
3.8.x3.7.x3.6.x的3.5.x的3.4.x3.3.x3.2.x中3.1.X3.0.x的2.1.x的
3.8.x✓✗✗✗✗✗✗✗✗✗
3.7.x✗✓✗✗✗✗✗✗✗✗
3.6.x的✗✗✓✗✗✗✗✗✗✗
3.5.x的✗✗✗✓✗✗✗✗✗✗
3.4.x✗✗✗✗✓✗✗✗✗✗
3.3.x✗✗✗✗✗✓✗✗✗✗
3.2.x中✗✗✗✗✗✗✓✗✗✗
3.1.X✗✗✗✗✗✗✗✓✗✗
3.0.x的✗✗✗✗✗✗✗✗✓✗
2.1.x的✗✗✗✗✗✗✗✗✗✓

API和Kibana应用程序

Kibana的Wazuh应用程序需要兼容两种不同的产品：

  • 使用Wazuh API，它需要相同的major.minor版本。
  • 使用Elastic Stack，它只与完全相同的版本兼容。

 

App versionElastic Stack versionAPI version
3.8.x3.7.x3.6.x3.5.x3.4.x3.3.x3.2.x3.1.x3.0.x2.1.1
3.8.x6.5.4 to 6.6.0✓✗✗✗✗✗✗✗✗✗
3.7.x6.4.2 to 6.5.4*✗✓✗✗✗✗✗✗✗✗
3.6.x6.3.2 to 6.4.3*✗✗✓✗✗✗✗✗✗✗
3.5.x6.3.2 to 6.4.0*✗✗✗✓✗✗✗✗✗✗
3.4.x6.3.1 to 6.3.2*✗✗✗✗✓✗✗✗✗✗
3.3.x6.2.4 to 6.3.1*✗✗✗✗✗✓✗✗✗✗
3.2.x6.1.0 to 6.2.4*✗✗✗✗✗✗✓✗✗✗
3.1.x6.1.0 to 6.1.3*✗✗✗✗✗✗✗✓✗✗
3.0.x6.0.0 to 6.1.0*✗✗✗✗✗✗✗✗✓✗
2.1.15.6.5✗✗✗✗✗✗✗✗✗✓

 

（*）在这些Wazuh应用程序版本中，Elastic Stack有不同的兼容版本。

您可以在Kibana存储库中找到有关Wazuh应用程序的更多信息，您可以在其中查看Wazuh应用程序和Elastic Stack版本之间更详细的兼容性.

API和Splunk应用程序

Wazuh的Splunk应用程序需要兼容两种不同的产品：

  • 使用Wazuh API，它需要相同的major.minor版本。
  • 使用Splunk，它只与完全相同的版本兼容。
App versionSplunk versionAPI version
3.8.x3.7.x3.6.x3.5.x3.4.x3.3.x3.2.x3.1.x3.0.x2.1.1
3.8.x7.2.3✓✗✗✗✗✗✗✗✗✗
3.7.x7.2.0 to 7.2.1*✗✓✗✗✗✗✗✗✗✗
3.6.x7.1.2 to 7.1.3*✗✗✓✗✗✗✗✗✗✗
3.5.x7.1.2✗✗✗✓✗✗✗✗✗✗
3.4.x7.1.2✗✗✗✗✓✗✗✗✗✗
3.3.x7.1.1✗✗✗✗✗✓✗✗✗✗
3.2.x7.0.3 to 7.1.1*✗✗✗✗✗✗✓✗✗✗

（*）在这些Wazuh应用程序版本中，Splunk有不同的兼容版本。

您可以在Wazuh应用程序存储库中找到更多信息，您可以在其中查看用于Wazuh和Splunk版本的Splunk应用程序之间的更详细的兼容性.

 

注意：（仅用于个人学习）

转载于：https://www.cnblogs.com/backlion/p/10397092.html

如有侵权，请联系我删除

Devour_
关注
专栏目录
wazuh-documentation：Wazuh-项目文档
02-03
Wazuh文档 Wazuh是一个免费的，开源的，可用于企业的安全监视解决方案，用于威胁检测，完整性监视，事件响应和合规性。 该资源库中提供了有关该项目的在线文档。 Wazuh团队的成员和社区用户为它的发展和日常改进做出了贡献。 在线文件 为这个项目做贡献 如果您想对本文档做出贡献，请阅读我们的文件，以了解有关如何部署开发环境和提交请求的更多信息。 您也可以通过发送电子邮件至wazuh+subscribe@googlegroups.com加入我们的，以提出问题并参与讨论。 使用的软件和库 3.5+ 3.0.4 0.9.2 1.1.13 版权和许可 版权所有:copyright:2020 Wazuh，Inc. Wazuh是免费软件； 您可以根据自由软件基金会发布的GNU通用公共许可证的条款重新分发和/或修改它； 许可的版本2，或（由您选择）任何更高的版本。
kibana
weixin_40719395的博客
11-19 191
下载链接 https://www.elastic.co/jp/downloads/kibana 启动即可 ./bin/kibana 后台： nohup ../bin/kibana & 查看 netstat -anltp|grep 5601 linux搭建kibana环境后，远程访问，被拒绝 解决办法： 1. 检查端口是否开放； 2. 修改config下面的配置文件， 因为Kib...
Wazuh的安装和基本使用
最新发布
zhuge_long的专栏
09-11 1347
Wazuh是HIDS。
初识wazuh
小白
08-20 356
Wazuh是一个开源的、用于安全事件检测、日志管理和合规性的安全监控解决方案。它提供了实时分析、告警和完整的日志收集，帮助组织检测和应对网络攻击、恶意行为和安全事件。Wazuh可以集成到现有的安全设备和日志源，提供强大的安全分析和可视化工具，有助于组织加强网络安全防御和合规性管理。
Wazuh和Nmap集成扫描内网中开放端口和服务
xnxqwzy的博客
08-05 150
本篇文章将介绍利用Wazuh和Nmap集成，扫描内网中开放端口和服务。此处我们将使用nmap/)**来扫描不同子网的开放端口/服务。Nmap扫描器需要安装在不同网段的不同Wazuh agent上，其输出被转换为JSON，并添加到每个agent的中。然后扫描通过cron安排作业，每周、每月等执行一次，这里也可以通过Wazuh的集成来触发。赶KPI 写得有点仓促，敬请见谅，如果有疑问可以私信我哈～漏洞悬赏计划：涂鸦智能安全响应中心（https://src.tuya.com）欢迎白帽子来探索。
开源工具利器之基于主机的IDS：Wazuh
黑白的博客
04-19 6665
服务器端安装了wazuh的服务后，服务自动就会采集本台服务器上的信息，服务器上不需要再装agent默认目录为active-response：响应的脚本agentless：无代理安装，即用户名密码etc：配置，ossec.conf核心配置文件ruleset：自带规则库，建议不改log：日志，预警核心以下两个目录记录了何时、触发了哪些规则/var/ossec/logs/alerts/alerts.json：json格式的预警信息，用于分析展示，这不就是给elk用于展示的嘛。
WAZUH-OSSEC：WAZUH-开源安全平台安装
02-03
**WAZUH-OSSEC 开源安全平台安装详解** WAZUH-OSSEC 是一个强大的开源安全监控系统，它提供了实时的入侵检测、主机完整性检查和日志聚合功能。该平台支持多种操作系统，包括 CentOS8，在企业环境中广泛用于提升网络...
wazuh-api：Wazuh-RESTful API
02-04
Wazuh API功能： 代理商管理经理概述根检查控制和搜索安全配置评估（SCA） Syscheck控制和搜索规则集信息统计信息HTTPS和用户身份验证错误处理文献资料如何安装索取参考完整文件分行stable分支对应于最新的Wazuh A
wazuh-ansible：Wazuh-Ansible剧本
01-31
Wazuh-Ansible 这些手册会安装和配置Wazuh代理，管理器和Elastic Stack。分行master分支对应于最新的Wazuh Ansible更改。 它可能不稳定。 3.13分支对应于最后的Wazuh Ansible稳定版本。相容性矩阵Wazuh版本有弹性...
Ansible-wazuh-ansible.zip
09-18
在这个项目中，可能有预定义的“wazuh-agent”和“wazuh-manager”角色，分别负责Wazuh Agent和Manager的安装和配置。 3. **inventory**：这是一个包含所有目标主机信息的文件，例如主机名、IP地址、所属的组等。...
wazuh-ruleset：Wazuh-规则集
02-03
1. **Agent**: 安装在被监控系统上的轻量级代理，负责收集系统事件、文件完整性检查、网络流量分析等，并将这些信息发送到Wazuh服务器。 2. **Server**: 接收并处理来自代理的数据，执行规则引擎进行分析，提供报警...
wazuh manager 对 agent 分组管理
土肆的笔记本
08-23 357
agent端需要启用 在/var/ossec/etc/local_internal_options.conf添加wazuh_command.remote_commands=1 manager端分组 ref 新建分组，如debian: /var/ossec/bin/agent_groups -a -g debian 将id为002的agent添加到debian组: /var/ossec/bin/agent_groups -a -i 002 -g debian 查询id为002的agent所属的组: ..
Wazuh部署之单节点部署
Dawn_Zi的博客
08-31 1151
Linux部署单节点Wazuh详细步骤及踩坑记录
wazuh
Devotedakura的博客
08-20 837
Wazuh 是一个免费、开源和企业级的安全监控解决方案，用于威胁检测、完整性监控、事件响应和合规性。Wazuh由部署到受监视系统的端点安全代理和管理服务器组成，管理服务器收集和分析代理收集的数据。此外，Wazuh已与Elastic Stack完全集成，提供了搜索引擎和数据可视化工具，使用户可以浏览其安全警报。Wazuh提供的功能包括日志数据分析，入侵和恶意软件检测，文件完整性监视，配置评估，漏洞检测以及对法规遵从性的支持。对于日志来说，最常见的需求就是收集、存储、查询、展示，
wazuh官方安装指南（中文译版本）
weixin_30443895的博客
02-18 2728
安装Wazuh服务器 Wazuh服务器可以安装在任何类型的Unix操作系统上。最常见安装在Linux上。如果可以为您的系统提供自动化脚本，则安装过程会更容易，但是，从源码构建和安装也非常简单。 通常在Wazuh服务器上安装两个组件：管理器和API。此外，对于分布式体系结构（Wazuh服务器将数据发送到远程Elastic Stack集群），需要安装Filebeat。 安装Wazuh服务器...
Wazuh从入门到上线
热门推荐
ordersyhack
02-02 1万+
Wazuh从入门到上线
Wazuh功能梳理
土肆的笔记本
07-28 3026
wazuh agent 官方文档 日志收集（Log Collector） 命令执行（Command execution） 文件完整性监控（File integrity monitoring， FIM） 安全配置评估 (Security configuration assessment，SCA)
wazuh安装配置及学习笔记
weixin_54704770的博客
08-23 2953
Wazuh是一个用于威胁预防、检测和响应的开源平台，它能够跨场所、虚拟化、容器化和基于云的环境保护工作负载；使用场景广泛包括但不局限于：入侵检测、日志数据分析、完整性检查、漏洞检测、配置评估、事故应变、合规、云安全、容器安全等；解决方案包括一个部署到被监控系统的终端安全代理和一个收集和分析代理收集的数据的管理服务器。此外，Wazuh 已经与 Elastic Stack 完全集成，提供了一个搜索引擎和数据可视化工具，允许用户通过他们的安全警报进行导航。
wazuh介绍
q1415500189的博客
08-18 1582
wazuh搭建
--> Finished Dependency Resolution Error: wazuh-manager conflicts with wazuh-agent-4.3.11-1.i386 Error: wazuh-agent conflicts with wazuh-manager-4.4.3-1.x86_64 You could try using --skip-broken to work around the problem You could try running: rpm -Va --nofiles --nodigest怎么办
06-09
这个错误提示表明wazuh-manager和wazuh-agent之间存在冲突，导致无法安装。建议你尝试使用--skip-broken选项来绕过这个问题，或者运行rpm -Va --nofiles --nodigest命令来修复已损坏的包。如果问题仍然存在，你可以尝试卸载已安装的软件包，然后重新安装wazuh-manager和wazuh-agent，确保它们兼容。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值