主机入侵检测系统wazuh3.13单机部署

最新推荐文章于 2024-08-16 13:49:45 发布
最新推荐文章于 2024-08-16 13:49:45 发布
阅读量1k 收藏 5
点赞数
文章标签： linux elasticsearch centos 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cheney_my/article/details/110992139
版权

Wazuh涉及两个主要组件的安装：Wazuh服务器和Elastic Stack。此外，Wazuh agent需要部署到受监视的主机上：

  • Wazuh server：运行Wazuh管理器和API。它从已部署的代理收集和分析数据。
  • Elastic Stack：运行Elasticsearch引擎，Filebeat和Kibana（包括Wazuh应用程序）。它读取，解析，索引和存储由Wazuh管理器生成的警报数据。
  • Wazuh agent：在受监视的主机上运行，收集系统日志和配置数据，并检测入侵和异常。它与Wazuh经理进行交谈，将收集到的数据转发给Wazuh server以进行进一步分析。

添加Wazuh存储库
要设置存储库，请运行以下命令：

# rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
# cat > /etc/yum.repos.d/wazuh.repo <<\EOF
[wazuh_repo]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=Wazuh repository
baseurl=https://packages.wazuh.com/3.x/yum/
protect=1
EOF

安装Wazuh管理器
#yum install wazuh-manager
启动服务
#systemctl start wazuh-manager
该过程完成后，您可以使用以下方法检查服务状态：
#systemctl status wazuh-manager

安装Wazuh API

  1. 为了运行Wazuh API，需要NodeJS> = 4.6.1。如果您没有安装NodeJS或您的版本低于4.6.1，我们建议您添加如下所示的官方NodeJS存储库：
    #curl --silent --location https://rpm.nodesource.com/setup_10.x | bash -
    然后，安装NodeJS：
    #yum install nodejs
  2. 安装Wazuh API。如果需要，它将更新NodeJS：
    #yum install wazuh-api
  3. 该过程完成后，您可以使用以下方法检查服务状态：
  • 对于Systemd：
    #systemctl status wazuh-api

安装Filebeat
Filebeat是Wazuh服务器上的工具，可将警报和存档事件安全地转发到Elasticsearch。要安装它：

  1. 添加弹性存储库及其GPG密钥：
# rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch
# cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-7.x]
name=Elasticsearch repository for 7.x packages
baseurl=https://artifacts.elastic.co/packages/7.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

  1. 安装Filebeat：
    #yum install filebeat-7.9.2

  2. 从Wazuh存储库下载Filebeat配置文件。这是预先配置的，用于将Wazuh警报转发到Elasticsearch：
    #curl -so /etc/filebeat/filebeat.yml https://raw.githubusercontent.com/wazuh/wazuh/v3.13.2/extensions/filebeat/7.x/filebeat.yml
    #chmod go+r /etc/filebeat/filebeat.yml

  3. 下载Elasticsearch的警报模板：
    #curl -so /etc/filebeat/wazuh-template.json https://raw.githubusercontent.com/wazuh/wazuh/v3.13.2/extensions/elasticsearch/7.x/wazuh-template.json
    #chmod go+r /etc/filebeat/wazuh-template.json

  4. 下载用于Filebeat的Wazuh模块：
    #curl -s https://packages.wazuh.com/3.x/filebeat/wazuh-filebeat-0.1.tar.gz | sudo tar -xvz -C /usr/share/filebeat/module

  5. 编辑文件，/etc/filebeat/filebeat.yml并用YOUR_ELASTIC_SERVER_IPElasticsearch服务器的IP地址或主机名替换。例如：
    output.elasticsearch.hosts: [‘http://YOUR_ELASTIC_SERVER_IP:9200’]

  6. 启用并启动Filebeat服务：

  • 对于Systemd：
    #systemctl daemon-reload
    #systemctl enable filebeat.service
    #systemctl start filebeat.service

安装Elasticsearch
使用RPM软件包安装Elastic Stack

  1. 添加弹性存储库及其GPG密钥：
# rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
# cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-7.x]
name=Elasticsearch repository for 7.x packages
baseurl=https://artifacts.elastic.co/packages/7.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

Elasticsearch是一个高度可扩展的全文本搜索和分析引擎。

  1. 安装Elasticsearch软件包：
    #yum install elasticsearch-7.9.2

  2. 默认情况下，Elasticsearch将仅侦听回送接口（本地主机）。通过编辑文件/etc/elasticsearch/elasticsearch.yml并取消注释设置，将Elasticsearch配置为侦听非回送地址network.host。将该值更改为要绑定到的IP：
    network.host: <elasticsearch_ip>

  3. 更改network.host选项后，需要进一步配置。在文件中添加或编辑（如果有注释）以下几行/etc/elasticsearch/elasticsearch.yml：
    node.name: <node_name>
    cluster.initial_master_nodes: ["<node_name>"]

  4. 启用并启动Elasticsearch服务：

  5. 对于Systemd：
    #systemctl daemon-reload
    #systemctl enable elasticsearch.service
    #systemctl start elasticsearch.service

5.Elasticsearch启动并运行后，建议加载Filebeat模板。在安装Filebeat的位置运行以下命令：
#filebeat setup --index-management -E setup.template.json.enabled=false

Elasticsearch服务在默认端口9200上进行侦听。您可以通过以下请求进行简单检查：
curl http://<elasticsearch_ip>:9200

安装kibana
Kibana是一个灵活直观的Web界面，用于挖掘和可视化Elasticsearch中存储的事件和档案。
1.安装Kibana软件包：
#yum install kibana-7.9.2

  1. 更新optimize和plugins目录权限：
    #chown -R kibana:kibana /usr/share/kibana/optimize
    #chown -R kibana:kibana /usr/share/kibana/plugins

  2. 安装适用于Kibana的Wazuh应用程序插件：

    • 从URL安装：
      #cd /usr/share/kibana/
      #sudo -u kibana bin/kibana-plugin install https://packages.wazuh.com/wazuhapp/wazuhapp-3.13.2_7.9.2.zip

默认情况下，Kibana将仅在回送接口（localhost）上侦听，这意味着只能从同一台计算机上对其进行访问。要从外部访问Kibana，请通过编辑文件使其/etc/kibana/kibana.yml取消监听其网络接口IP ，取消注释设置server.host，并将其值更改为：
server.host: “<kibana_ip>”

  1. 通过编辑文件来设置Elasticsearch节点的URL或IP /etc/kibana/kibana.yml：
    elasticsearch.hosts: [“http://<elasticsearch_ip>:9200”]

  2. 对于在Kibana 7.6.X版本上的安装，建议增加Kibana的堆大小以确保安装Kibana的插件：
    #cat >> /etc/default/kibana << EOF
    NODE_OPTIONS="–max_old_space_size=2048"
    EOF

  3. 启用并启动Kibana服务：

  4. 对于Systemd：
    #systemctl daemon-reload
    #systemctl enable kibana.service
    #systemctl start kibana.service

在这里插入图片描述
安装x-pack

Elastic Stack安全功能为正确的人员提供了正确的访问权限。IT，运营和应用程序团队依靠它们来管理目标用户，并阻止恶意行为者，而高管和客户则可以轻松地知道存储在Elastic Stack中的数据是安全的。
配置弹性堆栈以使用加密的连接
1、创建文件/usr/share/elasticsearch/instances.yml，并用您要保护的实例填充它。

#vim /usr/share/elasticsearch/instances.yml
instances:
    - name: "wazuh-manager"
      ip:
        - "192.168.2.40"
    - name: "elasticsearch"
      ip:
        - "192.168.2.40"
    - name: "kibana"
      ip:
        - "192.168.2.40"

2、使用elasticsearch-certutil工具创建证书。该–keep-ca-key修改可能为了保住CA的证书和密钥文件，在未来的扩展这些文件可以被用来签署新的服务器证书的情况下使用。如果不使用此修饰符，则这些文件将被删除，以后的任何证书都将需要一个新的CA，因此，先前的证书将不再有效，需要重新分发。ca.key正确保护文件非常重要。

#/usr/share/elasticsearch/bin/elasticsearch-certutil cert --pem --in instances.yml --out certs.zip --keep-ca-key

3、/usr/share/elasticsearch/certs.zip从上一步中提取生成的文件。您可以使用unzip：
#yum install -y unzip
#unzip /usr/share/elasticsearch/certs.zip -d /usr/share/elasticsearch/

配置Elasticsearch实例
1、创建目录/etc/elasticsearch/certs，然后在其中复制证书颁发机构，证书和密钥。
#cd /usr/share/elasticsearch
#mkdir /etc/elasticsearch/certs/ca -p
#cp ca/ca.crt /etc/elasticsearch/certs/ca
#cp elasticsearch/elasticsearch.crt /etc/elasticsearch/certs
#cp elasticsearch/elasticsearch.key /etc/elasticsearch/certs
#chown -R elasticsearch: /etc/elasticsearch/certs
#chmod -R 770 /etc/elasticsearch/certs

2、在中为传输层和HTTP层添加正确的设置/etc/elasticsearch/elasticsearch.yml。
#vim /etc/elasticsearch/elasticsearch.yml
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.key: /etc/elasticsearch/certs/elasticsearch.key
xpack.security.transport.ssl.certificate: /etc/elasticsearch/certs/elasticsearch.crt
xpack.security.transport.ssl.certificate_authorities: [ “/etc/elasticsearch/certs/ca/ca.crt” ]

xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.verification_mode: certificate
xpack.security.http.ssl.key: /etc/elasticsearch/certs/elasticsearch.key
xpack.security.http.ssl.certificate: /etc/elasticsearch/certs/elasticsearch.crt
xpack.security.http.ssl.certificate_authorities: [ “/etc/elasticsearch/certs/ca/ca.crt” ]

3、重新启动服务：
#systemctl restart elasticsearch

配置Filebeat实例（Wazuh管理器实例）
1、创建目录/etc/filebeat/certs，然后在其中复制证书颁发机构，证书和密钥。
#cd /usr/share/elasticsearch
#mkdir /etc/filebeat/certs/ca -p
#cp ca/ca.crt /etc/filebeat/certs/ca
#cp wazuh-manager/wazuh-manager.crt /etc/filebeat/certs
#cp wazuh-manager/wazuh-manager.key /etc/filebeat/certs
#chmod 770 -R /etc/filebeat/certs

2、在中添加正确的设置/etc/filebeat/filebeat.yml。
#vim /etc/filebeat/filebeat.yml
output.elasticsearch.hosts: [‘192.168.2.40:9200’]
output.elasticsearch.protocol: https
output.elasticsearch.ssl.certificate: “/etc/filebeat/certs/wazuh-manager.crt”
output.elasticsearch.ssl.key: “/etc/filebeat/certs/wazuh-manager.key”
output.elasticsearch.ssl.certificate_authorities: ["/etc/filebeat/certs/ca/ca.crt"]

您可以使用来测试Filebeat输出。filebeat test output
在这里插入图片描述

3、重新启动服务：
#systemctl restart filebeat

配置Kibana实例
1、创建目录/etc/kibana/certs，然后在其中复制证书颁发机构，证书和密钥。
#cd /usr/share/elasticsearch
#mkdir /etc/kibana/certs/ca -p
#cp ca/ca.crt /etc/kibana/certs/ca
#cp kibana/kibana.crt /etc/kibana/certs
#cp kibana/kibana.key /etc/kibana/certs
#chown -R kibana: /etc/kibana/certs
#chmod -R 770 /etc/kibana/certs

2、在中添加正确的设置/etc/kibana/kibana.yml。
#vim /etc/kibana/kibana.yml //把原先的elasticsearch.hosts注销掉
elasticsearch.hosts: [“https://192.168.2.40:9200”]
elasticsearch.ssl.certificateAuthorities: ["/etc/kibana/certs/ca/ca.crt"]
elasticsearch.ssl.certificate: “/etc/kibana/certs/kibana.crt”
elasticsearch.ssl.key: “/etc/kibana/certs/kibana.key”

server.ssl.enabled: true
server.ssl.certificate: “/etc/kibana/certs/kibana.crt”
server.ssl.key: “/etc/kibana/certs/kibana.key”

3、重启服务
#systemctl restart kibana

为Elasticsearch添加身份验证
1、将下一行添加到中/etc/elasticsearch/elasticsearch.yml。
#vim /etc/elasticsearch/elasticsearch.yml
xpack.security.enabled: true

2、重新启动Elasticsearch并等待服务准备就绪。
#systemctl restart elasticsearch

3、为所有Elastic Stack预置角色和用户生成凭证。
#/usr/share/elasticsearch/bin/elasticsearch-setup-passwords auto

4、至少记下elastic用户的密码。

5、设置Filebeat的凭据。将后两行添加到中/etc/filebeat/filebeat.yml。
#vim /etc/filebeat/filebeat.yml
output.elasticsearch.username: “elastic”
output.elasticsearch.password: “password_generated_for_elastic”

6、重新启动Filebeat。
#systemctl restart filebeat

7、设置Kibana的凭据。将下一行添加到中/etc/kibana/kibana.yml。
#vim /etc/kibana/kibana.yml
xpack.security.enabled: true
elasticsearch.username: “elastic”
elasticsearch.password: “password_generated_for_elastic”

8、重新启动Kibana。
#systemctl restart kibana

您现在可以登录到Kibana Web界面，并使用弹性用户凭证登录：
在这里插入图片描述

Cheney_My
关注
wazuh安装、Rootkit原理解析与检测实践
m0_69435261的博客
08-20 678
Wazuh 是一个免费的开源安全平台，统一了 XDR 和 SIEM 功能。它可以保护本地、虚拟化、容器化和基于云的环境中的工作负载。Wazuh 帮助组织和个人保护其数据资产免受安全威胁。它被全球数千个组织广泛使用，从小型企业到大型企业。Wazuh的使用场景有：入侵检测日志数据分析完整性检查漏洞检测配置评估应急响应云、容器安全等。
仓库管理系统 百惠仓库管理系统 v3.13
11-11
百惠仓库管理系统是一款专为中小企业设计的高效、实用的库存管理解决方案，版本v3.13代表了该软件的最新优化和改进。该系统的核心功能是围绕库存管理展开的，旨在帮助企业实现库存的精确控制，优化供应链流程，提高...
开源EDR(Wazuh) 安装与部署
sun007700的专栏
04-30 1939
开源EDR(Wazuh) 安装与部署 - 知乎 火眼 edr
Wazuh：最受欢迎的开源HIDS系统在甲方安全建设中的应用(文末送书)
最新发布
面向感觉挖洞，背向对象编程。欢迎关注VX公众号：EureKa安全团队
08-16 2674
Wazuh，作为一款顶级的开源主机入侵检测系统（HIDS），在甲方安全建设中扮演着至关重要的角色。本文为大家提供一个全面的Wazuh安装和使用指南，帮助在企业安全建设中利用这一强大的安全工具来增强网络安全防护。因为提供了详细的步骤，所以篇幅可能会有点长。
Wazuh部署之部署
ordersyhack
02-02 6048
Wazuh部署
wazuh安装
thinker
09-28 1232
终端 终端系统：win10 agent：wazuh-agent-4.2.2-1https://packages.wazuh.com/4.x/windows/wazuh-agent-4.2.2-1.msi 服务器 安装方式：单步安装Step-by-step installation - All-in-one deployment echo "install necessary packages" yum install curl unzip wget libcap -y rpm --import .
wazuh部署
undefineing的博客
08-19 481
var/ossec/logs/alerts/alerts.json：json格式的预警信息，用于分析展示，这不就是给elk用于展示的嘛。active-response 是主动响应，里面设定主要拦截、限制策略，检测到危险就禁止。/var/ossec/logs/alerts/alerts.log：适用于直接查看。如/var/ossec/ruleset/rules下的规则就有匹配。网站访问wazuh初始账号密码为admin:admin。主要配置文件在/var/ossec目录下。接着用xshell连接。
AK8120-860R系列话务管理系统V3.13.zip
03-02
AK8120-860R系列话务管理系统V3.13 AK8120集团电话用户手册4.0 找了很多只有电脑端软件但是用户手册都不全，终于找到个完整版的了，分享给大家看看！ ps：我就是看了用户手册自己改了公司的分机号的，还是挺...
AF1296系列话务管理系统V3.13.zip
06-06
AF1296系列话务管理系统V3.13是一款专为数字芯王牌电话交换机af1296设计的管理软件，它在信息技术和通信领域中扮演着至关重要的角色。这款系统主要用于协助管理和优化电话交换机的工作流程，提供高效且稳定的电话...
AK8120-860R系列话务管理系统V3.13
11-05
在安全性方面，AK8120-860R系列话务管理系统V3.13具有完善的安全机制，能够有效防止非法入侵和恶意攻击，保护用户数据的隐私和安全。同时，系统的高可用性和稳定性设计，使得即使在高负荷运行下也能保持正常服务，...
wazuh 4.7.2部署
weixin_44151123的博客
02-29 952
wazuh最新版本部署,包括agent与邮件告警的配置
wazuh安装与使用
weixin_53434577的博客
08-23 975
下载：https://wazuh.com可以直接安装Linux这个，然后导入到Linux中就可以使用了。导入完毕后开启，使用远程连接工具进行连接，出现以下画面则成功了。之后可以看一下图形化界面，使用IP地址进行登录。账号和密码均为admin登录后所示页面。到此wazuh安装完毕，就可以使用wazuh了。
Wazuh安装&功能测试——一篇到底
网安小白的博客
04-21 2864
Wazuh的下载安装&功能测试，一篇就够了~
Wazuh安装及使用
qq_39744805的博客
08-19 582
官方网址可以选择Elastic Stack安装，也可以选择下载虚拟机（OVA）安装这里展示虚拟机安装下载好文档中提供的文件虚拟机配置要求在VM左上角 文件->打开->刚刚下载的.ova文件，导入即可默认wazuh-user密码wazuh用sudo -i 提升权限将网络改为桥接模式重启网卡用远程工具连接即可进入后台访问输入默认账号密码admin/admin进入监控在/var/ossec/logs/alerts下的alerts.log记录。
开源XDR-SIEM一体化平台 Wazuh (2)安装
Monster✺◟(∗❛ัᴗ❛ั∗)◞✺的博客
07-23 1064
安装 Wazuh indexer 可以根据具体需求和环境选择多种方法。可以通过脚本安装，也可以通过yum/apt等安装工具进行安装，详细安装方式可以参考官方文档。即除了上述的安装方式外，还可以通过集成式的镜像进行运行。可以通过官方提供的OVA、docker镜像、或者其他平台的具体镜像来安装使用使用，本篇文章主要介绍的是OVA安装方式。
WAZUH的安装、设置代理
qq_68163788的博客
12-31 1589
Wazuh是一个开源的安全信息和事件管理（SIEM）平台，旨在提供全面的安全监控和威胁检测解决方案。它结合了实时分析、日志数据聚合、规则引擎和响应功能，可以帮助组织识别和应对各种安全威胁。Wazuh的主要功能包括实时日志分析、恶意软件检测、文件完整性监控、安全事件响应和合规性检查。它还提供了预定义的安全规则、报警和通知功能，可以帮助安全团队快速识别和应对潜在的安全威胁。 Wazuh的架构设计为可扩展和灵活，可以适应各种规模和复杂度的环境。它支持多种操作系统和云平台，可以轻松集成到现有的安全基础设施中。
wazuh安装配置及学习笔记
weixin_54704770的博客
08-23 2673
Wazuh是一个用于威胁预防、检测和响应的开源平台，它能够跨场所、虚拟化、容器化和基于云的环境保护工作负载；使用场景广泛包括但不局限于：入侵检测、日志数据分析、完整性检查、漏洞检测、配置评估、事故应变、合规、云安全、容器安全等；解决方案包括一个部署到被监控系统的终端安全代理和一个收集和分析代理收集的数据的管理服务器。此外，Wazuh 已经与 Elastic Stack 完全集成，提供了一个搜索引擎和数据可视化工具，允许用户通过他们的安全警报进行导航。
wazuh all in one 一步步部署
x10n9的博客
08-30 1216
默认情况下会安装Elasticsearch性能分析器插件，可能会对系统资源产生负面影响。我们建议使用以下命令删除它:/usr/share/elasticsearch/bin/elasticsearch-plugin remove opendistro-performance-analyzer。用户配置文件在：/usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml。..............
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值