wazuh中的规则编写以及日志分析

最新推荐文章于 2024-09-14 11:14:41 发布
最新推荐文章于 2024-09-14 11:14:41 发布
阅读量1.4k 收藏 3
点赞数
文章标签： 正则表达式
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qalx9/article/details/132455522
版权

目录

什么是wazuh

Wazuh是一个免费、开源和企业级的安全监控解决方案，用于威胁检测、完整性监控、事件响应和合规、也就是一套开源的完善的edr。
Wazuh是一个安全检测、可视化和安全合规开源项目。它最初是OSSEC HIDS的一个分支，后来与Elastic Stack和OpenSCAP集成在一起，发展成为一个更全面的解决方案。

Wazuh的功能有：
入侵检测
日志数据分析
完整性检查
漏洞检测
配置评估
应急响应
云、容器安全等。

如何搭建wazuh

1.首先你需要下载VMware软件
2.在github上找到在不同系统的虚拟机下的安装方法（寻找一个适合你自己的系统方式）
3.在github开源网站上下载一个OVA镜像
官方文档：
https://documentation.wazuh.com/current/index.html

实验环境

wazuh的规则

wazuh的规则，在我们wazuh-server的/var/ossec/rulerset/rules这个路径下
在这里插入图片描述
可以清楚的看到有这么多跳规则。
而用户的自定义规则是在/var/ossec/etc/rules目录下。
为什么不把用户自定义的规则放在wazuh的规则目录下，而是放在单独的自定义规则目录下呢？

这是因为wazuh的规则是在实时更新的，如果用户自定义的规则放在wazuh的规则目录下，有可能在更新的时候删除掉用户自定义的规则。
在这里插入图片描述
这是其中一条规则。
ruleid是65260，风险等级为0级。解码器为f5-bigip，description则为它的描述。
其他规则就自行查找，查找自己想要了解的规则。
解码器
说到规则，我们就要了解到解码器，它是十分重要的，以上图片我们已经了解到了解码器是什么东西。

Wazuh中的解码器就是从特定类型的事件中提取相关数据。解码分为预解码阶段和解码阶段。

预解码阶段：从已知字段(如syslog记录头中的字段)提取静态信息。这通常包括时间戳、主机名和程序名，这些值通常在所有syslog消息中都能找到，而不管哪个应用程序生成它们。
解码阶段：将从事件中提取更多的动态信息，如源IP地址、用户名、URL等等。一个或多个解码器专门用于从许多不同的应用程序和日志源中提取字段数据。

我自己的一个理解的它的工作过程：在规则触发后，我们可以看到wazuh给我们报警的实时信息而产生的日志。而解码器呢，通过这个产生的日志，根据解码器自身所编写的规则，将这个日志进行匹配，匹配一些解码器自己想要的字段，然后在将这些字段放到解码器所对应的规则上，在这个规则的一些正则表达式的匹配或者过滤下，进行产生动作，进行拦截或者进行报警。

简单来说，解码器能够从日志中提取一些关键信息，比如时间，主机ip，用户名，端口号等等

然后发送给规则，规则再进行匹配，生成告警，最后发送到可视化界面。

解码器在/var/ossec/ruleset/decoders目录下

配置代理

我这里是直接下载的一个OVA镜像，然后用软件打开就好了。

顺序：
左上角—>文件—>打开—>选择下载好的OVA文件
在这里插入图片描述
这样就装完成一台wazuh服务器了。

光有一台wazuh肯定是不够了，这样就不能体现出它强大的功能了。
我这里使用的centos7的代理。
在这里插入图片描述
填写wazuh service address就是你wazuh-server的ip地址
在这里插入图片描述
我这里是10.0.0.100。
然后直接copy下来安装路径，在centos7代理机下直接安装。
在这里插入图片描述
显示安装成功。
接着
按照给定你的步骤进行重启服务。

sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

在wazuh-server的服务机上，查看是否有这个代理。
在这里插入图片描述
可以看到是已经有的。

注:客户端的目录在/var/ossec/下。

在这里插入图片描述
可以很清楚的看到已经产生了一台代理。

wazuh中的配置了解

<global>
    <jsonout_output>yes</jsonout_output>
    
    预警记录
    <alerts_log>yes</alerts_log>
    
    不记录所有
    <logall>no</logall>
    不记录所有的json格式
    <logall_json>no</logall_json>
    邮件相关配置
    <email_notification>no</email_notification>
    <smtp_server>smtp.example.wazuh.com</smtp_server>
    <email_from>wazuh@example.wazuh.com</email_from>
    <email_to>recipient@example.wazuh.com</email_to>
    <email_maxperhour>12</email_maxperhour>
    <email_log_source>alerts.log</email_log_source>
    
    代理100分钟离线
    <agents_disconnection_time>100m</agents_disconnection_time>
    代理告警时间为实时
    <agents_disconnection_alert_time>0</agents_disconnection_alert_time>
  </global>

 <alerts>
  只要预警>=3级及以上就会记录到alert.log中
    <log_alert_level>3</log_alert_level>
    只要>=12级就会发邮件
    <email_alert_level>12</email_alert_level>
  </alerts>

 <remote>
    <connection>secure</connection>
    <port>1514</port>
    <protocol>tcp</protocol>
    <queue_size>131072</queue_size>
  </remote>

上述是客户端连接的端口。

监控root相关
  <!-- Policy monitoring -->
  <rootcheck>
  关闭为no，说明开启了
    <disabled>no</disabled>
    <check_files>yes</check_files>
    <check_trojans>yes</check_trojans>
    <check_dev>yes</check_dev>
    <check_sys>yes</check_sys>
    <check_pids>yes</check_pids>
    <check_ports>yes</check_ports>
    <check_if>yes</check_if>

    <!-- Frequency that rootcheck is executed - every 12 hours -->
    每12小时执行一次
    <frequency>43200</frequency>

监控rootkit（维持root权限的后门）
    <rootkit_files>etc/rootcheck/rootkit_files.txt</rootkit_files>
    <rootkit_trojans>etc/rootcheck/rootkit_trojans.txt</rootkit_trojans>

    <skip_nfs>yes</skip_nfs>
  </rootcheck>

可以看到有很多基线检查，比如

debian_linux操作系统的基线检查、MySQL的基线检查

rhel_linux操作系统的基线检查、Windows2012R2操作系统的基线检查等

wazuh可以检测了很多后门或者蠕虫可能存在的文件位置，基本上涵盖了百分之90的后门

ssh的暴力破解

我们使用kali进行暴力破解
在这里插入图片描述
查看wazuh的报警信息。
在这里插入图片描述
可以看到有报警日志，风险等级为5，规则的id是5710。

用户自定义规则

除了在wazuh服务器上自带的规则外，我们还可以自己编写一些我们自己想要进行防御的规则。

在wazuh的官方文档，我们可以进行清楚的了解如何编写我们想要的规则。

https://wazuh.com/blog/detecting-common-linux-persistence-techniques-with-wazuh/

SQL注入的检测

在你的代理机centos上装上apache服务器。
在这里插入图片描述
在这里插入图片描述
然后我测试，写一些注入语句。
在这里插入图片描述
我们可以看到wazuh-server出现了报警信息。
在这里插入图片描述
已经出现了告警，显示尝试SQL注入

我们怎么去防御呢？wazuh有它自身的Active-response。

wazuh有两种封堵方式：

根据告警等级来封堵，比如说当告警等级大于7时，自动进行封堵，但这也容易造成误判，范围太大
根据规则ID来封堵，当触发了某条规则时，自动进行封堵，但这范围太小，面对多条规则不便于写配置文件。

在wazuh服务器，也就是manager的配置文件里写入如下内容

当触发31103和31171这两条规则时，执行firewall-drop命令。

<active-response>
    <command>firewall-drop</command>
    <location>local</location>
    <rules_id>31103,31171</rules_id>
    <timeout>600</timeout>
</active-response>

然后我们同样进行测试。
可以发现这次进行SQL注入时直接就被进行了拦截了。
在这里插入图片描述

qalx9
关注
hids wazuh 系列3-内网扫描规则
煜铭2011
01-18 1397
传统的入侵检测，主要分为网络入侵检测系统和主机入侵检测系统，分别作用于网络层面和主机（服务器、办公电脑等终端）。随着技术发展，出现了结合传统入侵检测系统和新技术（如数据分析、威胁情报、自动化操作、主动响应等）的新产品，这类新产品可能的名称是XDR、EDR、EPP等。Wazuh 是 以OSSEC作为引擎的基于主机的入侵检测系统，用于主机端点和云工作负载的统一XDR和SIEM保护。
ELK+Wazuh搭建笔记
chensheng9055的博客
04-02 2136
本文借鉴https://www.cnblogs.com/backlion/p/10394369.html，在此谢谢大佬指明方向！！ 本人又总结了wazuh界面上opencat，Vulnerabilities的后台配置情况，以及agent版本升级情况， 系统为：Centos7 建议搭...
wazuh日志审计--定制规则
Devour_的博客
10-21 2941
日志审计--定制规则 目录布局 规则集文件夹结构如下所示: 在接收到agent传来的日志后，manager会根据/var/ossec/ruleset/decoders里面的各种规则对日志进行处理，提取到了指定字段的值之后再根据/var/ossec/ruleset/rules里面的各种规则进行匹配，告警日志输出到/var/ossec/logs/alerts/alerts.json，logstash再将其解析后传输到elasticsearch上面。 更新规则集 每周运行update_ruleset
wazuh-ruleset：Wazuh-规则集
02-03
瓦祖规则集 该存储库处于只读模式，不再使用。 现在，所有与Wazuh规则集相关的内容都位于 。
【主机入侵检测】Wazuh规则详解
最新发布
不断学习，不断进步。
09-14 1418
Wazuh 规则是一组用XML格式编写的条件，它们定义了应该如何解释日志数据。这些规则由Wazuh Manager使用，用于在日志消息中检测特定的模式或行为，并相应地生成警报或响应。它们在威胁检测中扮演着至关重要的角色，因为它们允许系统根据预定义的标准识别潜在的安全事件。
Wazuh自定义规则
gehongzhou的专栏
11-18 2370
Wazuh会产生很多不必要的报警信息，通过Wazuh-manager端的/var/ossec/etc/rules/local_rules.xml可以增加一些规则来改变默认规则的行为，从而过滤不希望看到的告警。 <!-- Local rules --> <!-- Modify it at your will. --> <!-- Copyright (C) 2015-...
Wazuh关联分析规则高级玩法
orright的专栏
10-21 1660
# 前言 上面两篇讲到Wazuh安装部署和数据接入和解码，解决了EDR的基建问题，接下来就来讲解Wazuh的规则玩法，之前就提到过 Wazuh是ossec的分支，那为啥非要用分支不用原生呢？其实问题就在于Wazuh对ossec的规则引擎进行改良和扩展，使得规则不限制于 少量且写死的字段，譬如源地址、目的地址等字段，可以进行无限制的字段扩展！ 本篇不会去讲规则具体字段的使用，这个主要原因是Wazuh官方的文档写的实在是太详细了。 ## 规则类型 ### 根规则与派生规则(Parent/Child)
Wazuh 实操
weixin_30722589的博客
07-28 983
https://www.jianshu.com/p/40c911a5628e?from=timeline&isappinstalled=0 转载于:https://www.cnblogs.com/diyunpeng/p/11261141.html
wazuh配置mysql日志分析
LINGX5的博客
05-30 401
wazuh规则配置
那么在wazuh中针对mysql的恶意语句应该如何制定解码器和规则呢
05-18
3. 使用Wazuh的日志分析功能来监视MySQL服务器的日志文件，以检测潜在的恶意行为。这可以包括对未知的SQL查询进行分析，以查找异常行为或危险的模式。 4. 配置Wazuh来自动响应恶意行为，例如禁止IP地址或用户帐户，...
Ansible-wazuh-ansible.zip
09-18
在“Ansible-wazuh-ansible.zip”这个压缩包中，包含的是一个名为“wazuh-ansible-master”的项目，它主要用于使用Ansible来自动化Wazuh的安全监控和日志分析平台的部署。 Wazuh是一款开源的安全操作中心（SOC）、...
BT利器之wazuh
求大佬师傅带
08-17 976
BT利器之wazuh
网络安全--wazuh环境配置及漏洞复现
m0_68976043的博客
08-20 4338
1.1进入官网下载OVA启动软件1.2点击启动部署，傻瓜式操作1.3通过账号：wazuh-user，密码：wazuh进入wazuh1.4将桥接模式更改为仅nat模式1.5更改配置之后输入重新启动命令 service network restart查看自身ipip a1.6配置已好，本地开启小皮Apache直接访问1.7有时会因为网络问题出现如下问题，我们采用重启wazuh即可。
wazuh 收集 suricata eve.json日志
guoguangwu的专栏
11-19 4186
安装suricata和规则 (源码或者安装包)，本博客提供安装包操作方式： 切换成超级用户进行操作 yum -y install epel-release wget jq curl -O https://copr.fedorainfracloud.org/coprs/jasonish/suricata-stable/repo/epel-7/jasonish-suricata-stable-e...
安全审计平台Wazuh架构及功能概览
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
05-12 828
一、概要 Wazuh是一个安全检测，可见性和合规性开源项目。它诞生于OSSEC HIDS的分支，后来又与Elastic Stack和OpenSCAP集成在一起，已发展成为一个更全面的解决方案。Wazuh已与Elastic Stack完全集成，提供了搜索引擎和数据可视化工具，使用户可以浏览其安全警报。 Wazuh提供的功能还包括日志数据分析，入侵和恶意软件检测，文件完整性监视，配置评估，漏洞检测以及对法规遵从性的支持。 github： https://github.com/wazuh OSSEC HIDS是基
HIDS-wazuh 的配置和防御
weixin_67259816的博客
08-23 521
原文链接：https://blog.csdn.net/vt_yjx/article/details/132416509。告警信息：/var/ossec/logs/alerts/alerts.log，有两个格式，json格式是给计算机看的。先在客户端配置文件中/var/ossec/etc/ossec.conf添加要监控的日志。规则：/var/ossec/ruleset/rules，不建议修改。配置文件：/var/ossec/etc/ossec.conf。路径：/var/ossec/bin。
hids wazuh 系列2- 规则管理
煜铭2011
09-16 839
Wazuh 是 以OSSEC作为引擎的基于主机的入侵检测系统，本文重点描述了wazuh规则，自定义规则，实现wazuh检测端口扫描、存在主机扫描的恶意内网行为的目标
wazuh 日志收集原理分析
热门推荐
guoguangwu的专栏
11-05 1万+
wazuh 默认安装到 /var/ossec目录下。 我基于manager端进行分析，和agent一样。默认启动ossec-logcollector进程去搜集日志：比如 snort日志、auditd日志、syslog日志等。 入口函数代码在src/logcollector/main.c中。 int main(int argc, char **argv) { /* 初始化处理： 命...
wazuh安装配置及学习笔记
weixin_54704770的博客
08-23 2959
Wazuh是一个用于威胁预防、检测和响应的开源平台，它能够跨场所、虚拟化、容器化和基于云的环境保护工作负载；使用场景广泛包括但不局限于：入侵检测、日志数据分析、完整性检查、漏洞检测、配置评估、事故应变、合规、云安全、容器安全等；解决方案包括一个部署到被监控系统的终端安全代理和一个收集和分析代理收集的数据的管理服务器。此外，Wazuh 已经与 Elastic Stack 完全集成，提供了一个搜索引擎和数据可视化工具，允许用户通过他们的安全警报进行导航。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值