Wazuh部署之部署

已于 2023-07-11 10:24:07 修改
阅读量5.9k 收藏 5
点赞数 2
分类专栏： 系统搭建 文章标签： 安全 elasticsearch 大数据
于 2022-02-02 11:43:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_24658577/article/details/122768500
版权

Wazuh由部署到受监视系统的端点安全代理和管理服务器组成，管理服务器收集和分析代理收集的数据。此外，Wazuh已与Elastic Stack完全集成，提供了搜索引擎和数据可视化工具，使用户可以浏览其安全警报。

Wazuh提供的功能包括日志数据分析，入侵和恶意软件检测，文件完整性监视，配置评估，漏洞检测以及对法规遵从性的支持。

本次将部署一套分布式Wazuh方案：

  1. wazuh-master启用全功能组件；
  2. ElasticStack将使用官方基本授权，不启用X-pack和加密连接；
  3. Linux版本Agent将安装到Kibana主机和ElasticSearch主机上，不再额外安装示例主机；
  4. 各个功能组件采用单节点部署；
  5. Wazuh使用4.1.5版本，搭配官方指定7.11.2ElasticStack版本。
  6. 部署方案

  7. 部署拓扑

  8. 网络地址

    系统角色版本网络地址
    ElasticSearch7.11.2192.168.248.146
    Kibana7.11.2192.168.248.145
    WazuhMaster4.1.5192.168.248.150
    WazuhAgent4.1.5192.168.248.1

  9. 部署实施

    # 安装前置软件
yum install -y zip unzip curl
# 导入秘钥
rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
# 增加官方源
cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-7.x]
name=Elasticsearch repository for 7.x packages
baseurl=https://artifacts.elastic.co/packages/7.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF
# 安装软件
yum makecache
yum upgrade -y
yum install -y elasticsearch-7.11.2

# 导入配置文件
mv /etc/elasticsearch/elasticsearch.yml /etc/elasticsearch/elasticsearch.yml-bak
touch /etc/elasticsearch/elasticsearch.yml
cat > /etc/elasticsearch/elasticsearch.yml << EOF
cluster.name: elastic
node.name: elasticnode1
network.host: 192.168.248.146
cluster.initial_master_nodes: ["elasticnode1"]

path.data: /var/lib/elasticsearch
path.logs: /var/log/elasticsearch
EOF

# 开通防火墙
firewall-cmd --permanent --add-service=elasticsearch 
firewall-cmd --reload

# 启动服务
systemctl daemon-reload
systemctl enable elasticsearch
systemctl start elasticsearch

# 校验服务
# 使用其他主机访问es环境
curl -XGET http://192.168.248.146:9200
{
  "name" : "elasticnode1",
  "cluster_name" : "elastic",
  "cluster_uuid" : "ahjxhVEHREKNmBAfjcuyNw",
  "version" : {
    "number" : "7.11.2",
    "build_flavor" : "default",
    "build_type" : "rpm",
    "build_hash" : "3e5a16cfec50876d20ea77b075070932c6464c7d",
    "build_date" : "2021-03-06T05:54:38.141101Z",
    "build_snapshot" : false,
    "lucene_version" : "8.7.0",
    "minimum_wire_compatibility_version" : "6.8.0",
    "minimum_index_compatibility_version" : "6.0.0-beta1"
  },
  "tagline" : "You Know, for Search"
}

# 禁用软件源，避免非控升级组件
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.repo

    10.Kibana的安装

    # 安装前置软件
yum install -y zip unzip curl
# 导入源秘钥
rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
# 增加官方源
cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-7.x]
name=Elasticsearch repository for 7.x packages
baseurl=https://artifacts.elastic.co/packages/7.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

# 安装软件
yum makecache
yum upgrade -y
yum install -y kibana-7.11.2

# 修改配置文件
cp /etc/kibana/kibana.yml /etc/kibana/kibana.yml-bak
cat >> /etc/kibana/kibana.yml << EOF
server.port: 5601
server.host: "localhost"
server.name: "kibana"
i18n.locale: "en"
elasticsearch.hosts: ["http://192.168.248.146:9200"]
kibana.index: ".kibana"
kibana.defaultAppId: "home"
EOF

# 创建数据目录
mkdir /usr/share/kibana/data
chown -R kibana:kibana /usr/share/kibana

# 离线安装插件
wget https://packages.wazuh.com/4.x/ui/kibana/wazuh_kibana-4.1.5_7.11.2-1.zip
cp ./wazuh_kibana-4.1.5_7.11.2-1.zip /tmp
cd /usr/share/kibana
sudo -u kibana /usr/share/kibana/bin/kibana-plugin install file:///tmp/wazuh_kibana-4.1.5_7.11.2-1.zip

# 配置服务
systemctl daemon-reload
systemctl enable kibana
systemctl start kibana

# 禁用软件源，避免非控升级组件
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.repo

# 配置反向代理
yum install -y nginx
systemctl enable --now nginx
vim /etc/ngix/nginx.conf.default
# 在server{}中添加配置项
​```
        proxy_redirect           off;
        proxy_set_header         X-Real-IP $remote_addr;
        proxy_set_header         X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header         Host $http_host;

        location / {
                proxy_pass http://localhost:5601/;
        }
​```
nginx -s reload

# 登录kibana之后选择wazuh插件
# 返回控制台修改插件配置文件
sed -i ‘:s/localhost/192.168.248.150/g’ /usr/share/kibana/data/wazuh/config/wazuh.yml

    11.WazuhMaster的安装

    # 安装前置软件
yum install -y zip unzip curl
# 导入秘钥
rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

# 配置官方软件源
cat > /etc/yum.repos.d/wazuh.repo << EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF

cat > /etc/yum.repos.d/elastic.repo << EOF
[elasticsearch-7.x]
name=Elasticsearch repository for 7.x packages
baseurl=https://artifacts.elastic.co/packages/7.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

# 安装软件
yum makecache
yum upgrade -y

yum install -y wazuh-manager
yum install filebeat-7.11.2

# 配置Filebeat
mv /etc/filebeat/filebeat.yml /etc/filebeat/filebeat.yml-bak
touch /etc/filebeat/filebeat.yml

cat > /etc/filebeat/filebeat.yml<<EOF
filebeat.modules:
  - module: wazuh
    alerts:
      enabled: true
    archives:
      enabled: false

setup.template.json.enabled: true
setup.template.json.path: '/etc/filebeat/wazuh-template.json'
setup.template.json.name: 'wazuh'
setup.template.overwrite: true
setup.ilm.enabled: false

output.elasticsearch.hosts: ['http://192.168.248.146:9200']
EOF

# 导入filebeat的wazuh日志模板
curl -so /etc/filebeat/wazuh-template.json https://raw.githubusercontent.com/wazuh/wazuh/4.1/extensions/elasticsearch/7.x/wazuh-template.json
chmod go+r /etc/filebeat/wazuh-template.json

# 导入filebeat的wazuh日志模型
curl -s https://packages.wazuh.com/4.x/filebeat/wazuh-filebeat-0.1.tar.gz | tar -xvz -C /usr/share/filebeat/module

# 配置防火墙规则
firewall-cmd --permanent --add-port={1514/tcp,1515/tcp,55000/tcp}
firewall-cmd --reload

# 禁用软件源，避免非控升级组件
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.repo
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

# 启动服务
systemctl daemon-reload
systemctl enable --now wazuh-manager
systemctl enable --now filebeat

# 验证Filebeat
filebeat test output
···
elasticsearch: http://192.168.248.146:9200...
  parse url... OK
  connection...
    parse host... OK
    dns lookup... OK
    addresses: 192.168.248.146
    dial up... OK
  TLS... WARN secure connection disabled
  talk to server... OK
  version: 7.11.2
  ···
# 刷新kibana

    12.WazuhAgent的安装(Linux)

    # 在es节点和kibana节点上安装
sudo WAZUH_MANAGER='192.168.248.150' WAZUH_AGENT_GROUP='default' yum install -y https://packages.wazuh.com/4.x/yum/wazuh-agent-4.1.5-1.x86_64.rpm

# 启动服务
sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

    13.WazuhAgent的安装(Windows)

    # 使用管理员权限打开powershell控制台
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.1.5-1.msi -OutFile wazuh-agent.msi; ./wazuh-agent.msi /q WAZUH_MANAGER='192.168.248.150' WAZUH_REGISTRATION_SERVER='192.168.248.150' WAZUH_AGENT_GROUP='default'

hackoffice
关注
  • 2
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
wazuh安装配置及学习笔记
weixin_54704770的博客
08-23 1842
Wazuh是一个用于威胁预防、检测和响应的开源平台，它能够跨场所、虚拟化、容器化和基于云的环境保护工作负载；使用场景广泛包括但不局限于：入侵检测、日志数据分析、完整性检查、漏洞检测、配置评估、事故应变、合规、云安全、容器安全等；解决方案包括一个部署到被监控系统的终端安全代理和一个收集和分析代理收集的数据的管理服务器。此外，Wazuh 已经与 Elastic Stack 完全集成，提供了一个搜索引擎和数据可视化工具，允许用户通过他们的安全警报进行导航。
wazuh环境配置
middlecorn的博客
08-23 693
通过官方仓库安装，官方上面安装步骤还是比较详细的，按着一步步走就可以。可以在wazuh官网下载ova文件，然后导入到VMware中，也很方便。对于多节点集群，这些证书需要稍后部署到集群中的所有 Wazuh 实例。安装好，进到 /var/ossec 下查看，如下图。到这里wazuh基础环境就配置好了。这里我以导入ova的方式为例。访问wazuh时出现这个情况。
Wazuh安装&功能测试——一篇到底
最新发布
网安小白的博客
04-21 1608
Wazuh的下载安装&功能测试，一篇就够了~
wazuh部署
undefineing的博客
08-19 393
var/ossec/logs/alerts/alerts.json：json格式的预警信息，用于分析展示，这不就是给elk用于展示的嘛。active-response 是主动响应，里面设定主要拦截、限制策略，检测到危险就禁止。/var/ossec/logs/alerts/alerts.log：适用于直接查看。如/var/ossec/ruleset/rules下的规则就有匹配。网站访问wazuh初始账号密码为admin:admin。主要配置文件在/var/ossec目录下。接着用xshell连接。
wazuh安装与使用
weixin_53434577的博客
08-23 715
下载：https://wazuh.com可以直接安装Linux这个，然后导入到Linux中就可以使用了。导入完毕后开启，使用远程连接工具进行连接，出现以下画面则成功了。之后可以看一下图形化界面，使用IP地址进行登录。账号和密码均为admin登录后所示页面。到此wazuh安装完毕，就可以使用wazuh了。
wazuh 4.7.2部署
weixin_44151123的博客
02-29 782
wazuh最新版本部署,包括agent与邮件告警的配置
主机入侵检测系统wazuh3.13单机部署
Cheney_My的博客
12-10 1038
Wazuh涉及两个主要组件的安装：Wazuh服务器和Elastic Stack。此外，Wazuh agent需要部署到受监视的主机上： Wazuh server：运行Wazuh管理器和API。它从已部署的代理收集和分析数据。 Elastic Stack：运行Elasticsearch引擎，Filebeat和Kibana（包括Wazuh应用程序）。它读取，解析，索引和存储由Wazuh管理器生成的警报数据。 Wazuh agent：在受监视的主机上运行，收集系统日志和配置数据，并检测入侵和异常。它与Wazuh
wazuh-ansible：Wazuh-Ansible剧本
01-31
Wazuh-Ansible 这些手册会安装和配置Wazuh代理，管理器和Elastic Stack。分行master分支对应于最新的Wazuh Ansible更改。 它可能不稳定。 3.13分支对应于最后的Wazuh Ansible稳定版本。相容性矩阵Wazuh版本有弹性...
wazuh-documentation：Wazuh-项目文档
02-03
在线文件 为这个项目做贡献如果您想对本文档做出贡献，请阅读我们的文件，以了解有关如何部署开发环境和提交请求的更多信息。 您也可以通过发送电子邮件至wazuh+subscribe@googlegroups.com加入我们的，以提出问题并...
wazuh-ruleset：Wazuh-规则集
02-03
在实际部署中，用户可以自定义规则集，根据特定环境和需求调整规则。`wazuh-ruleset-master`可能是Wazuh规则集的一个版本仓库，包含了规则文件的源代码或配置。用户需要按照官方文档的指引，将这些规则导入到Wazuh...
wazuh：Wazuh-开源安全平台
02-04
Wazuh解决方案由部署到受监视系统的端点安全代理和管理服务器组成，该管理服务器收集和分析代理收集的数据。 此外，Wazuh已与Elastic Stack完全集成，提供了搜索引擎和数据可视化工具，使用户可以浏览其安全警报。...
wazuh-kibana-app：Wazuh-Kibana插件
02-03
Wazuh Kibana应用程序 该存储库包含Wazuh Kibana插件，您可以从中通过可视化方式以简单易懂的方式浏览Wazuh数据。 它还允许您管理Wazuh服务器的配置和功能。 Wazuh是一个安全检测，可见性和合规性开源项目。 Wazuh通过在操作系统和应用程序级别监视主机，可以帮助您更深入地了解基础结构的安全性。 您可以在这里了解更多信息 描述 该Kibana插件可让您可视化和分析Elasticsearch中存储的Wazuh警报，并提供以下功能： 搜索按模块分类的警报，并使用不同的视图过滤警报。 您将能够在Wazuh群集级别和特定代理中浏览警报。 这些模块分为以下几个用例：
操作系统安全：ClamAV安装及部署.docx
06-01
ClamAV安装及部署 下载安装 下载安装clamav源码包 # yum -y install epel-release # yum repolist #yum -y install clamav-db clamav clamd # cp /etc/freshclam.conf /etc/freshclam.conf.bak # sed -i -e "s/^...
Wazuh从入门到上线
热门推荐
ordersyhack
02-02 1万+
Wazuh从入门到上线
wazuh初探系列一 ： wazuh环境配置
weixin_51525416的博客
08-22 2638
wazuh环境配置
wazuh安装手册
weixin_30569033的博客
02-18 3582
一、wazhu部署架构 1.服务器上运行的Agent端会将采集到的各种信息通过加密信道传输到管理端。 2.管理端负责分析从代理接收的数据，并在事件与告警规则匹配时触发警报。 3.LogStash会将告警日志或者监控日志发送到Elasticsearch上面，最后通过Kibana可视化展示日志。 分布式部署：在不同主机上运行Wazuh服务器和Elastic Stack集群（一个或多个服务器）。...
WAZUH--安装
Devour_的博客
11-02 2561
安装Wazuh服务器 Wazuh服务器可以安装在任何类型的Unix操作系统上。最常见安装在Linux上。如果可以为您的系统提供自动化脚本，则安装过程会更容易，但是，从源码构建和安装也非常简单。 通常在Wazuh服务器上安装两个组件：管理器和API。此外，对于分布式体系结构（Wazuh服务器将数据发送到远程Elastic Stack集群），需要安装Filebeat。 安装Wazuh服务器有多种选择，具体取决于操作系统以及是否希望从源代码构建。请参阅下表并选择如何安装： 类型 描述 RPM包
安装wazuh-agent
weixin_30563917的博客
09-10 1064
安装wazuh-agent 1. windows 下载地址:https://packages.wazuh.com/3.x/windows/wazuh-agent-3.9.5-1.msi 安装运行 设置服务端ip 设置服务端生成的key. 设置端生成ip root@wazuh-manager:/# /var/ossec/bin/manage_agents #1. 按A添加一个agen...
win11部署wazuh
05-18
部署 Wazuh 在 Windows 11 上需要进行以下步骤： 1. 安装 Wazuh Agent - 下载 Wazuh Agent：去 Wazuh 官方网站下载适用于 Windows 的 Wazuh Agent 安装程序。 - 运行 Wazuh Agent 安装程序：安装程序会引导您完成安装过程。在安装过程中，您需要输入 Wazuh 服务器的 IP 地址和端口号。 - 启动 Wazuh Agent：安装完成后，请启动 Wazuh Agent 服务。 2. 安装 Wazuh Server - 安装 Elastic Stack：Wazuh Server 使用 Elastic Stack 作为其日志存储和分析工具。因此，您需要先安装 Elastic Stack。 - 下载和安装 Wazuh Server：去 Wazuh 官方网站下载适用于 Windows 的 Wazuh Server 安装程序，然后按照安装程序的指导完成安装过程。 - 配置 Wazuh Server：在安装完成后，您需要配置 Wazuh Server，以便它可以与 Wazuh Agent 进行通信并接收日志数据。 3. 安装 Wazuh App for Kibana - 安装 Kibana：Wazuh App for Kibana 是一个基于 Kibana 的 Web 界面，您需要先安装 Kibana。 - 下载和安装 Wazuh App for Kibana：去 Wazuh 官方网站下载适用于 Windows 的 Wazuh App for Kibana 安装程序，然后按照安装程序的指导完成安装过程。 - 配置 Wazuh App for Kibana：在安装完成后，您需要配置 Wazuh App for Kibana，以便它可以连接到 Wazuh Server 并显示日志数据。 以上就是在 Windows 11 上部署 Wazuh 的步骤。需要注意的是，Wazuh 的部署需要一定的技术水平和经验，如果您不确定如何操作，建议请专业人员协助完成。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值