Wazuh 安全监控指南（三）

于 2025-07-07 16:36:55 发布
阅读量1k 收藏 17
点赞数 26
CC 4.0 BY-SA版权
分类专栏： 默认分类 文章标签： 默认分类
License CC BY-NC-SA 4.0 / 自豪地采用谷歌翻译
本文链接：https://blog.csdn.net/wizardforcel/article/details/149176284

原文：annas-archive.org/md5/c92177f2e32538b39b48298b6806d6ca

译者：飞龙

协议：CC BY-NC-SA 4.0

附录

我们现在已经进入了附录章节。在这里，我们将介绍几个自定义 Wazuh 规则。Wazuh 已经构建了数千条规则以增强其检测能力。然而，我们将编写一些重要的自定义 Wazuh 规则，以检测 PowerShell、Linux Auditd、Kaspersky 和 Sysmon 相关的警报。本章节涵盖以下主题：

  • 自定义 PowerShell 规则

  • 自定义 Auditd 规则

  • 自定义 Kaspersky Endpoint Security 规则

  • 自定义 Sysmon 规则

自定义 PowerShell 规则

为了增强 Wazuh 对 Windows 机器的检测能力，我们需要集成一些自定义 PowerShell Wazuh 规则。每个规则可以根据特定条件、严重性级别和其他可选配置进行创建。在本节中，我们将涵盖以下几种类型的规则：

  • PowerShell 事件信息

  • PowerShell 错误日志

  • PowerShell 警告日志

  • PowerShell 关键日志

PowerShell 事件信息

我们可以创建一个自定义 PowerShell 规则来获取事件信息，如下所示：

<rule id="200101" level="1">
    <if_sid>60009</if_sid>
    <field name="win.system.providerName">^PowerShell$</field>
    <options>no_full_log</options>
    <group>windows_powershell,</group>
    <description>PowerShell Log Information</description>
  </rule>

这里，我们有以下内容：

  • <if_sid>60009</if_sid>：这表示规则 ID 列表。当列表中的某个规则 ID 与之匹配时，它将触发。规则 ID 60009 是一个用于 Windows 信息性事件的预构建 Wazuh 规则。

  • <field name="win.system.providerName">^PowerShell$</field>：<field> 标签用作触发规则的必要条件。它将检查解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.system.providerName 日志字段是否包含 PowerShell 关键字。

  • <group>windows_powershell,</group>：这强制将警报分类到特定组中。在这种情况下，它是 windows_powershell。

PowerShell 错误日志

PowerShell 错误日志通常包含与错误、警告和其他事件相关的信息。为了检测这些 PowerShell 错误日志，我们可以创建自定义 Wazuh 规则，如下所示：

<rule id="200102" level="7">
    <if_sid>60011</if_sid>
    <field name="win.system.providerName">^Microsoft-Windows-PowerShell$</field>
    <mitre>
      <id>T1086</id>
    </mitre>
    <options>no_full_log</options>
    <group>windows_powershell,</group>
    <description>Powershell Error logs</description>
  </rule>

这里，我们有以下内容：

  • <if_sid>60011</if_sid>：这表示规则 ID 列表。当列表中的某个规则 ID 与之匹配时，它将触发。规则 ID 60011 是一个用于 Windows 错误事件的预构建 Wazuh 规则。

  • <field name="win.system.providerName">^Microsoft-Windows-PowerShell$</field>：<field> 标签用作触发规则的必要条件。它将检查解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.system.providerName 日志字段是否包含 Microsoft-Windows-PowerShell 关键字。

  • <group>windows_powershell,</group>：这强制将警报分类到特定组中。在这种情况下，它是 windows_powershell。

PowerShell 警告日志

PowerShell 在脚本执行期间还会生成非关键警报。这对于安全调查很有帮助。为了在 Wazuh 管理器上检测这些警报，我们可以创建自定义 Wazuh 规则，如下所示：

<rule id="200103" level="5">
    <if_sid>200101</if_sid>
    <field name="win.system.providerName">^Microsoft-Windows-PowerShell$</field>
    <field name="win.system.severityValue">^WARNING$</field>
    <options>no_full_log</options>
    <group>windows_powershell,</group>
    <description>Powershell Warning Event</description>
  </rule>

这里，我们有以下内容：

  • <field name="win.system.providerName">^Microsoft-Windows-PowerShell$</field>: <field>标签用作触发规则的必要条件。它将检查解码器提取的字段内容是否匹配。在这种情况下，它将检查win.system.providerName日志字段是否包含Microsoft-Windows-PowerShell关键字。

  • <field name="win.system.severityValue">^WARNING$</field>: 它将检查win.system.severityValue日志字段是否包含WARNING关键字。

  • <group>windows_powershell,</group>: 这将强制警报被分类到一个特定的组中。在这种情况下，它是windows_powershell。

PowerShell 关键日志

PowerShell 生成关键警报，当执行过程中出现严重错误时。为了检测此类警报，我们可以创建自定义 Wazuh 规则，如下所示：

<rule id="200103" level="12">
    <if_sid>60012</if_sid>
    <field name="win.system.providerName">^Microsoft-Windows-PowerShell$</field>
    <mitre>
      <id>T1086</id>
    </mitre>
    <options>no_full_log</options>
    <group>windows_powershell,</group>
    <description>Powershell Critical EventLog</description>
  </rule>

这里，我们有如下内容：

  • <field name="win.system.severityValue">^WARNING$</field>: 它将检查win.system.severityValue日志字段是否包含WARNING关键字。

  • <group>windows_powershell,</group>: 这将强制警报被分类到一个特定的组中。在这种情况下，它是windows_powershell。

这完成了一些重要的自定义 PowerShell 规则。在下一部分，我们将介绍 Linux Auditd 模块的 Wazuh 规则。

针对 Auditd 的自定义 Wazuh 规则

针对 Auditd 的自定义 Wazuh 规则提供了一种增强 Wazuh 检测 Linux 命令执行能力的定制方法。这也将帮助安全团队检测关键的安全事件，追踪用户活动，并确保合规性。

Auditd 系统调用规则

我们可以创建一个 Wazuh 规则来检测任何系统调用（syscall）事件，如下所示：

  <rule id="200200" level="3">
    <decoded_as>auditd-syscall</decoded_as>
    <description>Auditd: System Calls Event </description>
    <group>syscall,</group>
  </rule>

这里，我们有如下内容：

  • <decoded_as>auditd-syscall</decoded_as>: 这是触发规则的必要条件。只有当事件被特定的decoder解码时，它才会被触发。在这种情况下，它是auditd-syscall。

Auditd 路径

Linux Auditd 会为每个路径记录生成一个事件。我们将创建一个 Wazuh 规则来捕获 Auditd 路径消息事件，如下所示：

  <rule id="200201" level="3">
    <decoded_as>auditd-path</decoded_as>
    <description>Auditd: Path Message event.</description>
    <group>path,</group>
  </rule>

这里，我们有如下内容：

  • <decoded_as>auditd-syscall</decoded_as>: 这是触发规则的必要条件。只有当事件被特定的decoder解码时，它才会被触发。在这种情况下，它是auditd-path。

检测用户环境中的变化

为了检测用户环境中的任何变化，我们可以创建一个自定义 Wazuh 规则来检测bash_profile的变化，如下所示：

<rule id="200202" level="12">
  <if_sid>200201</if_sid>
  <list field="audit.directory.name" lookup="address_match_key">etc/lists/bash_profile</list>
  <description> Auditd: Detects change of user environment</description>
  <group>path,</group>
  </rule>

这里，我们有如下内容：

  • <list field="audit.directory.name" lookup="address_match_key">etc/lists/bash_profile</list>: <list>标签执行 CDB 查找，field属性用作 CBD 列表中的关键字。在这种情况下，使用 CDB 列表audit.directory.name，并使用address_match_key来查找 IP 地址和关键字。

我们已经学习了如何为 Linux Auditd 模块构建自定义的 Wazuh 规则。在下一节中，我们将为卡巴斯基终端安全解决方案构建 Wazuh 规则。

卡巴斯基终端安全的自定义 Wazuh 规则

卡巴斯基终端安全 是一家领先的安全提供商，提供云安全、嵌入式安全、威胁管理和工业安全。为了增强 Wazuh 检测卡巴斯基终端警报的能力，我们需要创建自定义的 Wazuh 规则。在本节中，我们将涵盖以下主题：

  • 卡巴斯基的通用规则

  • 检测卡巴斯基代理重新启动的规则

  • 隔离警报的规则

卡巴斯基的通用规则

卡巴斯基终端安全会生成一些常规警报。要检测这些警报，需要创建以下 Wazuh 规则：

  <rule id="200300" level="0">
    <if_sid>60009</if_sid>
    <field name="win.system.channel">^Kaspersky Event Log$</field>
    <options>no_full_log</options>
    <description>Kapersky rule for the System channel</description>
  </rule>

在这里，我们有以下内容：

  • <field name="win.system.channel">^Kaspersky Event Log$</field>：它将检查 win.system.channel 日志字段是否包含 Kaspersky Event Log 关键字

用于检测卡巴斯基代理重新启动事件的规则

要检测卡巴斯基代理重新启动的事件，需要创建自定义的 Wazuh 规则，如下所示：

<rule id="200301" level="10">
   <if_sid>200300</if_sid>
   <field name="win.system.providerName">klnagent</field>
     <field name="win.system.eventID">1</field>
     <description>Kaspersky Agent Restarted</description>
  </rule>

在这里，我们有以下内容：

  • <field name="win.system.providerName">klnagent</field>：它将检查 win.system.providerName 日志字段是否包含 klnagent<field name="win.system.eventID">1</field> 关键字。这表示 Windows 事件日志中的另一个字段。此规则将在 eventID 值为 1 时触发。在 Windows 事件日志中，eventID 1 通常表示系统启动或日志会话的开始，或者 Windows 时间服务的重新启动。

隔离警报的规则

要检测可疑文件是否已被隔离，我们可以创建自定义的 Wazuh 规则来触发警报，如下所示：

<rule id="200302" level="10">
   <if_sid>200300</if_sid>
   <field name="win.system.providerName">klnagent</field>
   <field name="win.system.message" type="pcre2">(?i)^"Quarantine</field>
     <description>Kaspersky Agent - Quarantine Event</description>
  </rule>

在这里，我们有以下内容：

  • <field name="win.system.message" type="pcre2">(?i)^"Quarantine</field>：它将检查 win.system.message 日志字段是否包含 Quarantine.<field name="win.system.message" type="pcre2">(?i)^"Quarantine</field> 关键字。这指定 Windows 事件日志中的另一个字段；这次是 message 字段。此规则将在消息中包含 Quarantine 关键字时触发。这是通过使用称为 Perl Compatible Regular Expressions（PCRE2）的正则表达式库完成的。

我们已经学习了如何构建自定义的 Wazuh 规则来检测卡巴斯基终端安全事件。在下一节中，我们将构建用于检测 Sysmon 事件的自定义规则。

Sysmon 的自定义 Wazuh 规则

Sysmon – 一款 Windows Sysinternals 工具 – 提供了系统相关活动的深入视图。Sysmon 帮助我们检测广泛的活动，如进程创建、文件创建与修改、注册表更改、驱动加载、DLL 加载、命名管道创建、进程访问和 DNS 查询日志记录。为了扩展 Wazuh 的检测能力，我们需要构建一个自定义 Wazuh 规则来生成警报。总共有 30 个 Sysmon 事件，如微软官网所述（learn.microsoft.com/en-us/sysinternals/downloads/sysmon）。不过，我们将涵盖与一些特定 MITRE ATT&CK 技术关联的最重要的 Sysmon 事件。这些规则参考了 SOCFortress 官方 GitHub 账户 – 一个基于 SaaS 的网络安全平台。你也可以参考以下链接，查看所有与 MITRE 技术关联的 Wazuh 规则列表：github.com/socfortress/Wazuh-Rules/tree/main/Windows_Sysmon。在本节中，我们将介绍一些重要的 Sysmon 事件，如下所示：

  • Sysmon 事件 1：进程创建

  • Sysmon 事件 2：进程更改了文件创建时间

  • Sysmon 事件 3：网络连接

  • Sysmon 事件 7：加载的映像

  • Sysmon 事件 10：进程访问

  • Sysmon 事件 11：文件创建

  • Sysmon 事件 12：注册表事件（对象创建与删除）

  • Sysmon 事件 13：注册表事件（值设置）

  • Sysmon 事件 14：注册表事件（键和值重命名）

  • Sysmon 事件 15：文件创建 StreamHash

  • Sysmon 事件 17：管道创建

  • Sysmon 事件 18：管道事件

  • Sysmon 事件 22：DNS 请求

Sysmon 事件 1：进程创建

Wazuh 规则用于检测 进程创建 事件，帮助安全团队监控可疑的未经授权的进程执行，其写法如下：

<rule id="200401" level="3">
    <if_sid>61603</if_sid>
    <description>Sysmon - Event 1: Process creation $(win.eventdata.description)</description>
    <mitre>
<id>T1546</id>
</mitre>
    <options>no_full_log</options>
    <group>sysmon_event1,windows_sysmon_event1,</group>
  </rule>

在这里，我们有以下内容：

  • <if_sid>61603</if_sid>：<if_sid> 标签作为触发规则的前提条件。在这种情况下，规则 200401 仅在父规则 61603 匹配时触发。规则 ID 61603 已在 Wazuh 管理器中的文件 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 2：进程更改了文件创建时间

Sysmon 模块的文件创建事件检测潜在感染的文件或意外的文件更改，提供有关基于文件的恶意软件威胁的见解。Sysmon 事件 2 的自定义 Wazuh 规则可以如下创建：

<rule id="200402" level="3">
  <if_sid>61604</if_sid>
  <field name="win.eventdata.RuleName">^technique_id=T1099,technique_name=Timestomp$</field>
  <description>Sysmon - Event 2: A process changed a file creation time by $(win.eventdata.image)</description>
  <mitre>
  <id>T1099</id>
  </mitre>
  <options>no_full_log</options>
  <group>sysmon_event2,</group>
  </rule>
</group>

在这里，我们有以下内容：

  • <if_sid>61604</if_sid>：<if_sid> 标签作为触发规则的前提条件。在这种情况下，规则 200402 仅在父规则 61604 匹配时触发。规则 ID 61604 已在 Wazuh 管理器中的文件 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 3：网络连接

Sysmon 事件 3 在检测到任何异常或未经授权的网络连接时生成。 要检测此类网络连接，我们可以创建一个自定义的 Wazuh 规则，如下所示：

<rule id="200403" level="3">
<if_sid>61605</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1021,technique_name=Remote Services$</field>
<description>Sysmon - Event 3: Network connection by $(win.eventdata.image)</description>
<mitre>
<id>T1021</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event3,</group>
</rule>

在这里，我们有以下内容：

  • <if_sid>61605</if_sid>：<if_sid> 标签用作触发规则的先决条件。 在本例中，仅当父规则 61605 匹配时，规则 200403 才会被触发。 规则 ID 61605 已经在 Wazuh 管理器中的文件名 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 7：图像加载

当恶意代码注入到正常进程中时，将生成图像加载事件。 Wazuh 规则用于检测此类事件如下：

<rule id="200404" level="3">
<if_sid>61609</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1059.001,technique_name=PowerShell$</field>
<description>Sysmon - Event 7: Image loaded by $(win.eventdata.image)</description>
<mitre>
<id>T1059</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event7,</group>
</rule>

在这里，我们有以下内容：

  • <if_sid>61609</if_sid>：<if_sid> 标签用作触发规则的先决条件。 在本例中，仅当父规则 61609 匹配时，规则 200404 才会被触发。 规则 ID 61609 已经在 Wazuh 管理器中的文件名 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 10：进程访问

进程访问事件帮助安全团队检测可疑活动，如进程内存修改或注入，通常与高级攻击链相关。 要可视化此类事件，需要创建以下 Wazuh 规则：

<rule id="200405" level="3">
<if_sid>61612</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1003,technique_name=Credential Dumping$</field>
<description>Sysmon - Event 10: ProcessAccess by $(win.eventdata.sourceimage)</description>
<mitre>
<id>T1003</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_10,</group>
</rule>

在这里，我们有以下内容：

  • <if_sid>61612</if_sid>：<if_sid> 标签用作触发规则的先决条件。 在本例中，仅当父规则 61612 匹配时，规则 200405 才会被触发。 规则 ID 61612 已经在 Wazuh 管理器中的文件名 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 11：文件创建

文件创建事件为文件创建监控提供了冗余，并帮助提供了面向基于文件的恶意软件威胁的最大覆盖范围。 可以创建一个 Wazuh 规则来检测此类事件，如下所示：

<rule id="200406" level="3">
<if_sid>61613</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1546.011,technique_name=Application Shimming$</field>
<description>Sysmon - Event 11: FileCreate by $(win.eventdata.image)</description>
<mitre>
<id>T1546</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_11,</group>
</rule>

在这里，我们有以下内容：

  • <if_sid>61613</if_sid>：<if_sid> 标签用作触发规则的先决条件。 在本例中，仅当父规则 61613 匹配时，规则 200406 才会被触发。 规则 ID 61609 已经在 Wazuh 管理器中的文件名 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 12：注册表事件（对象创建和删除）

Sysmon 事件 12 在创建新的注册表键或子键或删除现有键时捕获日志。 这对于检测未经授权的注册表更改非常有用，这可能表明存在无文件恶意软件。 可以创建一个 Wazuh 规则来检测此类事件，如下所示：

<rule id="200407" level="3">
<if_sid>61614</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1546.011,technique_name=Application Shimming$</field>
<description>Sysmon - Event 12: RegistryEvent (Object create and delete) by $(win.eventdata.image)</description>
<mitre>
<id>T1546</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_12,</group>
</rule>

在这里，我们有以下内容

  • <if_sid>61614</if_sid>：<if_sid> 标签用作触发规则的先决条件。 在本例中，仅当父规则 61614 匹配时，规则 200407 才会被触发。 规则 ID 61614 已经在 Wazuh 管理器中的文件名 0595-win-sysmon_rules.xml 下创建。

Sysmon 事件 13：注册表事件（值设置）

Sysmon 事件 13 在设置新值或修改现有值时触发，发生在注册表键内。这一事件对于检测与恶意软件持久性或权限升级技术相关的变化至关重要。可以创建 Wazuh 规则来检测此类事件，如下所示：

<rule id="200408" level="3">
<if_sid>61615</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1546.011,technique_name=Application Shimming$</field>
<description>Sysmon - Event 13: RegistryEvent (Value Set) by $(win.eventdata.image)</description>
<mitre>
<id>T1546</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_13,</group>
</rule>

这里，我们有以下内容：

  • <if_sid>61615</if_sid>：<if_sid> 标签用于触发规则的必要条件。在这种情况下，规则 200408 只有在父规则 61615 匹配时才会触发。规则 ID 61615 已在 Wazuh 管理器中创建，文件名为 0595-win-sysmon_rules.xml。

  • <field name="win.eventdata.RuleName">^technique_id=T1546.011,technique_name=Application Shimming$</field>：<field> 标签用于触发规则的必要条件。它将检查由解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.eventdata.RuleName 日志字段是否包含 technique_id=T1546.011,technique_name=Application Shimming l 关键字。

Sysmon 事件 14：注册表事件（键和值重命名）

Sysmon 事件 14 在注册表键或值重命名时触发。这些技术可以被高级攻击者用来逃避反恶意软件检测或破坏系统。可以创建 Wazuh 规则来检测此类事件，如此处所写：

<rule id="200409" level="3">
  <if_sid>61616</if_sid>
  <field name="win.eventdata.RuleName">^technique_id=T1546.011,technique_name=Application Shimming$</field>
  <description>Sysmon - Event 14: RegistryEvent (Key and Value Rename) by $(win.eventdata.image)</description>
  <mitre>
  <id>T1546</id>
  </mitre>
  <options>no_full_log</options>
  <group>sysmon_event_14,</group>
  </rule>

这里，我们有以下内容：

  • <if_sid>61616</if_sid>：<if_sid> 标签用于触发规则的必要条件。在这种情况下，规则 200409 只有在父规则 61615 匹配时才会触发。规则 ID 61615 已在 Wazuh 管理器中创建，文件名为 0595-win-sysmon_rules.xml。

  • <field name="win.eventdata.RuleName">^technique_id=T1546.011,technique_name=Application Shimming$</field>：<field> 标签用于触发规则的必要条件。它将检查由解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.eventdata.RuleName 日志字段是否包含 technique_id=T1546.011,technique_name=Application Shimming l 关键字。

Sysmon 事件 15：文件创建 StreamHash

Sysmon 事件 15 捕获带有文件哈希的文件创建活动。要创建 Wazuh 规则以检测此类事件，我们可以创建一个自定义规则，如下所示：

  <rule id="200410" level="3">
  <if_sid>61617</if_sid>
  <field name="win.eventdata.RuleName">^technique_id=T1089,technique_name=Drive-by Compromise$</field>
  <description>Sysmon - Event 15: FileCreateStreamHash by $(win.eventdata.image)</description>
  <mitre>
  <id>T1089</id>
  </mitre>
  <options>no_full_log</options>
  <group>sysmon_event_15,</group>
  </rule>

这里，我们有以下内容：

  • <if_sid>61617</if_sid>：<if_sid> 标签用于触发规则的必要条件。在这种情况下，规则 200410 只有在父规则 61617 匹配时才会触发。规则 ID 61617 已在 Wazuh 管理器中创建，文件名为 0595-win-sysmon_rules.xml。

  • <field name="win.eventdata.RuleName">^technique_id=T1089,technique_name=Drive-by Compromise$</field>：<field> 标签用于触发规则的必要条件。它将检查由解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.eventdata.RuleName 日志字段是否包含 technique_id=T1089,technique_name=Drive-by Compromise l 关键字。

Sysmon 事件 17：管道创建

Sysmon 事件 17 记录命名管道的创建，这允许在系统中进行进程间通信。这有助于识别与设置命名管道相关的可疑活动。可以创建自定义 Wazuh 规则来检测此类事件，如下所示：

<rule id="200411" level="3">
<if_sid>61646</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1021.002,technique_name=SMB/Windows Admin Shares$</field>
<description>Sysmon - Event 17: PipeEvent (Pipe Created) by $(win.eventdata.image)</description>
<mitre>
<id>T1021</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_17,</group>
</rule>

这里，我们有以下内容：

  • <if_sid>61646</if_sid>：<if_sid> 标签作为触发规则的必要条件。在这种情况下，只有当父规则 61646 匹配时，规则 200411 才会被触发。规则 ID 61646 已在 Wazuh 管理器中创建，文件名为 0595-win-sysmon_rules.xml。

  • <field name="win.eventdata.RuleName">^technique_id=T1021.002,technique_name=SMB/Windows Admin Shares$</field>：<field> 标签作为触发规则的必要条件。它将检查解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.eventdata.RuleName 日志字段是否包含 "technique_id=T1021.002,technique_name=SMB/Windows Admin Shares 关键字。

Sysmon 事件 18：管道事件

Sysmon 事件 18 捕获有关管道的额外信息，例如打开、关闭或读取命名管道，有助于检测系统中的异常行为。可以创建 Wazuh 规则来检测此类事件，如下所示：

<rule id="200412" level="3">
<if_sid>61647</if_sid>
<field name="win.eventdata.RuleName">^technique_id=T1021.002,technique_name=SMB/Windows Admin Shares$</field>
<description>Sysmon - Event 18: PipeEvent (Pipe Connected) by $(win.eventdata.image)</description>
<mitre>
<id>T1021</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_18,</group>
</rule>

这里，我们有以下内容

  • <if_sid>61647</if_sid>：<if_sid> 标签作为触发规则的必要条件。在这种情况下，只有当父规则 61647 匹配时，规则 200412 才会被触发。规则 ID 61646 已在 Wazuh 管理器中创建，文件名为 0595-win-sysmon_rules.xml。

  • <field name="win.eventdata.RuleName">^technique_id=T1021.002,technique_name=SMB/Windows Admin Shares$</field>：<field> 标签作为触发规则的必要条件。它将检查解码器提取的字段内容是否匹配。在这种情况下，它将检查 win.eventdata.RuleName 日志字段是否包含 technique_id=T1021.002,technique_name=SMB/Windows Admin Shares 关键字。

Sysmon 事件 22：DNS 请求

Sysmon 事件 22 记录由机器上的进程发起的 DNS 请求。这有助于我们监控可能指向恶意服务器或指挥控制中心的请求。可以创建 Wazuh 规则来检测此类 DNS 请求，如下所示：

<rule id="200413" level="3">
<if_sid>61644</if_sid>
<description>Sysmon - Event 22: DNS Request by $(win.eventdata.image)</description>
<mitre>
<id>T1071</id>
</mitre>
<options>no_full_log</options>
<group>sysmon_event_22,</group>
</rule>

这里，我们有以下内容：

  • <if_sid>61644</if_sid>：<if_sid> 标签作为触发规则的必要条件。在这种情况下，只有当父规则 61644 匹配时，规则 200412 才会被触发。规则 ID 61644 已在 Wazuh 管理器中创建，文件名为 0595-win-sysmon_rules.xml。

我们已经学习了如何为 Wazuh 创建自定义 Sysmon 规则。我们可以在每个 Sysmon 事件类别下创建多个粒度化的规则。要查看所有 Wazuh 自定义 Sysmon 规则的列表，您可以访问官方的 SOCFortress GitHub 仓库：github.com/socfortress/Wazuh-Rules/tree/main/Windows_Sysmon。

总结

在本章中，我们介绍了一些重要的自定义 Wazuh 规则，涵盖了不同类型的事件，如 PowerShell 事件、Linux Auditd 事件、卡巴斯基端点保护事件和 Sysmon 事件。在下一章中，我们将介绍与 Wazuh 平台相关的一些重要术语。

第八章：词汇表

本章包含了一些与 Wazuh 平台及其相关技术的核心术语词汇表。本章作为学习 Wazuh 技术领域基础知识的全面指南，无论你是经验丰富的安全专家，还是安全领域的新手，都能从中获得 Wazuh 功能及相关概念的有用总结。

词汇表按字母顺序排列。

A

B

  • 暴力破解攻击：暴力破解攻击是一种黑客技术，通过试错的方式来破解密码、登录凭证和加密密钥。这是一种直接但有效的策略，用于获取对用户账户、公司网络和系统的未经授权的访问。在找到正确的登录信息之前，黑客会尝试多种用户名和密码，通常会在一台机器上测试大量的组合。欲了解更多信息，请查看以下链接：

C

D

E

F

G

H

I

J

  • JSON（JavaScript 对象表示法）: JSON 是一种简单的基于文本的格式，用于发送和存储信息。当数据从计算机发送到网页时，JSON 常常被使用。它是一种数据序列化格式，能够在多个平台、应用程序和系统之间进行一致的数据传输。要了解更多，请查看以下链接：

K

L

M

N

O

  • OpenSearch: OpenSearch 是一个开源搜索引擎和分析套件，用于日志分析、网站信息搜索和实时应用监控。OpenSearch 是 Elasticsearch 和 Kibana 的一个分支，发布于 2021 年。它采用 Apache 2.0 许可证，并基于 Lucene。OpenSearch 提供了使用关键词、多语言、自然语言和同义词进行搜索的功能。欲了解更多信息，请查看以下链接：

  • OSSEC：OSSEC 是一个开源的 基于主机的入侵检测系统 (HIDS)，与多种操作系统兼容。它是一个可扩展的程序，能够检查日志、确保文件的正确性、监视 Windows 系统、集中执行策略、查找 rootkit、发送实时警报等功能。欲了解更多信息，请查看以下链接：

  • Osquery：Osquery 是一个用于查询和监控系统的工具，使用类似 SQL 的语法。它支持 Windows、Linux 和 macOS 系统。通过 Osquery，你可以查询成千上万的数据点，并接收结构化的数据返回。由于它可以以机器可读格式（如 JSON）返回数据，因此非常适合与现有的安全或监控工具和脚本进行集成。欲了解更多信息，请查看以下链接：

P

R

S

T

  • 威胁情报：威胁情报是收集、处理和研究的数据，用以了解威胁行为者的动机、攻击对象和攻击方式。威胁情报帮助我们做出更快速、更加智能的基于数据的安全决策。它还改变了威胁行为者的行动方式，从被动应对转变为主动应对，从而增强了我们与威胁行为者斗争的能力。欲了解更多信息，请访问以下链接：

  • 信任服务标准（TSC）合规性：AICPA 的保证服务执行委员会（ASEC）制定了信任服务标准（TSC），该标准用于评估控制目标。这些标准包括关于组织信息和系统的安全性、可用性、处理完整性、隐私性和机密性的措施。这些措施还涉及实体的具体部分，如某个部门、某个流程或实体使用的特定信息类型。欲了解更多，请查看以下链接：

V

  • 漏洞：信息系统漏洞是黑客可以利用的弱点或机会，借此未经允许进入计算机系统。漏洞使系统的防御能力变弱，允许黑客发动攻击。欲了解更多，请查看以下链接：

  • 漏洞检测模块：Wazuh 漏洞检测模块帮助用户发现操作系统和已安装应用程序中的弱点，这些系统和应用程序会在监控的终端上运行。该模块通过将 Wazuh 与来自 Microsoft、Amazon Linux Advisories Security（ALAS）、Canonical、Debian、Red Hat、Arch Linux 以及国家漏洞数据库（NVD）的外部漏洞源集成，来工作。欲了解更多，请查看以下链接：

  • Windows Defender：Windows Defender 是微软 Windows 内置的防病毒和防恶意软件解决方案。它会扫描计算机中的恶意软件，并检查系统中的任何异常行为。欲了解更多，请查看以下链接：

Y

开源安全监控平台（Wazuh）
weixin_43156294的博客
01-11 778
Wazuh是一个开源的安全监控平台，其核心是轻量级的端点代理，可部署在需要监控的系统上实时收集关键安全数据，并传输到中央管理服务器。该服务器具备深入的分析能力，能通过规则引擎识别潜在安全威胁和异常行为，还可与Elastic Stack无缝集成，提供强大的搜索和数据可视化功能，可用于入侵检测、日志数据分析、文件完整性监控、漏洞检测等多种安全监控场景。
wazuh官方安装指南（中文译版本）
weixin_30443895的博客
02-18 3010
安装Wazuh服务器 Wazuh服务器可以安装在任何类型的Unix操作系统上。最常见安装在Linux上。如果可以为您的系统提供自动化脚本，则安装过程会更容易，但是，从源码构建和安装也非常简单。 通常在Wazuh服务器上安装两个组件：管理器和API。此外，对于分布式体系结构（Wazuh服务器将数据发送到远程Elastic Stack集群），需要安装Filebeat。 安装Wazuh服务器...
wazuh日志审计--定制规则
Devour_的博客
10-21 3502
日志审计--定制规则 目录布局 规则集文件夹结构如下所示: 在接收到agent传来的日志后，manager会根据/var/ossec/ruleset/decoders里面的各种规则对日志进行处理，提取到了指定字段的值之后再根据/var/ossec/ruleset/rules里面的各种规则进行匹配，告警日志输出到/var/ossec/logs/alerts/alerts.json，logstash再将其解析后传输到elasticsearch上面。 更新规则集 每周运行update_ruleset
wazuh中的规则编写以及日志分析
qalx9的博客
08-23 2052
Wazuh是一个免费、开源和企业级的安全监控解决方案，用于威胁检测、完整性监控、事件响应和合规、也就是一套开源的完善的edr。Wazuh是一个安全检测、可视化和安全合规开源项目。它最初是OSSEC HIDS的一个分支，后来与Elastic Stack和OpenSCAP集成在一起，发展成为一个更全面的解决方案。Wazuh的功能有：入侵检测日志数据分析完整性检查漏洞检测配置评估应急响应云、容器安全等。
Wazuh关联分析规则高级玩法
orright的专栏
10-21 1887
# 前言 上面两篇讲到Wazuh安装部署和数据接入和解码，解决了EDR的基建问题，接下来就来讲解Wazuh的规则玩法，之前就提到过 Wazuh是ossec的分支，那为啥非要用分支不用原生呢？其实问题就在于Wazuh对ossec的规则引擎进行改良和扩展，使得规则不限制于 少量且写死的字段，譬如源地址、目的地址等字段，可以进行无限制的字段扩展！ 本篇不会去讲规则具体字段的使用，这个主要原因是Wazuh官方的文档写的实在是太详细了。 ## 规则类型 ### 根规则与派生规则(Parent/Child)
日志分析与HIDS系统之Wazuh配置预警规则
没有网络安全就没有国家安全
03-20 743
日志分析与HIDS系统之Wazuh配置预警规则
BT利器之wazuh
08-17 1960
BT利器之wazuh
Wazuh 安全监控指南（一）
龙哥盟
07-07 1073
你好！欢迎阅读《使用 Wazuh 进行安全监控》。在本书中，我们将探索使用 Wazuh 这一开源安全平台进行安全操作和管理的领域——该平台将安全事件与事件管理SIEM）和扩展检测与响应XDR）功能统一起来——以提升组织内部的威胁检测、事件响应、威胁狩猎和合规管理。Wazuh 将入侵检测、日志分析、文件完整性监控、漏洞检测和安全配置评估等强大功能结合成一个统一的解决方案。我将提供相关信息，并指导你通过部署 Wazuh 系统、与多个第三方安全工具的集成以及实际案例的方式，来帮助你掌握这些技能。
Wazuh与TheHive集成指南：配置SIEM安全监控
1. Wazuh：Wazuh是一个开源的安全监测平台，主要负责对系统的安全事件进行监测，保护计算机系统免受各种网络威胁。它可以收集、分析和存储安全事件数据，例如系统日志、网络流量、配置文件变化等，并且在检测到异常...
wazuh
Devotedakura的博客
08-20 2433
Wazuh 是一个免费、开源和企业级的安全监控解决方案，用于威胁检测、完整性监控、事件响应和合规性。Wazuh由部署到受监视系统的端点安全代理和管理服务器组成，管理服务器收集和分析代理收集的数据。此外，Wazuh已与Elastic Stack完全集成，提供了搜索引擎和数据可视化工具，使用户可以浏览其安全警报。Wazuh提供的功能包括日志数据分析，入侵和恶意软件检测，文件完整性监视，配置评估，漏洞检测以及对法规遵从性的支持。对于日志来说，最常见的需求就是收集、存储、查询、展示，
wazuh-ruleset：Wazuh-规则集
02-03
瓦祖规则集 该存储库处于只读模式，不再使用。 现在，所有与Wazuh规则集相关的内容都位于 。
wazuh安装与使用
weixin_53434577的博客
08-23 1672
下载：https://wazuh.com可以直接安装Linux这个，然后导入到Linux中就可以使用了。导入完毕后开启，使用远程连接工具进行连接，出现以下画面则成功了。之后可以看一下图形化界面，使用IP地址进行登录。账号和密码均为admin登录后所示页面。到此wazuh安装完毕，就可以使用wazuh了。
【主机入侵检测】Wazuh规则详解
不断学习，不断进步。
09-14 2209
Wazuh 规则是一组用XML格式编写的条件，它们定义了应该如何解释日志数据。这些规则由Wazuh Manager使用，用于在日志消息中检测特定的模式或行为，并相应地生成警报或响应。它们在威胁检测中扮演着至关重要的角色，因为它们允许系统根据预定义的标准识别潜在的安全事件。
Wazuh自定义规则
gehongzhou的专栏
11-18 2534
Wazuh会产生很多不必要的报警信息，通过Wazuh-manager端的/var/ossec/etc/rules/local_rules.xml可以增加一些规则来改变默认规则的行为，从而过滤不希望看到的告警。 <!-- Local rules --> <!-- Modify it at your will. --> <!-- Copyright (C) 2015-...
langchain4j-1.0.0-beta2.jar中文-英文对照文档.zip
07-20
1、压缩文件中包含： 中文-英文对照文档、jar包下载地址、Maven依赖、Gradle依赖、源代码下载地址。 2、使用方法： 解压最外层zip，再解压其中的zip包，双击 【index.html】 文件，即可用浏览器打开、进行查看。 3、特殊说明： （1）本文档为人性化翻译，精心制作，请放心使用； （2）只翻译了该翻译的内容，如：注释、说明、描述、用法讲解 等； （3）不该翻译的内容保持原样，如：类名、方法名、包名、类型、关键字、代码 等。 4、温馨提示： （1）为了防止解压后路径太长导致浏览器无法打开，推荐在解压时选择“解压到当前文件夹”（放心，自带文件夹，文件不会散落一地）； （2）有时，一套Java组件会有多个jar，所以在下载前，请仔细阅读本篇描述，以确保这就是你需要的文件。 5、本文件关键字： jar中文-英文对照文档.zip,java,jar包,Maven,第三方jar包,组件,开源组件,第三方组件,Gradle,中文API文档,手册,开发手册,使用手册,参考手册。
spring-ai-autoconfigure-vector-store-pgvector-1.0.0.jar中文文档.zip
07-20
1、压缩文件中包含： 中文文档、jar包下载地址、Maven依赖、Gradle依赖、源代码下载地址。 2、使用方法： 解压最外层zip，再解压其中的zip包，双击 【index.html】 文件，即可用浏览器打开、进行查看。 3、特殊说明： （1）本文档为人性化翻译，精心制作，请放心使用； （2）只翻译了该翻译的内容，如：注释、说明、描述、用法讲解 等； （3）不该翻译的内容保持原样，如：类名、方法名、包名、类型、关键字、代码 等。 4、温馨提示： （1）为了防止解压后路径太长导致浏览器无法打开，推荐在解压时选择“解压到当前文件夹”（放心，自带文件夹，文件不会散落一地）； （2）有时，一套Java组件会有多个jar，所以在下载前，请仔细阅读本篇描述，以确保这就是你需要的文件。 5、本文件关键字： jar中文文档.zip,java,jar包,Maven,第三方jar包,组件,开源组件,第三方组件,Gradle,中文API文档,手册,开发手册,使用手册,参考手册。
spring-ai-spring-boot-docker-compose-1.0.0-M6.jar中文-英文对照文档.zip
07-20
1、压缩文件中包含： 中文-英文对照文档、jar包下载地址、Maven依赖、Gradle依赖、源代码下载地址。 2、使用方法： 解压最外层zip，再解压其中的zip包，双击 【index.html】 文件，即可用浏览器打开、进行查看。 3、特殊说明： （1）本文档为人性化翻译，精心制作，请放心使用； （2）只翻译了该翻译的内容，如：注释、说明、描述、用法讲解 等； （3）不该翻译的内容保持原样，如：类名、方法名、包名、类型、关键字、代码 等。 4、温馨提示： （1）为了防止解压后路径太长导致浏览器无法打开，推荐在解压时选择“解压到当前文件夹”（放心，自带文件夹，文件不会散落一地）； （2）有时，一套Java组件会有多个jar，所以在下载前，请仔细阅读本篇描述，以确保这就是你需要的文件。 5、本文件关键字： jar中文-英文对照文档.zip,java,jar包,Maven,第三方jar包,组件,开源组件,第三方组件,Gradle,中文API文档,手册,开发手册,使用手册,参考手册。
langchain4j-1.0.0-beta3.jar中文文档.zip
最新发布
07-20
1、压缩文件中包含： 中文文档、jar包下载地址、Maven依赖、Gradle依赖、源代码下载地址。 2、使用方法： 解压最外层zip，再解压其中的zip包，双击 【index.html】 文件，即可用浏览器打开、进行查看。 3、特殊说明： （1）本文档为人性化翻译，精心制作，请放心使用； （2）只翻译了该翻译的内容，如：注释、说明、描述、用法讲解 等； （3）不该翻译的内容保持原样，如：类名、方法名、包名、类型、关键字、代码 等。 4、温馨提示： （1）为了防止解压后路径太长导致浏览器无法打开，推荐在解压时选择“解压到当前文件夹”（放心，自带文件夹，文件不会散落一地）； （2）有时，一套Java组件会有多个jar，所以在下载前，请仔细阅读本篇描述，以确保这就是你需要的文件。 5、本文件关键字： jar中文文档.zip,java,jar包,Maven,第三方jar包,组件,开源组件,第三方组件,Gradle,中文API文档,手册,开发手册,使用手册,参考手册。
中小学学校门户网站栏目版块及分工职责表(1).docx
07-20
中小学学校门户网站栏目版块及分工职责表(1).docx
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值