Despliegue de Wazuh

Configuración

Después de la instalación básica de Wazuh Manager, Indexer y Dashboard, es necesario realizar una configuración adicional para mejorar la seguridad y la usabilidad. Nos centraremos en la configuración de TLS/HTTPS para el Dashboard a través de Certbot y Nginx, así como en una verificación básica de la operatividad.

1. Configuración de Nginx como proxy inverso para Wazuh Dashboard

Aunque Wazuh Dashboard puede funcionar directamente en el puerto 443, el uso de Nginx como proxy inverso ofrece más flexibilidad, permite integrar fácilmente Certbot para la emisión automática de certificados SSL de Let's Encrypt y gestionar el tráfico de forma centralizada.

1.1. Instalación de Nginx

sudo apt install nginx -y # Instalación de Nginx
sudo systemctl enable nginx # Habilitar el inicio automático de Nginx
sudo systemctl start nginx # Iniciar Nginx

1.2. Creación de la configuración de Nginx para Wazuh Dashboard

Deshabilitaremos Wazuh Dashboard de la escucha directa en el puerto 443 y configuraremos Nginx. Primero, cambiaremos el puerto del Dashboard para que no entre en conflicto con Nginx. Abra /etc/wazuh-dashboard/opensearch_dashboards.yml.

sudo nano /etc/wazuh-dashboard/opensearch_dashboards.yml

Cambie server.port a, por ejemplo, 5601:

server.port: 5601 # Cambiamos el puerto para el Dashboard

Guarde y salga. Reinicie el Dashboard:

sudo systemctl restart wazuh-dashboard

Ahora cree un nuevo archivo de configuración de Nginx para su dominio (por ejemplo, wazuh.yourdomain.com).

sudo nano /etc/nginx/sites-available/wazuh.yourdomain.com

Pegue la siguiente configuración, reemplazando wazuh.yourdomain.com con su dominio real:

server {
    listen 80;
    listen [::]:80;
    server_name wazuh.yourdomain.com;
    return 301 https://$host$request_uri; # Redirección de HTTP a HTTPS
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name wazuh.yourdomain.com;

    ssl_certificate /etc/letsencrypt/live/wazuh.yourdomain.com/fullchain.pem; # Será generado por Certbot
    ssl_certificate_key /etc/letsencrypt/live/wazuh.yourdomain.com/privkey.pem; # Será generado por Certbot
    ssl_session_cache shared:SSL:10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384";
    ssl_prefer_server_ciphers on;

    location / {
        proxy_pass http://localhost:5601; # Hacemos proxy al puerto del Dashboard
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_buffering off;
        proxy_http_version 1.1;
        proxy_set_header Connection "Keep-Alive";
        proxy_set_header Proxy-Connection "Keep-Alive";
        proxy_read_timeout 600s;
        proxy_send_timeout 600s;
    }
}

Guarde y salga. Active la configuración y verifique la sintaxis de Nginx:

sudo ln -s /etc/nginx/sites-available/wazuh.yourdomain.com /etc/nginx/sites-enabled/ # Creación de un enlace simbólico
sudo nginx -t # Verificación de la sintaxis de Nginx
sudo systemctl restart nginx # Reinicio de Nginx

2. Instalación de Certbot y obtención de un certificado SSL de Let's Encrypt

Ahora que Nginx está configurado, obtendremos un certificado SSL gratuito de Let's Encrypt utilizando Certbot.

2.1. Instalación de Certbot

sudo apt install certbot python3-certbot-nginx -y # Instalación de Certbot y el plugin para Nginx

2.2. Obtención del certificado

Asegúrese de que su dominio (wazuh.yourdomain.com) apunte a la dirección IP de su VPS en los registros DNS. Luego, ejecute:

sudo certbot --nginx -d wazuh.yourdomain.com # Ejecutar Certbot para obtener el certificado

Certbot hará varias preguntas (correo electrónico, aceptación de términos, redirección de HTTP a HTTPS). Elija la redirección automática. Certbot modificará automáticamente la configuración de Nginx, añadiendo las rutas a los certificados. Tras una finalización exitosa, verá un mensaje indicando que el certificado se ha instalado correctamente. Certbot también configurará la renovación automática del certificado.

3. Verificación de la operatividad

Ahora que todo está configurado, verificaremos la disponibilidad y operatividad de Wazuh.

• Acceso al Dashboard: Abra un navegador web y vaya a https://wazuh.yourdomain.com. Debería ver la página de inicio de sesión de Wazuh Dashboard con un certificado SSL válido. Use el usuario admin y la contraseña admin (por defecto) para iniciar sesión.
• Verificación del estado de los servicios:

sudo systemctl status wazuh-manager wazuh-indexer wazuh-dashboard nginx # Verificación del estado de todos los servicios

• Verificación de la API de Wazuh Manager:

curl -u wazuh:wazuh -k "https://localhost:55000/api/overview/info" # Verificación de la API del Manager

Debería recibir una respuesta JSON con información sobre el Manager. La contraseña por defecto para la API del Manager es wazuh.

4. Cambio de contraseñas por defecto

MUY IMPORTANTE: Cambie las contraseñas por defecto para Indexer/Dashboard (admin:admin) y la API de Wazuh (wazuh:wazuh) inmediatamente después de la instalación. Las instrucciones para cambiar las contraseñas se pueden encontrar en la documentación oficial de Wazuh, ya que el proceso puede variar para diferentes versiones. Normalmente, esto se hace a través de las utilidades CLI de OpenSearch o Wazuh.

Para Indexer/Dashboard: use la utilidad securityadmin.sh (para OpenSearch 2.x):

sudo /usr/share/wazuh-indexer/plugins/opensearch-security/tools/wazuh-passwords-tool.sh # Herramienta interactiva para cambiar contraseñas

Para la API de Wazuh: cambie la contraseña en el archivo /var/ossec/etc/ossec.conf en la sección o use la utilidad agent_auth para generar una nueva clave API.

Copias de seguridad y mantenimiento

Las copias de seguridad regulares y el mantenimiento oportuno son aspectos clave para garantizar la estabilidad y seguridad de su sistema SIEM Wazuh.

1. Qué respaldar

Para Wazuh SIEM, los siguientes componentes son críticamente importantes:

• Datos del Indexer (OpenSearch): Esta es la parte más grande e importante. Aquí se almacenan todos los logs y eventos de seguridad recopilados. Se deben respaldar los índices.
• Configuración de Wazuh Manager: Archivos en /var/ossec/etc/, especialmente ossec.conf, agent_keys (aunque se pueden restaurar al volver a registrar los agentes), decoders, rules y shared.
• Configuración de Wazuh Dashboard: El archivo /etc/wazuh-dashboard/opensearch_dashboards.yml y cualquier visualización/dashboard personalizado, si no están almacenados en el Indexer.
• Certificados: Todos los certificados SSL/TLS generados y utilizados (por ejemplo, en /etc/wazuh-indexer/certs/, /etc/wazuh-dashboard/certs/, /etc/letsencrypt/).

2. Script simple de copia de seguridad automática para configuraciones

Para los archivos de configuración, se puede usar un script simple con rsync o tar, ejecutado por cron. Para los datos del Indexer, es mejor usar los mecanismos integrados de OpenSearch.

Ejemplo de script para la copia de seguridad de configuraciones (/opt/wazuh-backup.sh):

#!/bin/bash

# Directorio para copias de seguridad temporales
BACKUP_DIR="/var/backups/wazuh_configs"
DATE=$(date +%Y%m%d_%H%M%S)
BACKUP_FILE="${BACKUP_DIR}/wazuh_configs_${DATE}.tar.gz"

# Creación del directorio si no existe
mkdir -p "$BACKUP_DIR"

# Archivando archivos críticamente importantes
tar -czf "$BACKUP_FILE" \
    /var/ossec/etc/ossec.conf \
    /var/ossec/etc/agent_keys \
    /var/ossec/etc/decoders \
    /var/ossec/etc/rules \
    /var/ossec/etc/shared \
    /etc/wazuh-indexer/opensearch.yml \
    /etc/wazuh-indexer/certs/ \
    /etc/wazuh-dashboard/opensearch_dashboards.yml \
    /etc/wazuh-dashboard/certs/ \
    /etc/nginx/sites-available/wazuh.yourdomain.com \
    /etc/letsencrypt/live/wazuh.yourdomain.com/ \
    /etc/letsencrypt/archive/wazuh.yourdomain.com/

# Eliminación de copias de seguridad antiguas (por ejemplo, de más de 7 días)
find "$BACKUP_DIR" -type f -name "*.tar.gz" -mtime +7 -delete

echo "Copia de seguridad de las configuraciones de Wazuh completada: $BACKUP_FILE"

Haga que el script sea ejecutable:

sudo chmod +x /opt/wazuh-backup.sh

Añádalo a crontab para su ejecución diaria (por ejemplo, a las 3 de la mañana):

sudo crontab -e

Añada la línea:

0 3 * * * /opt/wazuh-backup.sh > /dev/null 2>&1

3. Dónde almacenar las copias de seguridad

El almacenamiento local de copias de seguridad en el mismo servidor está sujeto al riesgo de pérdida de datos en caso de fallo del servidor. Se recomienda utilizar almacenamiento remoto:

• Almacenamiento en la nube (compatible con S3): AWS S3, DigitalOcean Spaces, Backblaze B2. Para esto, se pueden usar utilidades como s3cmd o rclone.
• VPS separado: Configure un segundo VPS como almacenamiento de copias de seguridad y use rsync a través de SSH para la sincronización.
• Almacenamiento en red (NFS/SMB): Si tiene una red local.

4. Copia de seguridad de datos del Indexer (OpenSearch Snapshots)

OpenSearch tiene una funcionalidad integrada de snapshots para crear copias de seguridad incrementales de índices. Para ello, es necesario registrar un repositorio (por ejemplo, S3 o una ruta local) y luego crear instantáneas.

Ejemplo de registro de un repositorio local (para pruebas):

sudo mkdir /var/lib/wazuh-indexer/snapshots # Creación del directorio para instantáneas
sudo chown wazuh-indexer:wazuh-indexer /var/lib/wazuh-indexer/snapshots # Establecimiento de permisos

Luego, a través de la API del Indexer:

curl -XPUT "https://localhost:9200/_snapshot/my_backup_repository" -u admin:admin -k -H 'Content-Type: application/json' -d '{
  "type": "fs",
  "settings": {
    "location": "/var/lib/wazuh-indexer/snapshots"
  }
}'

Y creación de una instantánea:

curl -XPUT "https://localhost:9200/_snapshot/my_backup_repository/snapshot_1?wait_for_completion=true" -u admin:admin -k

En producción, se recomienda utilizar repositorios compatibles con S3 y automatizar la creación de instantáneas a través de Index State Management o cron.

5. Actualizaciones: rolling vs ventana de mantenimiento

La actualización de Wazuh y sus componentes requiere un enfoque cuidadoso.

• Wazuh Manager/Indexer/Dashboard: Para despliegues pequeños en un solo VPS, utilice el enfoque de "ventana de mantenimiento". Programe un tiempo en el que el tiempo de inactividad del sistema sea menos crítico. Detenga todos los servicios, actualice los paquetes y luego inícielos. Lea siempre las notas de la versión oficiales antes de actualizar, ya que puede haber cambios en la configuración o el procedimiento.

sudo systemctl stop wazuh-dashboard wazuh-manager wazuh-indexer
sudo apt update && sudo apt upgrade -y # Actualización de todos los paquetes
sudo systemctl start wazuh-indexer wazuh-manager wazuh-dashboard

• Wazuh Agents: Los agentes se pueden actualizar de forma "rolling" (gradual) para evitar un tiempo de inactividad masivo. Wazuh proporciona la funcionalidad de actualización remota de agentes a través de la API o Kibana.
• Sistema: Actualice regularmente el sistema operativo (sudo apt update && sudo apt upgrade -y) para obtener parches de seguridad.

¡Siempre haga una copia de seguridad antes de actualizaciones importantes!

Conclusiones y próximos pasos

Hemos desplegado con éxito un sistema Wazuh SIEM completo en un único VPS, configurando todos los componentes necesarios: Wazuh Manager, Indexer (OpenSearch) y Dashboard (OpenSearch Dashboards). Ahora dispone de una potente herramienta para la monitorización de seguridad, la detección de amenazas y la gestión centralizada de logs. Esto aumenta significativamente la transparencia y la seguridad de su infraestructura.

Para aprovechar al máximo su nuevo sistema SIEM, considere los siguientes pasos:

1. Despliegue de agentes: Instale los agentes de Wazuh en todos sus servidores, estaciones de trabajo e instancias en la nube que desee monitorear. Esto permitirá recopilar datos de todas las fuentes.
2. Ajuste fino de reglas y decodificadores: Explore la documentación de Wazuh para crear sus propias reglas de detección de amenazas y decodificadores de logs, específicos para sus aplicaciones e infraestructura.
3. Integración con otros sistemas: Considere la integración de Wazuh con sistemas de notificación (Slack, Telegram, correo electrónico), de tickets (Jira) u otras herramientas de seguridad para automatizar la respuesta a incidentes.
4. Monitorización del rendimiento: Monitoree regularmente el rendimiento de su VPS y los componentes de Wazuh para asegurarse de que el sistema maneja el volumen de datos y, si es necesario, considere la escalabilidad (aumento de los recursos del VPS o transición a una arquitectura de clúster).