Розгортання Wazuh SIEM

Конфігурація

Після базової інсталяції Wazuh Manager, Indexer та Dashboard, необхідно виконати додаткову конфігурацію для підвищення безпеки та зручності використання. Основну увагу приділимо налаштуванню TLS/HTTPS для Dashboard через Certbot та Nginx, а також базовій перевірці працездатності.

1. Налаштування Nginx як зворотного проксі для Wazuh Dashboard

Хоча Wazuh Dashboard може працювати безпосередньо на порту 443, використання Nginx як зворотного проксі дає більше гнучкості, дозволяє легко інтегрувати Certbot для автоматичного випуску SSL-сертифікатів Let's Encrypt та централізовано керувати трафіком.

1.1. Встановлення Nginx

sudo apt install nginx -y # Встановлення Nginx
sudo systemctl enable nginx # Увімкнення автозапуску Nginx
sudo systemctl start nginx # Запуск Nginx

1.2. Створення конфігурації Nginx для Wazuh Dashboard

Відключимо Wazuh Dashboard від прямого прослуховування порту 443 та налаштуємо Nginx. Спочатку змінимо порт Dashboard, щоб він не конфліктував з Nginx. Відкрийте /etc/wazuh-dashboard/opensearch_dashboards.yml.

sudo nano /etc/wazuh-dashboard/opensearch_dashboards.yml

Змініть server.port на, наприклад, 5601:

server.port: 5601 # Змінюємо порт для Dashboard

Збережіть та вийдіть. Перезапустіть Dashboard:

sudo systemctl restart wazuh-dashboard

Тепер створіть новий файл конфігурації Nginx для вашого домену (наприклад, wazuh.yourdomain.com).

sudo nano /etc/nginx/sites-available/wazuh.yourdomain.com

Вставте наступну конфігурацію, замінивши wazuh.yourdomain.com на ваш фактичний домен:

server {
    listen 80;
    listen [::]:80;
    server_name wazuh.yourdomain.com;
    return 301 https://$host$request_uri; # Перенаправлення HTTP на HTTPS
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name wazuh.yourdomain.com;

    ssl_certificate /etc/letsencrypt/live/wazuh.yourdomain.com/fullchain.pem; # Буде згенеровано Certbot
    ssl_certificate_key /etc/letsencrypt/live/wazuh.yourdomain.com/privkey.pem; # Буде згенеровано Certbot
    ssl_session_cache shared:SSL:10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384";
    ssl_prefer_server_ciphers on;

    location / {
        proxy_pass http://localhost:5601; # Проксіюємо на порт Dashboard
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_buffering off;
        proxy_http_version 1.1;
        proxy_set_header Connection "Keep-Alive";
        proxy_set_header Proxy-Connection "Keep-Alive";
        proxy_read_timeout 600s;
        proxy_send_timeout 600s;
    }
}

Збережіть та вийдіть. Активуйте конфігурацію та перевірте синтаксис Nginx:

sudo ln -s /etc/nginx/sites-available/wazuh.yourdomain.com /etc/nginx/sites-enabled/ # Створення символічного посилання
sudo nginx -t # Перевірка синтаксису Nginx
sudo systemctl restart nginx # Перезапуск Nginx

2. Встановлення Certbot та отримання SSL-сертифіката Let's Encrypt

Тепер, коли Nginx налаштовано, отримаємо безкоштовний SSL-сертифікат від Let's Encrypt за допомогою Certbot.

2.1. Встановлення Certbot

sudo apt install certbot python3-certbot-nginx -y # Встановлення Certbot та плагіна для Nginx

2.2. Отримання сертифіката

Переконайтеся, що ваш домен (wazuh.yourdomain.com) вказує на IP-адресу вашого VPS у DNS-записах. Потім виконайте:

sudo certbot --nginx -d wazuh.yourdomain.com # Запуск Certbot для отримання сертифіката

Certbot поставить кілька запитань (email, згода з умовами, перенаправлення HTTP на HTTPS). Виберіть автоматичне перенаправлення. Certbot автоматично змінить конфігурацію Nginx, додавши шляхи до сертифікатів. Після успішного завершення ви побачите повідомлення про те, що сертифікат успішно встановлено. Certbot також налаштує автоматичне оновлення сертифіката.

3. Перевірка працездатності

Тепер, коли все налаштовано, перевіримо доступність та працездатність Wazuh.

• Доступ до Dashboard: Відкрийте веб-браузер і перейдіть за адресою https://wazuh.yourdomain.com. Ви повинні побачити сторінку входу в Wazuh Dashboard з дійсним SSL-сертифікатом. Використовуйте логін admin та пароль admin (за замовчуванням) для входу.
• Перевірка стану служб:

sudo systemctl status wazuh-manager wazuh-indexer wazuh-dashboard nginx # Перевірка статусу всіх служб

• Перевірка API Wazuh Manager:

curl -u wazuh:wazuh -k "https://localhost:55000/api/overview/info" # Перевірка API Manager

Ви повинні отримати JSON-відповідь з інформацією про Manager. Пароль за замовчуванням для API Manager - wazuh.

4. Зміна паролів за замовчуванням

ДУЖЕ ВАЖЛИВО: Змініть паролі за замовчуванням для Indexer/Dashboard (admin:admin) та Wazuh API (wazuh:wazuh) негайно після встановлення. Інструкції щодо зміни паролів можна знайти в офіційній документації Wazuh, оскільки процес може відрізнятися для різних версій. Зазвичай це робиться через CLI-утиліти OpenSearch або Wazuh.

Для Indexer/Dashboard: використовуйте утиліту securityadmin.sh (для OpenSearch 2.x):

sudo /usr/share/wazuh-indexer/plugins/opensearch-security/tools/wazuh-passwords-tool.sh # Інтерактивний інструмент для зміни паролів

Для Wazuh API: змініть пароль у файлі /var/ossec/etc/ossec.conf у секції або використовуйте утиліту agent_auth для генерації нового ключа API.

Резервне копіювання та обслуговування

Регулярне резервне копіювання та своєчасне обслуговування є ключовими аспектами для забезпечення стабільності та безпеки вашої SIEM-системи Wazuh.

1. Що резервувати

Для Wazuh SIEM критично важливі наступні компоненти:

• Дані Indexer (OpenSearch): Це найбільша та найважливіша частина. Тут зберігаються всі зібрані логи та події безпеки. Резервувати потрібно індекси.
• Конфігурація Wazuh Manager: Файли в /var/ossec/etc/, особливо ossec.conf, agent_keys (хоча їх можна відновити при перереєстрації агентів), decoders, rules та shared.
• Конфігурація Wazuh Dashboard: Файл /etc/wazuh-dashboard/opensearch_dashboards.yml та будь-які кастомні візуалізації/дашборди, якщо вони не зберігаються в Indexer.
• Сертифікати: Усі згенеровані та використовувані SSL/TLS сертифікати (наприклад, у /etc/wazuh-indexer/certs/, /etc/wazuh-dashboard/certs/, /etc/letsencrypt/).

2. Простий скрипт авторезервування для конфігурацій

Для конфігураційних файлів можна використовувати простий скрипт з rsync або tar, що запускається за cron. Для даних Indexer краще використовувати вбудовані механізми OpenSearch.

Приклад скрипта для резервування конфігурацій (/opt/wazuh-backup.sh):

#!/bin/bash

# Каталог для тимчасових резервних копій
BACKUP_DIR="/var/backups/wazuh_configs"
DATE=$(date +%Y%m%d_%H%M%S)
BACKUP_FILE="${BACKUP_DIR}/wazuh_configs_${DATE}.tar.gz"

# Створення каталогу, якщо він не існує
mkdir -p "$BACKUP_DIR"

# Архівація критично важливих файлів
tar -czf "$BACKUP_FILE" \
    /var/ossec/etc/ossec.conf \
    /var/ossec/etc/agent_keys \
    /var/ossec/etc/decoders \
    /var/ossec/etc/rules \
    /var/ossec/etc/shared \
    /etc/wazuh-indexer/opensearch.yml \
    /etc/wazuh-indexer/certs/ \
    /etc/wazuh-dashboard/opensearch_dashboards.yml \
    /etc/wazuh-dashboard/certs/ \
    /etc/nginx/sites-available/wazuh.yourdomain.com \
    /etc/letsencrypt/live/wazuh.yourdomain.com/ \
    /etc/letsencrypt/archive/wazuh.yourdomain.com/

# Видалення старих резервних копій (наприклад, старших за 7 днів)
find "$BACKUP_DIR" -type f -name "*.tar.gz" -mtime +7 -delete

echo "Резервне копіювання конфігурацій Wazuh завершено: $BACKUP_FILE"

Зробіть скрипт виконуваним:

sudo chmod +x /opt/wazuh-backup.sh

Додайте його до crontab для щоденного виконання (наприклад, о 3 годині ночі):

sudo crontab -e

Додайте рядок:

0 3 * * * /opt/wazuh-backup.sh > /dev/null 2>&1

3. Куди зберігати резервні копії

Локальне зберігання резервних копій на тому ж сервері піддається ризику втрати даних у разі збою сервера. Рекомендується використовувати віддалене сховище:

• Хмарне сховище (S3-сумісне): AWS S3, DigitalOcean Spaces, Backblaze B2. Для цього можна використовувати утиліти на кшталт s3cmd або rclone.
• Окремий VPS: Налаштуйте другий VPS як сховище резервних копій та використовуйте rsync по SSH для синхронізації.
• Мережеве сховище (NFS/SMB): Якщо у вас є локальна мережа.

4. Резервне копіювання даних Indexer (OpenSearch Snapshots)

OpenSearch має вбудовану функціональність snapshots для створення інкрементальних резервних копій індексів. Для цього необхідно зареєструвати репозиторій (наприклад, S3 або локальний шлях) і потім створювати знімки.

Приклад реєстрації локального репозиторію (для тестування):

sudo mkdir /var/lib/wazuh-indexer/snapshots # Створення каталогу для знімків
sudo chown wazuh-indexer:wazuh-indexer /var/lib/wazuh-indexer/snapshots # Встановлення прав

Потім через API Indexer:

curl -XPUT "https://localhost:9200/_snapshot/my_backup_repository" -u admin:admin -k -H 'Content-Type: application/json' -d '{
  "type": "fs",
  "settings": {
    "location": "/var/lib/wazuh-indexer/snapshots"
  }
}'

І створення знімка:

curl -XPUT "https://localhost:9200/_snapshot/my_backup_repository/snapshot_1?wait_for_completion=true" -u admin:admin -k

У продакшені рекомендується використовувати S3-сумісні репозиторії та автоматизувати створення знімків через Index State Management або cron.

5. Оновлення: rolling vs maintenance window

Оновлення Wazuh та його компонентів вимагає уважного підходу.

• Wazuh Manager/Indexer/Dashboard: Для малих розгортань на одному VPS використовуйте підхід "maintenance window" (вікно обслуговування). Заплануйте час, коли простій системи буде найменш критичним. Зупиніть усі служби, оновіть пакети, а потім запустіть їх. Завжди читайте офіційні release notes перед оновленням, оскільки можуть бути зміни в конфігурації або процедурі.

sudo systemctl stop wazuh-dashboard wazuh-manager wazuh-indexer
sudo apt update && sudo apt upgrade -y # Оновлення всіх пакетів
sudo systemctl start wazuh-indexer wazuh-manager wazuh-dashboard

• Wazuh Agents: Агенти можна оновлювати "rolling" (поступово), щоб не викликати масового простою. Wazuh надає функціональність віддаленого оновлення агентів через API або Kibana.
• Система: Регулярно оновлюйте операційну систему (sudo apt update && sudo apt upgrade -y) для отримання патчів безпеки.

Завжди робіть резервну копію перед великими оновленнями!

Вирішення проблем + FAQ

У цьому розділі зібрано типові проблеми та відповіді на поширені запитання, які можуть виникнути під час розгортання та експлуатації Wazuh SIEM.

Не вдається підключитися до Wazuh Dashboard через браузер.

Що перевірити:

1. Переконайтеся, що Nginx і Wazuh Dashboard запущені: sudo systemctl status nginx wazuh-dashboard.
2. Перевірте, що порт 443 відкрито у фаєрволі: sudo ufw status.
3. Перевірте логи Nginx (sudo tail -f /var/log/nginx/error.log) та Wazuh Dashboard (sudo tail -f /var/log/wazuh-dashboard/wazuh-dashboard.log) на наявність помилок.
4. Переконайтеся, що доменне ім'я правильно вказує на IP-адресу вашого VPS.

Як виправити: Перезапустіть служби. Якщо проблема в Nginx, перевірте конфігурацію (sudo nginx -t). Якщо в Dashboard, переконайтеся, що він налаштований на правильний порт (наприклад, 5601) і Indexer доступний.

Wazuh Indexer (OpenSearch) не запускається або працює нестабільно.

Що перевірити:

1. Перевірте логи Indexer: sudo journalctl -u wazuh-indexer -f або sudo tail -f /var/log/wazuh-indexer/wazuh-indexer.log.
2. Переконайтеся, що достатньо оперативної пам'яті. OpenSearch дуже вимогливий до RAM.
3. Перевірте вільне місце на диску: df -h.
4. Перевірте конфігурацію /etc/wazuh-indexer/opensearch.yml на наявність помилок, особливо шляхи до сертифікатів.

Як виправити: Збільште обсяг RAM для VPS, якщо це можливо. Звільніть місце на диску. Виправте помилки в конфігурації та перезапустіть службу.

Агенти Wazuh не підключаються до Manager.

Що перевірити:

1. Переконайтеся, що Wazuh Manager запущено: sudo systemctl status wazuh-manager.
2. Перевірте, що порт 1514/TCP відкрито у фаєрволі вашого VPS: sudo ufw status.
3. Перевірте логи Manager: sudo journalctl -u wazuh-manager -f.
4. Переконайтеся, що агенти налаштовані на правильну IP-адресу/FQDN Manager і використовують правильний ключ.

Як виправити: Перевірте мережеву доступність між агентом і Manager (telnet ВАШ_IP_АДРЕС 1514). Переконайтеся, що ключі агентів коректно імпортовані та використовуються. Перезапустіть агент на клієнтській машині.

Яка мінімальна конфігурація VPS підійде?

Для тестового розгортання або дуже невеликого середовища (до 10 агентів) можна почати з VPS з 2-4 vCPU, 8 GB RAM і 100 GB NVMe SSD. Однак для стабільної роботи та зберігання даних протягом розумного періоду (кілька тижнів) рекомендується не менше 4 vCPU, 12-16 GB RAM і 200 GB NVMe SSD. Менші конфігурації можуть призвести до уповільнення індексації та проблем з продуктивністю при зростанні обсягу логів.

Що обрати — VPS чи dedicated для цього завдання?

Вибір між VPS і dedicated сервером залежить від масштабу вашої інфраструктури та обсягу даних. Для невеликих і середніх розгортань (до 50-100 агентів) з помірним обсягом логів, VPS з хорошими характеристиками (як описано вище) буде достатнім та економічно вигідним. Якщо ж ви плануєте моніторити сотні агентів, обробляти терабайти логів, мати тривалий термін зберігання даних або вимагаєте максимальної продуктивності та передбачуваності, то dedicated сервер з високопродуктивним CPU, великим обсягом RAM і швидким дисковим масивом буде кращим. Dedicated сервери забезпечують ексклюзивний доступ до всіх фізичних ресурсів, що є критичним для високонавантажених SIEM-систем.

Як оновити Wazuh до нової версії?

Оновлення Wazuh зазвичай включає зупинку всіх компонентів (Indexer, Manager, Dashboard), оновлення пакетів через менеджер пакетів (apt upgrade), а потім їх послідовний запуск. Завжди перевіряйте офіційну документацію Wazuh для конкретної версії, до якої ви оновлюєтеся, оскільки можуть бути спеціальні кроки або зміни в конфігурації. Перед оновленням обов'язково зробіть повний бекап системи.

Як змінити пароль для користувача admin Dashboard?

Пароль для користувача admin у Wazuh Dashboard (OpenSearch Dashboards) керується OpenSearch. Для його зміни вам потрібно використовувати утиліту wazuh-passwords-tool.sh, яка знаходиться в директорії плагінів безпеки Indexer. Запустіть її з правами sudo, і вона запропонує інтерактивно змінити паролі для різних користувачів, включаючи admin. Після зміни пароля, можливо, знадобиться перезапустити Indexer і Dashboard.

Висновки та наступні кроки

Ми успішно розгорнули комплексну систему Wazuh SIEM на одному VPS, налаштувавши всі необхідні компоненти: Wazuh Manager, Indexer (OpenSearch) та Dashboard (OpenSearch Dashboards). Тепер у вас є потужний інструмент для моніторингу безпеки, виявлення загроз та централізованого управління логами. Це значно підвищує прозорість та захищеність вашої інфраструктури.

Щоб максимально ефективно використовувати вашу нову SIEM-систему, розгляньте наступні кроки:

1. Розгортання агентів: Встановіть Wazuh агенти на всі ваші сервери, робочі станції та хмарні інстанси, які ви хочете моніторити. Це дозволить збирати дані з усіх джерел.
2. Тонке налаштування правил і декодерів: Вивчіть документацію Wazuh для створення власних правил виявлення загроз та декодерів логів, специфічних для ваших застосунків та інфраструктури.
3. Інтеграція з іншими системами: Розгляньте інтеграцію Wazuh із системами сповіщень (Slack, Telegram, email), тікетінгу (Jira) або іншими інструментами безпеки для автоматизації реагування на інциденти.
4. Моніторинг продуктивності: Регулярно відстежуйте продуктивність вашого VPS та компонентів Wazuh, щоб переконатися, що система справляється з обсягом даних, і за необхідності розгляньте масштабування (збільшення ресурсів VPS або перехід на кластерну архітектуру).