Instalace agenta WAZUH

Agent Wazuh

Agent Wazuh je multiplatformní a běží na hostitelích, které chce uživatel sledovat. Komunikuje se správcem Wazuh a odesílá data téměř v reálném čase prostřednictvím šifrovaného a ověřeného kanálu.

Agent byl vyvinut s ohledem na potřebu monitorovat širokou škálu různých koncových bodů bez dopadu na jejich výkon. Proto je podporován na nejpopulárnějších operačních systémech a vyžaduje pouze asi 0,1 GB RAM

Nasazení agentů Wazuh v systémech Linux

Agent tedy běží na hostiteli, kterého chcete monitorovat, a komunikuje se správcem Wazuh a odesílá data téměř v reálném čase prostřednictvím šifrovaného a ověřeného kanálu.

Nasazení agenta Wazuh v systému Linux používá proměnné nasazení, které usnadňují instalaci, registraci a konfiguraci agenta. Případně, pokud si chcete stáhnout balíček agenta Wazuh přímo

Přidejte úložiště Wazuh

Přidejte úložiště Wazuh a stáhněte si oficiální balíčky.

Import GPG klíče:

rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH

Přidejte úložiště:

cat > /etc/yum.repos.d/wazuh.repo << EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-\$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF

Nasazení agenta Wazuh

Chcete-li nasadit agenta Wazuh do svého systému, vyberte správce balíčků a upravte WAZUH_MANAGER proměnnou, která bude obsahovat vaši IP adresu správce Wazuh nebo název hostitele.

WAZUH_MANAGER="10.0.0.2" 
yum install wazuh-agent

Nezapomeňte prosím aktualizovat /etc/hosts na obou serverech pomocí IP a názvu hostitele serveru a agenta

Povolte a spusťte službu agenta Wazuh

systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent

Proces nasazení je nyní dokončen a agent Wazuh úspěšně běží na vašem systému Linux.

Doporučená akce – Zakázat aktualizace Wazuh

sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

Odinstalujte agenta Wazuh

Chcete-li agenta odinstalovat, vyberte správce balíčků a spusťte následující příkaz.

yum remove wazuh-agent

Některé soubory označené jako konfigurační soubory. Kvůli tomuto označení správce balíčků tyto soubory ze souborového systému neodstraní. Pokud chcete úplně odstranit všechny soubory, smažte /var/ossec složka.

Kontrola připojení se správcem

Než zkontrolujete spojení agenta s manažerem, nejprve se ujistěte, že agent ukazuje na IP adresu manažera. Toto se nastavuje v ossec.conf pomocí <client> XML tag. Více o tom

<ossec_config>
  <client>
    <server>
      <address>10.0.0.10</address>
      <protocol>tcp</protocol>
    </server>
  </client>
</ossec_config>

Tím se jako server Wazuh nastaví 10.0.0.10. Jakmile to uděláte, budete muset restartovat Agenta:

systemctl restart wazuh-agent

Poté, co zaregistrujete agenta a úspěšně se připojí, můžete vidět seznam agentů, kteří jsou_ připojeni k manažerovi pomocí

/var/ossec/bin/agent_control -lc

Můžete také zkontrolovat, zda se agent připojil správně, ověřením, zda bylo navázáno spojení TCP s manažerem:

netstat -vatunp|grep wazuh-agentd

Nebo

Ověřte, že se agent správně připojil:

# grep ^status /var/ossec/var/run/wazuh-agentd.state

Výsledek by měl odpovídat IP adresám agenta a správce.