« LINUX:Wazuh: HIDS » : différence entre les versions
Aucun résumé des modifications |
Aucun résumé des modifications |
||
| Ligne 24 : | Ligne 24 : | ||
Le serveur décode, analyse ces éléments en suivant un ensemble de règles. En fonction des résultats, des actions sont effectuées: la journalisation, l'envoi de mails et enfin l'exécution d'une action spécifique sur l'agent émetteur (ou autres). Tous ces échanges se font via le port TCP 1514 par défaut entre le serveur et les agents distants. | Le serveur décode, analyse ces éléments en suivant un ensemble de règles. En fonction des résultats, des actions sont effectuées: la journalisation, l'envoi de mails et enfin l'exécution d'une action spécifique sur l'agent émetteur (ou autres). Tous ces échanges se font via le port TCP 1514 par défaut entre le serveur et les agents distants. | ||
[[FILE:LINUX:Wazuh2.png|800px|center]] | |||
'''Recommandation''': Le serveur doit être une machine à part, protégée et non celle qui subira de plein fouet les attaques. Car si l'agent est compromis, il aura normalement eu le temps d'envoyer quelques informations au serveur qui aura eu tout le temps de traiter. | '''Recommandation''': Le serveur doit être une machine à part, protégée et non celle qui subira de plein fouet les attaques. Car si l'agent est compromis, il aura normalement eu le temps d'envoyer quelques informations au serveur qui aura eu tout le temps de traiter. | ||
'''Remarque''': Nous n'abordons pas la récupération de journaux via le port 514 (UDP ou TCP) suivant la fonctionnalité "Syslog". De même un port TCP 55000 est activé sur le serveur pour l'utilisation des APIs. Il est utile si on ajoute les paquets "elasticsearch", "filebeat", "opendistroforelasticsearch-kibana" qui ajoutent des interfaces Web d'analyses des résultats. Cette facette ne sera également pas abordée. Notons que ce dernier point demande pas mal de ressources. | |||
=Installation= | |||
==Dépôt== | |||
Avant l'installation, il faut pouvoir accéder au dépôt. On procède par la création d'un fichier "wazuh.repo" dans le répertoire "/etc/yum.repos.d". Ce fichier est à créer sur le serveur et sur chaque agent distant. | |||
Voici son contenu: | |||
---- | |||
[wazuh] | |||
gpgcheck=1 | |||
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH | |||
enabled=1 | |||
name=EL-$releasever - Wazuh | |||
baseurl=https://packages.wazuh.com/4.x/yum/ | |||
protect=1 | |||
---- | |||
Il est préférable ensuite de procéder à un nettoyage: | |||
dnf clean all | |||
==Installation sur le serveur== | |||
On installe le paquet suivant sur le serveur: | |||
dnf install wazuh-manager | |||
==Installation sur chaque agent distant== | |||
On installe le paquet suivant sur l'agent: | |||
dnf install wazuh-agent | |||
services | |||
test configuration | |||
test regle | |||