Wazuh — podstawy

Wazuh w tym projekcie jest SIEM-em laboratoryjnym: agent na endpoincie, manager, indeks, dashboard. Na jednym hypervisorze często siedzą razem. To nie jest wdrożenie enterprise (klastry, multi-tenant, 90-dniowe SLA retencji).

Łańcuch

zdarzenie na hoście → agent → dekoder / reguła → alert → analityk

Jeśli nie umiesz wskazać, który krok zawiódł, nie dokładaj kolejnej reguły.

Praktyczny porządek sprawdzenia:

1. czy log w ogóle powstaje na hoście (Event Viewer / journalctl)
2. czy agent go wysyła (agent connected, brak ciszy w ossec.log)
3. czy dekoder zostawił pola, których używa reguła
4. czy alert ma ten sam czas i host co log
5. czy umiesz go zamknąć jako FP z uzasadnieniem

Co ćwiczyć najpierw

1. log z Windows i z Linuxa widać w managerze
2. jedna reguła z testem pozytywnym — szablon w Zasobach
3. alert, który umiesz odtworzyć tym samym poleceniem

Nie kopiuj zestawu reguł „enterprise” do labu na dzień pierwszy. Pusta rubryka w szablonie znaczy nie włączaj.

Szerszy kontekst SIEM: Wazuh jako punkt startowy. Portfolio labu: Wazuh SIEM.