SIEM con Wazuh (Win & Linux)

Este laboratorio reúne instalación y configuración inicial. Que el dashboard abra no demuestra todavía que recibamos y detectemos los eventos esperados; esa verificación sigue necesitando evidencia.

Índice

Crear VM Windows Server
Crear VM
Instalar Wazuh
1. En Ubuntu
2. En WinServer
Configuración de Agente
Verificación: pendiente de documentar.

Crear VM Windows Server

Primero descargamos la ISO de Windows server 2022 desde el sitio oficial y procedemos a su instalación a través de Oracle's VirtualBox

nombre: WinServ22
RAM: >=4gb
Espacio: 50gb dinámico
Red: configuración usada en el ejercicio; puente no es un requisito universal
Edición: Desktop Experience <- Para GUI, pero podría ser sin ella

Crear VM

Similar con win server, descargamos el iso y realizamos instalación.

nombre: UbuntuServ
Ram: >=2gb
Espacio: 20gb dinámico
Red: conectividad hacia el endpoint Windows y servicios necesarios; no exige puente
Edición: -

Instalar Wazuh

Wazuh es un SIEM y XDR open source.

En Ubuntu

La VM original de 2 GB/20 GB no debe presentarse como dimensionamiento suficiente para todos los componentes centrales. El quickstart actual recomienda, para 1–25 agentes, 4 vCPU, 8 GiB de RAM y 50 GB. Verificar versión, sistema admitido y carga antes de repetirlo. Wazuh quickstart.

El comando del ejercicio fija la rama 4.12. Se conserva como dato histórico, no como instalador actual ni instalación probada de esa versión:

curl -sO https://packages.wazuh.com/4.12/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

El asistente entrega credenciales del despliegue. Guardarlas fuera de los apuntes públicos.

Para leer todas las contraseñas podemos usar el siguiente comando:

sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

Podemos comprobar su existencia accediendo al dashboard con nuestra IP y entrando al puerto 443

asegurarnos de que los puertos que utiliza no esten bloqueados por firewall No abrir una lista indistinta: por defecto 1514/TCP recibe agentes, 1515/TCP sirve al enrolamiento, 55000/TCP a la API y 443/TCP al dashboard; 9200/TCP es del indexer. Limitar cada flujo al origen y componente que lo necesita. 5601 no es el puerto por defecto del dashboard de esta arquitectura. Puertos oficiales.

En WinServer

Descargamos el agente como se nos menciona y guía en su sitio. También nos explica para qué es:

El agente corre en el endpoint que quieres monitorear y se comunica con el servidor Wazuh, enviando datos en tiempo casi-real a través de un canal encriptado y autenticado.

Instalarlo es sencillo con GUI, simplemente se descarga el msi, se instala de forma normal, al ejecutarlo vemos esto:

Desde esa misma parte podemos acceder a logs y otras consultas a través del menú "manage"

Configuración de Agente

En su documentación podemos encontrar el método para configurar el agente En resumidas cuentas: Debemos ir a C:\Program Files (x86)\ossec-agent\ossec.conf abrirlo y configurar lo siguiente

<client>
  <server>
    <!-- Sustituir esta IP de documentación por la del manager. -->
    <address>192.0.2.10</address>
  </server>
</client>

La UI y el método de enrolamiento dependen de la versión. La configuración citada permite solicitar una clave al manager; no implica que el dashboard siempre entregue una authkey para pegar.

Otras formas alternativas incluyen el comando CMD

Reiniciamos el servicio

Restart-Service -Name Wazuh

Conclusión

Primero intenté hacerlo en Fedora, avanzó bien en un principio pero perdí conectividad y la autenticación dejó de funcionar. Lo asocié al cambio de IP, pero no conservé evidencia suficiente para demostrar esa causa. La solución era simplemente irme a los archivos de Wazuh en Fedora, ver la key y configurar desde ahí, pero por una cosa de tiempo decidí hacerlo en ubuntu.

Definitivamente era más sencillo hacerlo con uno de los SO recomendados por Wazuh (Amazon Linux, CentOS, Ubuntu o Red Hat), no tengo una comparación de tasas de fallo que permita afirmar que eran más escasos.

Pendiente de reproducción: comprobar agente enrolado, servicio y envío/recepción de un evento conocido antes de considerar terminado el laboratorio. Abrir el dashboard no acredita ese recorrido.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Rin]                |
| SEAL: sha256/12: 67140139c0dc          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+