Monitoring Wazuh dla środowisk Linux

Wdrażam i porządkuję Wazuh tam, gdzie monitoring bezpieczeństwa ma pomagać w codziennej pracy, nie produkować kolejną listę alertów, których nikt nie czyta.

Dla kogo

Dla zespołów i firm, które chcą lepiej widzieć zdarzenia bezpieczeństwa na serwerach Linux: logowania, zmiany plików, podatności, nietypowe aktywności, podstawowe sygnały operacyjne, których nie da się złapać ręcznym przeglądaniem logów.

Jak zaczynam

Pierwszy etap to nie instalacja, tylko rozmowa o tym, co dziś umyka: czy wiadomo, kto logował się do których serwerów w ostatnim miesiącu, czy zmiana w /etc/sudoers zostawia ślad, czy ktoś zauważyłby próbę brute force, zanim skończy się sama. Odpowiedzi determinują, które reguły mają sens od pierwszego dnia, a które są szumem do wyłączenia.

Co obejmuje

• Instalacja i konfiguracja: serwer Wazuh, agenci na hostach, grupy i podstawowe zasady zbierania danych.
• Alerty i reguły: dopasowanie progów do realnych ryzyk środowiska zamiast domyślnego zestawu, który generuje szum od pierwszego dnia.
• Dashboardy: widoki dla zdarzeń, podatności, integralności plików (FIM) i hostów wymagających uwagi.
• Korelacja zdarzeń: reguły łączące sygnały z wielu maszyn, tam gdzie pojedynczy alert nic nie mówi, a wzorzec między hostami już tak.
• Utrzymanie: rekomendacje retencji logów, aktualizacji agentów i dalszego rozwoju monitoringu.

FIM i integralność plików

Jedna z reguł, którą włączam niemal zawsze, to monitoring integralności plików (FIM): Wazuh porównuje stan katalogów systemowych i konfiguracyjnych z poprzednim odczytem i zgłasza zmianę. To odpowiedź na pytanie, którego nie da się zadać ręcznemu przeglądowi logów: czy ktoś dziś zmienił coś w /etc, o czym nikt mnie nie poinformował.

Czego unikam

Nie włączam wszystkich domyślnych reguł na starcie. Środowisko, w którym każda drobnostka generuje alert, kończy się tym, że nikt alertów nie czyta, a to gorsze niż brak monitoringu. Dashboard ma pokazywać to, co wymaga reakcji, nie wszystko, co się teoretycznie wydarzyło. Strojenie reguł traktuję jako proces ciągły, nie jednorazową konfigurację przy wdrożeniu.

Dobry start

Wazuh dobrze łączy się z hardeningiem Linux: alerty łatwiej interpretować, kiedy system ma już uporządkowane zasady dostępu i usług, zamiast jednocześnie zgadywać, co jest normalnym zachowaniem serwera, a co anomalią. Jeśli hosty przybywają cyklicznie, wdrożenie agenta i podstawowych reguł da się dołączyć do procesu automatyzacji w N8N, tak żeby nowy serwer trafiał pod monitoring bez ręcznego kroku, który łatwo pominąć.

Efekt

Zespół widzi istotne zdarzenia wcześniej. Monitoring staje się narzędziem, z którego ktoś faktycznie korzysta w codziennej pracy, nie instalacją trzymaną na wszelki wypadek i sprawdzaną dopiero po incydencie.