1. 项目概述为什么选择Wazuh构建一体化安全运营中心如果你正在为团队或企业的安全监控发愁既想监控服务器上的风吹草动又想及时发现系统漏洞还担心关键文件被恶意篡改但预算又不足以采购一套成熟的商业安全产品那么Wazuh绝对值得你花时间深入研究。我最早接触Wazuh读作“瓦祖”是在几年前为一个中小型项目搭建低成本安全体系的时候当时被它“一个平台多种能力”的特性所吸引。简单来说Wazuh是一个开源的、基于主机的入侵检测与安全监控平台它巧妙地将安全信息与事件管理SIEM和扩展检测与响应XDR的能力融合在了一起。很多人可能听说过ELKElasticsearch, Logstash, Kibana栈做日志分析很厉害但Wazuh在此基础上更进一步。它不仅仅是一个日志收集和分析工具其核心是一个强大的安全代理Agent部署在需要监控的终端服务器、工作站等上。这个代理能干三件核心大事第一实时收集和分析系统日志、应用日志这就是日志分析第二定期扫描系统比对已知漏洞数据库这就是漏洞检测第三持续监控关键文件和目录如/etc/passwd, /bin目录的完整性一旦发生未授权的更改立即告警这就是文件完整性监控FIM。所有这些数据都会被发送到中央服务器进行关联分析并通过一个直观的Web界面通常是Kibana上的Wazuh App呈现出来。为什么我推荐从Wazuh入手对于安全团队资源有限、但又需要建立基本安全可见性的场景它几乎是“开箱即用”的解决方案。你不需要分别部署日志系统、漏洞扫描器和文件监控工具Wazuh一站式搞定而且规则库开源、社区活跃。通过这个项目你将能部署一套属于自己的企业级安全监控平台实现从被动响应到主动威胁狩猎的初步转变。2. 架构设计与核心组件拆解在动手部署之前我们必须先理解Wazuh的架构。这能帮助你在部署时做出正确的决策并在后期排查问题时心中有数。Wazuh采用经典的管理端-代理端Manager-Agent架构并且其管理端与Elastic Stack深度集成以提供强大的数据存储、搜索和可视化能力。2.1 核心组件功能与交互流程整个Wazuh生态系统主要由以下四个核心部分组成它们协同工作构成了一个完整的安全监控流水线Wazuh Agent代理端这是安装在所有需要监控的目标主机Linux, Windows, macOS, BSD等上的轻量级客户端。它的职责是执行安全策略收集日志通过ossec-logcollector、监控文件完整性通过ossec-syscheckd、检测rootkit、收集清单数据等并将这些安全事件加密后发送给Wazuh Manager。代理是数据采集的第一线。Wazuh Manager管理端/服务器端这是整个系统的大脑。它接收来自所有Agent的安全事件并使用解码器Decoders和规则Rules对这些原始日志进行解析、归一化和关联分析。例如一条SSH登录失败的日志经过解码器识别出事件类型、源IP、用户名后再通过规则判断这是单次失败还是一次暴力破解攻击的一部分。Manager还负责管理所有Agent的配置、下发安全策略并存储事件到本地或转发到索引器。Wazuh Indexer索引器从Wazuh 4.3版本开始官方引入了基于OpenSearch的Wazuh Indexer用于替代早期版本中直接使用Elasticsearch的方式。Indexer负责接收来自Manager的事件数据建立索引并提供高效的搜索和存储能力。它是海量安全事件数据的“仓库”。Wazuh Dashboard仪表板这是安全分析人员的操作界面。它本质上是运行在Kibana或OpenSearch Dashboards之上的一个专用AppWazuh插件。通过Dashboard你可以可视化安全事件、查看代理状态、管理规则、调查告警、生成报告几乎所有的日常运营工作都在这里完成。数据流是这样的Agent - Manager - Indexer - Dashboard。Agent采集数据上报给Manager分析分析后的事件被索引到Indexer中最后在Dashboard上展示和交互。在实际生产部署中为了性能和可靠性这些组件通常会部署在不同的服务器上。2.2 部署模式选择一体机 vs. 分布式根据你的资源规模和可用性要求有两种主要的部署模式一体机All-in-One部署这是最简单、最快速的入门方式。将Wazuh Manager, Indexer, Dashboard全部安装在一台服务器上。这种方式资源消耗集中适合测试、学习、小规模环境监控少于100个代理。优点是部署简单维护方便缺点是单点故障且随着数据量增长性能可能成为瓶颈。分布式Distributed部署这是生产环境的推荐架构。将各个组件分离部署在多台服务器上Wazuh Manager集群部署多个Manager节点组成集群实现负载均衡和高可用。Agent可以配置多个Manager地址实现故障转移。Wazuh Indexer集群部署多个Indexer节点组成集群确保数据存储的可靠性和查询性能。Wazuh Dashboard节点可以单独部署供多个分析师同时访问。可选负载均衡器在Manager集群和Indexer集群前部署负载均衡器进一步优化流量分发。对于个人学习或小型团队我强烈建议从一体机部署开始。它能让你在最短时间内看到完整效果理解整个工作流程。等到你对各个组件熟悉后再根据需求向分布式架构演进。本次部署指南将以一体机模式在CentOS 7/8或Ubuntu 20.04/22.04这类主流Linux发行版上进行。注意Wazuh对系统资源有一定要求。对于一体机部署建议最低配置为4核CPU、8GB内存和50GB硬盘空间。如果监控的代理较多或日志量巨大需要相应提高配置尤其是内存和磁盘I/O。3. 一步步部署Wazuh一体机环境理论清楚了我们开始动手。以下步骤是我在多次部署中总结出来的包含了必要的细节和避坑点。请确保你有一台干净的、能够访问互联网的Linux服务器我这里以Ubuntu 22.04为例。3.1 系统准备与依赖安装首先我们需要确保系统环境就绪并安装一些必要的工具。# 1. 更新系统包列表并升级现有软件 sudo apt update sudo apt upgrade -y # 2. 安装一些基础工具如curl、wget、gnupg等 sudo apt install -y curl wget apt-transport-https gnupg2 software-properties-common # 3. 安装Java环境Wazuh Indexer基于Java运行 # 这里我们安装OpenJDK 11这是官方兼容的版本 sudo apt install -y openjdk-11-jre-headless # 验证Java安装 java -version # 应该能看到类似“openjdk version 11.0.xx”的输出3.2 安装Wazuh Indexer数据存储与搜索核心Wazuh Indexer是基于Apache 2.0许可证分支的OpenSearch我们将使用官方仓库进行安装。# 1. 导入Wazuh Indexer的GPG密钥 curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import sudo chmod 644 /usr/share/keyrings/wazuh.gpg # 2. 添加Wazuh Indexer的APT仓库 echo deb [signed-by/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/indexer/4.x/apt/ stable main | sudo tee /etc/apt/sources.list.d/wazuh-indexer.list # 3. 更新包列表并安装Wazuh Indexer sudo apt update sudo apt install -y wazuh-indexer # 4. 启动Indexer服务并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-indexer sudo systemctl start wazuh-indexer # 5. 检查服务状态 sudo systemctl status wazuh-indexer # 看到“active (running)”表示服务启动成功关键一步初始化Indexer证书。Wazuh组件间使用TLS证书进行安全通信。我们需要生成一个根证书CA并为Indexer节点签发证书。# 运行安装助手脚本它会引导你完成证书生成 sudo /usr/share/wazuh-indexer/bin/indexer-security-init.sh脚本会询问几个问题对于一体机部署大部分可以直接回车使用默认值。它会为你的节点生成一个默认的用户名admin和密码务必记下这个密码后续登录Dashboard和配置Manager都会用到。3.3 安装Wazuh Manager安全事件处理大脑接下来安装核心的分析引擎——Wazuh Manager。# 1. 添加Wazuh Manager的APT仓库 echo deb [signed-by/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main | sudo tee /etc/apt/sources.list.d/wazuh.list # 2. 更新并安装Wazuh Manager sudo apt update sudo apt install -y wazuh-manager # 3. 启动Manager服务并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-manager sudo systemctl start wazuh-manager # 4. 检查服务状态和日志 sudo systemctl status wazuh-manager # 查看实时日志确认没有报错 sudo tail -f /var/ossec/logs/ossec.log安装完成后Manager需要配置以将事件发送到我们刚才安装的Indexer。# 编辑Manager的配置文件 sudo vim /var/ossec/etc/ossec.conf找到ossec_config块下的integration部分确保存在或添加以下配置根据你的Indexer安装信息调整integration namewazuh/name hook_urlhttps://localhost:9200/hook_url !-- Indexer的地址和端口 -- password你在上一步中设置的Indexer管理员密码/password !-- 替换为你的密码 -- usernameadmin/username api_port55000/api_port alert_formatjson/alert_format /integration保存后重启Wazuh Manager服务以使配置生效sudo systemctl restart wazuh-manager3.4 安装Wazuh Dashboard可视化控制台最后我们安装用户界面。# 1. 添加Wazuh Dashboard的APT仓库 echo deb [signed-by/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main | sudo tee /etc/apt/sources.list.d/wazuh-dashboard.list # 2. 更新并安装Wazuh Dashboard sudo apt update sudo apt install -y wazuh-dashboard # 3. 配置Dashboard连接Indexer # 编辑Dashboard配置文件 sudo vim /etc/wazuh-dashboard/opensearch_dashboards.yml需要修改或确认以下几个关键配置server.host: 0.0.0.0 # 允许所有IP访问生产环境建议设置为具体IP opensearch.hosts: [https://localhost:9200] # Indexer地址 opensearch.username: admin # Indexer用户名 opensearch.password: 你的Indexer管理员密码 # 替换为你的密码 opensearch.ssl.verificationMode: none # 对于自签名证书初次可设为none以跳过验证生产环境应配置正确证书# 4. 启动Dashboard服务并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-dashboard sudo systemctl start wazuh-dashboard # 5. 检查服务状态 sudo systemctl status wazuh-dashboard现在打开你的浏览器访问https://你的服务器IP:5601。首次访问可能会因为自签名证书出现安全警告选择“继续前往”即可。使用用户名admin和你在初始化Indexer时设置的密码登录。恭喜你已经成功进入了Wazuh Dashboard实操心得部署过程中最容易出错的环节是证书和组件间的网络连通性。务必确保localhost或你配置的IP地址在各自服务的配置文件中一致。如果Dashboard无法连接Indexer首先检查Indexer服务是否在运行sudo systemctl status wazuh-indexer然后检查防火墙是否放行了9200端口sudo ufw allow 9200/tcp。日志是你的好朋友多使用sudo tail -f /var/log/wazuh-indexer/*.log和 Dashboard的日志来排查问题。4. 核心功能实战配置与深度解析登录Dashboard后你会看到一个概览界面。但要让Wazuh真正发挥作用我们需要在目标机器上安装Agent并深入配置三大核心功能。4.1 部署与管理Wazuh AgentAgent是数据的源头。在Wazuh Dashboard的“管理” - “代理部署”页面你可以找到添加代理的指引。通常对于Linux系统最方便的方式是通过Wazuh的仓库安装。在目标Linux服务器被监控端上执行# 1. 添加Wazuh Agent仓库以Ubuntu为例 curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import sudo chmod 644 /usr/share/keyrings/wazuh.gpg echo deb [signed-by/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main | sudo tee /etc/apt/sources.list.d/wazuh.list # 2. 安装Agent sudo apt update sudo apt install -y wazuh-agent # 3. 配置Agent指向你的Wazuh Manager服务器地址 sudo vim /var/ossec/etc/ossec.conf找到client部分的server-ip标签将其值修改为你的Wazuh Manager服务器的IP地址。client server-ip你的_Wazuh_Manager_IP/server-ip ... /client# 4. 启动Agent并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-agent sudo systemctl start wazuh-agent在Wazuh Manager服务器上你需要批准这个新Agent的加入。在Agent启动后它会在Manager上生成一个认证请求。# 在Wazuh Manager服务器上执行 # 列出所有待批准的Agent sudo /var/ossec/bin/agent_control -l # 你会看到新Agent的ID和名称状态是“Pending” # 批准指定ID的Agent假设ID为001 sudo /var/ossec/bin/agent_control -a -i 001批准后回到Dashboard的“代理”页面你应该能看到新添加的Agent状态变为“Active”。现在这台服务器的数据已经开始上报了。4.2 日志分析Log Analysis实战从收集到告警Wazuh的日志分析能力是其SIEM功能的基石。Agent默认会收集系统关键日志如/var/log/auth.log,/var/log/syslog。但真正的威力在于自定义日志收集和规则编写。场景我们想监控Nginx的访问日志并针对特定的攻击路径如/wp-admin或/phpmyadmin的扫描尝试产生告警。步骤1在Agent端配置日志收集编辑Agent的配置文件/var/ossec/etc/ossec.conflocalfile log_formatapache/log_format !-- Nginx日志格式与Apache通用格式兼容 -- location/var/log/nginx/access.log/location !-- 你的Nginx访问日志路径 -- /localfile保存并重启Agentsudo systemctl restart wazuh-agent步骤2在Manager端创建解码器和规则可选Wazuh已有大量内置规则Wazuh内置了许多常见应用包括Nginx的解码器和规则。但如果你想为非常规日志或特定模式创建告警就需要自定义。规则文件通常放在/var/ossec/etc/rules/目录下。例如创建一个自定义规则文件nginx_custom_rules.xmlgroup namenginx,attack,” !-- 规则ID从100000开始避免与内置规则冲突 -- rule id100001 level5 decoded_asnginx_access/decoded_as matchphpmyadmin|wp-admin|wp-login/match !-- 匹配攻击常见Web管理后台的请求 -- descriptionWeb attack probe detected on Nginx./description groupweb,attack,/group /rule /group然后在Manager的ossec.conf中引入这个规则文件ruleset ... includerules/nginx_custom_rules.xml/include /ruleset重启Managersudo systemctl restart wazuh-manager现在当有请求访问包含phpmyadmin等路径的URL时Wazuh就会在Dashboard上生成一条级别为5通知的告警。你可以根据严重程度调整level0-16数字越大越严重并配置更复杂的匹配条件。4.3 漏洞检测Vulnerability Detection配置与解读Wazuh的漏洞检测功能是通过集成国家漏洞数据库NVD以及软件供应商如Red Hat, Ubuntu, Microsoft的安全公告来实现的。Agent会定期默认每天一次收集系统上已安装软件包RPM, DEB, Windows MSI等的清单及其版本号上报给Manager。Manager将这些信息与漏洞数据库进行比对发现存在已知漏洞的软件版本。关键配置 在Agent的ossec.conf中确保以下模块是启用的wodle namesyscollector disabledno/disabled interval1h/interval !-- 硬件和进程信息收集间隔 -- /wodle wodle namevulnerability-detector disabledno/disabled interval12h/interval !-- 漏洞检测扫描间隔 -- run_on_startyes/run_on-start /wodle在Dashboard的“安全事件”模块下选择“漏洞”视图你就可以看到所有代理上检测到的漏洞按严重性CVSS评分排序。点击某个漏洞可以查看详细信息包括受影响的代理、CVE编号、描述、解决方案如升级到哪个版本等。注意事项漏洞检测的准确性高度依赖于漏洞数据库的更新。Wazuh Manager会定期从官方源同步数据。你需要确保Manager服务器能正常访问互联网以下载这些更新。首次同步可能需要一些时间。此外对于Windows系统可能需要额外配置才能正确获取已安装软件列表。4.4 文件完整性监控FIM深度配置FIM是防御勒索软件和内部威胁的利器。它监控指定文件或目录的权限、所有者、内容MD5/SHA1/SHA256哈希值等属性的变化。基础配置 在Agent的ossec.conf中找到syscheck模块进行配置。syscheck disabledno/disabled !-- 扫描频率默认12小时一次 -- frequency43200/frequency !-- 需要监控的目录使用‘check_all’属性监控所有变化 -- directories check_allyes realtimeyes/etc,/usr/bin,/usr/sbin/directories directories check_allyes realtimeyes/bin,/sbin/directories !-- 排除一些不需要监控的目录或文件类型 -- ignore/etc/mtab/ignore ignore typesregex.log$|.tmp$/ignore /syscheckrealtimeyes是核心它启用内核的inotify机制在文件被修改的瞬间就触发告警而不是等到定期扫描。check_allyes表示监控文件的所有属性大小、权限、所有者、内容哈希等。高级技巧忽略已知的、良性的变更FIM最大的挑战是告警噪音。系统更新、配置文件的标准修改都会触发告警。Wazuh提供了“忽略列表”和“差异报告”功能。使用ignore标签如上例可以忽略特定文件或通过正则表达式忽略一类文件。在Dashboard上处理告警当发生一个预期的变更比如你手动升级了一个软件包时你可以在该告警上选择“忽略”并设置一个时间范围或永久忽略此文件/目录的此类变更。这个“忽略”策略会被同步到Agent配置中。查看差异对于文本文件如配置文件Wazuh会记录变更前后的内容差异。在告警详情中点击“查看差异”可以清晰地看到具体是哪几行被添加、删除或修改这对于判断变更意图至关重要。5. 告警响应、自动化与日常运维部署和配置只是开始让Wazuh融入你的安全运营流程才是价值所在。5.1 告警分级与响应流程Wazuh的告警级别从0到16。通常可以这样划分0-3 信息- 正常的系统状态变更。4-6 低风险- 值得注意的事件如单次登录失败。7-10 中风险- 可能的安全事件如多次登录失败暴力破解迹象。11-16 高风险/严重- 明确的攻击行为或严重违规如rootkit检测、关键系统文件被篡改。在Dashboard的“安全事件”模块你可以根据级别、规则ID、代理、时间等进行筛选。对于中高风险告警应建立响应流程确认Triage查看告警详情判断是误报、预期行为还是真实威胁。调查Investigate利用Wazuh的上下文信息同一源IP的其他活动、同一代理的其他告警进行关联分析。遏制与修复Contain Remediate如果是真实威胁采取行动如封锁IP可与防火墙联动、隔离主机、修复漏洞。报告与优化Report Optimize记录事件并考虑是否需要调整规则以减少误报或提高检测率。5.2 集成与自动化使用Wazuh API和主动响应Wazuh提供了强大的RESTful API默认端口55000你可以用它来集成外部工单系统、SOAR平台或编写自定义脚本。示例当检测到来自某个IP的多次SSH暴力破解尝试规则ID 5710, 5712等时自动调用API在服务器防火墙如iptables上封锁该IP。这需要配置主动响应Active Response。在Manager端创建响应脚本脚本放在/var/ossec/active-response/bin/下例如firewall-drop.sh。这个脚本接收攻击者IP作为参数执行iptables -I INPUT -s $1 -j DROP。在Manager配置中定义主动响应命令和规则编辑ossec.conf。command namefirewall-drop/name executablefirewall-drop.sh/executable expectsrcip/expect !-- 期望传入的参数是源IP -- timeout_allowedyes/timeout_allowed /command active-response commandfirewall-drop/command locationlocal/location !-- 在产生告警的Agent本地执行 -- level7/level !-- 告警级别7时触发 -- rules_id5710,5712,5715/rules_id !-- 关联SSH暴力破解相关规则 -- /active-response配置超时移除规则可选可以设置一段时间后自动解除封锁避免永久封禁。active-response ... timeout600/timeout !-- 600秒后自动移除封锁 -- /active-response5.3 性能调优与日常维护清单随着监控节点和日志量的增加性能优化至关重要。Indexer性能这是最常见的瓶颈。确保Indexer节点有足够的内存至少8GB推荐16GB。调整JVM堆大小/etc/wazuh-indexer/jvm.options通常设置为物理内存的一半。根据数据保留策略合理设置索引生命周期管理ILM定期删除或归档旧数据。Manager性能规则匹配是CPU密集型操作。优化规则集禁用不需要的规则在ossec.conf中使用rule_exclude或降低某些低风险规则的检查频率。将解码器和规则文件放在SSD上能提升读取速度。Agent性能对于高负载的生产服务器注意Agent的资源占用。调整syscheckFIM的扫描频率避免在业务高峰时段进行全量扫描。精简日志收集路径只监控真正关键的文件。日常维护定期更新关注Wazuh官方发布及时更新Manager、Indexer、Dashboard和Agent的版本以获取新功能和漏洞修复。备份配置定期备份/var/ossec/etc/目录下的所有配置文件。监控Wazuh自身为你部署Wazuh的服务器也安装一个Agent监控其系统资源和Wazuh相关服务的日志与进程状态。规则库更新Wazuh规则库会更新。确保Manager能连接到互联网以下载更新或搭建内部更新镜像。部署和磨合Wazuh的过程就是一个不断优化检测规则、调整响应流程、降低运维噪音的过程。它不会一开始就完美但通过持续的调优它能成为你安全体系中非常可靠的一环。从看到第一条自定义告警开始到成功自动阻断一次攻击尝试这种对基础设施安全可见性和控制力的提升是任何商业产品简介都无法替代的实操体验。