使用RPM软件包安装Wazuh服务器

添加Wazuh存储库

设置Wazuh的第一步是将Wazuh更新源添加到您的系统中。如果您想直接下载wazuh-manager软件包，或查看兼容版本，请单击此处。

要设置更新源，请运行以下命令：

# cat > /etc/yum.repos.d/wazuh.repo <<\EOF

[wazuh_repo]

gpgcheck=1

gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH

enabled=1

name=Wazuh repository

baseurl=https://packages.wazuh.com/3.x/yum/

protect=1

EOF

对于CentOS-5和RHEL-5：

# cat > /etc/yum.repos.d/wazuh.repo <<\EOF

[wazuh_repo]

gpgcheck=1

gpgkey=http://packages.wazuh.com/key/GPG-KEY-WAZUH-5

enabled=1

name=Wazuh repository

baseurl=http://packages.wazuh.com/3.x/yum/5/$basearch/

protect=1

EOF

安装Wazuh Manager

下一步是在您的系统上安装Wazuh Manager：

# yum install wazuh-manager

完成此过程后，您可以使用以下命令检查服务状态

a.for  Systemd：

# systemctl status wazuh-manager

b.For SysV Init:

# service wazuh-manager status

安装Wazuh API

1. 要运行Wazuh API，需要NodeJS> = 4.6.1。如果您没有安装NodeJS或者您的版本低于4.6.1，我们建议您添加官方NodeJS更新源库，如下所示：

# curl --silent --location https://rpm.nodesource.com/setup_8.x | bash -

然后，安装NodeJS：

# yum install nodejs

2.要运行Wazuh API，需要Python> = 2.7。它默认安装或包含在大多数Linux发行版的官方库中。

要确定系统上的python版本是否低于2.7，可以运行以下命令：

 # python --version

It is possible to set a custom Python path for the API in ``/var/ossec/api/configuration/config.js``, in case the stock version of Python in your distro is too old:

config.python = [

    // Default installation

    {

        bin: "python",

        lib: ""

    },

    // Package 'python27' for CentOS 6

    {

        bin: "/opt/rh/python27/root/usr/bin/python",

        lib: "/opt/rh/python27/root/usr/lib64"

    }

];

CentOS 6和Red Hat 6附带Python 2.6，但是，你可以并行安装Python 2.7来兼容旧版本

a.对于CentOS 6：

# yum install -y centos-release-scl

# yum install -y python27

b.对于RHEL 6：

# yum install python27

您可能需要首先启用存储库以获取python27，使用如下命令：

#   yum-config-manager --enable rhui-REGION-rhel-server-rhscl

#   yum-config-manager --enable rhel-server-rhscl-6-rpms

3.安装Wazuh API。如果需要，它将更新NodeJS：

# yum install wazuh-api

4.完成此过程后，您可以使用以下命令检查服务状态：

a.for  Systemd：

# systemctl status wazuh-api

b.for SysV Init：

# service wazuh-api status

5.（可选）禁用Wazuh更新源：

建议禁用Wazuh更新源以防止意外升级。为此，请使用以下命令：

# sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

安装Filebeat

Filebeat是Wazuh服务器上的工具，可以将警报和归档事件安全地转发到Elastic Stack服务器上的Logstash服务上

警告：在单主机架构中（Wazuh服务器和Elastic Stack安装在同一系统中），不需要安装Filebeat，因为Logstash将能够直接从本地文件系统读取事件/警报数据，而无需转发器。

RPM软件包适合安装在Red Hat，CentOS和其他基于RPM的系统上

1. 从Elastic安装GPG密钥，然后安装Elastic更新源：

# rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch

# cat > /etc/yum.repos.d/elastic.repo << EOF

[elasticsearch-6.x]

name=Elasticsearch repository for 6.x packages

baseurl=https://artifacts.elastic.co/packages/6.x/yum

gpgcheck=1

gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch

enabled=1

autorefresh=1

type=rpm-md

EOF

2.安装Filebeat：

# yum install filebeat-6.6.0

3.从Wazuh存储库下载Filebeat配置文件。这是预配置为将Wazuh警报转发给Logstash：

# curl -so /etc/filebeat/filebeat.yml https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/filebeat/filebeat.yml

4. 编辑文件/etc/filebeat/filebeat.yml并替换ELASTIC_SERVER_IP 为Elastic Stack服务器的IP地址或主机名。例如：

output:

  logstash:

    hosts: ["ELASTIC_SERVER_IP:5000"]

5.启动Filebeat服务：

 a.for Systemd：

# systemctl daemon-reload

# systemctl enable filebeat.service

# systemctl start filebeat.service

b.for SysV Init：

# chkconfig --add filebeat

# service filebeat start

6.（可选）禁用Elasticsearch存储库：

建议禁用Elasticsearch更新源，以防止升级到较新的Elastic Stack版本，为此，请使用以下命令：

# sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.rep

使用DEB包安装Wazuh服务器

添加Wazuh更新源

设置Wazuh的第一步是将Wazuh更新源添加到您的系统上。如果您想直接下载wazuh-manager软件包，或查看兼容版本，请单击此处。

1. 要执行此过程中，curl，apt-transport-https和lsb-release软件包必须安装在系统上。如果它们没被安装，请使用以下命令安装它们：

# apt-get update

# apt-get install curl apt-transport-https lsb-release

如果该/usr/bin/python文件不存在（如在Ubuntu 16.04 LTS或更高版本中），请使用以下命令创建Python（2.7或更高版本）：

# if [ ! -f /usr/bin/python ]; then ln -s /usr/bin/python3 /usr/bin/python; fi

2.安装GPG密钥

# curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | apt-key add -

3.添加更新源

# echo "deb https://packages.wazuh.com/3.x/apt/ stable main" | tee -a /etc/apt/sources.list.d/wazuh.list

4.更新包

# apt-get update

安装Wazuh Manager

在您的终端上，安装Wazuh manager：

# apt-get install wazuh-manager

完成此过程后，您可以使用以下命令检查服务状态：

a. for Systemd：

# systemctl status wazuh-manager

b.for  SysV Init：

# service wazuh-manager status

安装Wazuh API

1. 要运行Wazuh API，需要NodeJS> = 4.6.1。如果您没有安装NodeJS或者您的版本低于4.6.1，我们建议您添加官方NodeJS存储库，如下所示：

# curl -sL https://deb.nodesource.com/setup_8.x | bash -

如果您使用的是Ubuntu 12.04（Precise）或Debian 7（Wheezy），则必须使用以下命令安装NodeJS 6：

# curl -sL https://deb.nodesource.com/setup_6.x | bash -

然后，安装NodeJS：

# apt-get install nodejs

2.要运行API，需要Python> = 2.7。它默认安装或包含在大多数Linux发行版的官方库中。

要确定系统上的python版本是否低于2.7，可以运行以下命令：

# python --version

It is possible to set a custom Python path for the API in ``/var/ossec/api/configuration/config.js``, in case the stock version of Python in your distro is too old:

config.python = [

    // Default installation

    {

        bin: "python",

        lib: ""

    },

    // Package 'python27' for CentOS 6

    {

        bin: "/opt/rh/python27/root/usr/bin/python",

        lib: "/opt/rh/python27/root/usr/lib64"

    }

];

3.安装Wazuh API。如果需要，它将更新NodeJS：

# apt-get install wazuh-api

4.完成此过程后，您可以使用以下命令检查服务状态：

a.for Systemd：

# systemctl status wazuh-api

b.for SysV Init：

# service wazuh-api status

5.（可选）禁用Wazuh更新：

建议禁用Wazuh更新源以防止意外升级。为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/wazuh.list

# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "wazuh-manager hold" | sudo dpkg --set-selections

# echo "wazuh-api hold" | sudo dpkg --set-selections

安装Filebeat

Filebeat是Wazuh服务器上的工具，可以将警报和归档事件安全地转发到Elastic Stack服务器上的Logstash服务。

警告：在单主机架构中（Wazuh服务器和Elastic Stack安装在同一系统中），不需要安装Filebeat，因为Logstash将能够直接从本地文件系统读取事件/警报数据，而无需转发器。

DEB包适用于Debian，Ubuntu和其他基于Debian的系统。

1. 从Elastic安装GPG密钥，然后安装Elastic存储库：

# curl -s https://artifacts.elastic.co/GPG-KEY-elasticsearch | apt-key add -

# echo "deb https://artifacts.elastic.co/packages/6.x/apt stable main" | tee /etc/apt/sources.list.d/elastic-6.x.list

# apt-get update

2.安装Filebeat：

# apt-get install filebeat=6.6.0

3.从Wazuh更新源下载Filebeat配置文件。这是预配置为将Wazuh警报转发给Logstash：

# curl -so /etc/filebeat/filebeat.yml https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/filebeat/filebeat.yml

4. 编辑文件/etc/filebeat/filebeat.yml并替换ELASTIC_SERVER_IP为Elastic Stack服务器的IP地址或主机名。例如：

output:

  logstash:

    hosts: ["ELASTIC_SERVER_IP:5000"]

5.启动Filebeat服务：

a.for Systemd:

# systemctl daemon-reload

# systemctl enable filebeat.service

# systemctl start filebeat.service

b.for SysV Init：

# update-rc.d filebeat defaults 95 10

# service filebeat start

6.(可选）禁用Elasticsearch更新：

建议禁用Elasticsear更新源，以防止升级到较新的Elastic Stack版本，为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/elastic-6.x.list

# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "filebeat hold" | sudo dpkg --set-selections

安装Elastic Stack

1. Logstash和Elasticsearch需要Oracle Java JRE 8。

注意：以下命令下载Oracle Java JRE需要带上cookie。请访问Oracle Java 8 JRE下载页面以获取更多信息。

# curl -Lo jre-8-linux-x64.rpm --header "Cookie: oraclelicense=accept-securebackup-cookie""https://download.oracle.com/otn-pub/java/jdk/8u202-b08/1961070e4c9b4e26a04e7f5a083f551e/jre-8u202-linux-x64.rpm"

现在，检查包是否已成功下载：

# rpm -qlp jre-8-linux-x64.rpm > /dev/null 2>&1&&echo"Java package downloaded successfully"||echo"Java package did not download successfully"

最后，使用yum安装RPM包：

# yum -y install jre-8-linux-x64.rpm

# rm -f jre-8-linux-x64.rpm

2.安装Elastic存储库及其GPG密钥：

# rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch

# cat > /etc/yum.repos.d/elastic.repo << EOF

[elasticsearch-6.x]

name=Elasticsearch repository for 6.x packages

baseurl=https://artifacts.elastic.co/packages/6.x/yum

gpgcheck=1

gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch

enabled=1

autorefresh=1

type=rpm-md

EOF

1. 安装Elasticsearch包：

# yum install elasticsearch-6.6.0

2.启动Elasticsearch服务：

a.for Systemd：

# systemctl daemon-reload

# systemctl enable elasticsearch.service

# systemctl start elasticsearch.service

b.for SysV Init：

# chkconfig --add elasticsearch

# service elasticsearch start

等待Elasticsearch服务器完成启动非常重要。使用以下命令检查当前状态，该命令应该给出如下所示的响应：

# curl "http://localhost:9200/?pretty"

{

  "name" : "Zr2Shu_",

  "cluster_name" : "elasticsearch",

  "cluster_uuid" : "M-W_RznZRA-CXykh_oJsCQ",

  "version" : {

    "number" : "6.6.0",

    "build_flavor" : "default",

    "build_type" : "rpm",

    "build_hash" : "053779d",

    "build_date" : "2018-07-20T05:20:23.451332Z",

    "build_snapshot" : false,

    "lucene_version" : "7.3.1",

    "minimum_wire_compatibility_version" : "5.6.0",

    "minimum_index_compatibility_version" : "5.0.0"

  },

  "tagline" : "You Know, for Search"

}

3.为Elasticsearch加载Wazuh模板：Kibana的Wazuh应用程序需要Elasticsearch模板才能正常工作，因此确保正确安装它非常重要。

# curl https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/elasticsearch/wazuh-elastic6-template-alerts.json | curl -X PUT "http://localhost:9200/_template/wazuh" -H 'Content-Type: application/json' -d @-

1. 安装Logstash包：

# yum install logstash-6.6.0

2.下载Logstash的Wazuh配置文件：

• 本地配置（仅在单主机架构中）：

  # curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-local.conf

  由于Logstash用户需要读取alerts.json文件，请运行以下命令将其添加到OSSEC组：

  # usermod -a -G ossec logstash

• 远程配置（仅在分布式架构中）：

  # curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-remote.con

1. 编辑文件/etc/logstash/startup.options，将第30行从LS_GROUP = logstash更改为LS_GROUP = ossec
2. 通过运行命令 /usr/share/logstash/bin/system-install，并使用新参数更新服务
3. 重新启动Logstash

# systemctl daemon-reload

# systemctl enable logstash.service

# systemctl start logstash.service

b.for SysV Init：

# chkconfig --add logstash

# service logstash start

1. 安装Kibana包：

# yum install kibana-6.6.0

2.为Kibana安装Wazuh应用程序插件：

# sudo -u kibana NODE_OPTIONS="--max-old-space-size=3072" /usr/share/kibana/bin/kibana-plugin install https://packages.wazuh.com/wazuhapp/wazuhapp-3.8.2_6.6.0.zip

Kibana插件安装过程可能需要几分钟。请耐心等待。

3.可选，Kibana默认只监听环回接口（localhost）。要将Kibana设置为侦听所有接口，请编辑文件/etc/kibana/kibana.yml取消注释并设置server.host，将值更改为：

server.host:"0.0.0.0"

注意：建议为Kibana设置Nginx代理，以便使用SSL加密并启用身份验证。可以在为Kibana设置SSL和身份验证中找到设置代理的说明。

4.启动Kibana服务：

a.for Systemd：

# systemctl daemon-reload

# systemctl enable kibana.service

# systemctl start kibana.service

b.for SysV Init：

# chkconfig --add kibana

# service kibana start

5.（可选）禁用Elasticsearch更新源：

建议禁用Elasticsearch更新源，以防止升级到较新的Elastic Stack版本，为此，请使用以下命令：

# sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/elastic.repo

Preparation

1.Logstash和Elasticsearch需要Oracle Java JRE或OpenJDK：

    # apt-get update

   # apt-get install openjdk-8-jre

对于Debian <8 / Jessie：

# echo "deb http://ppa.launchpad.net/webupd8team/java/ubuntu xenial main" | tee /etc/apt/sources.list.d/webupd8team-java.list

# apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys EEA14886

# apt-get update

# apt-get install oracle-java8-installer

b.对于Ubuntu <16.04 / Xenial：

#

add-apt-repository ppa：webupd8team / java

＃

apt-get update

＃

apt-get install oracle-java8-installer

2.安装Elastic存储库及其GPG密钥：

# apt-get install curl apt-transport-https

# curl -s https://artifacts.elastic.co/GPG-KEY-elasticsearch | apt-key add -

# echo "deb https://artifacts.elastic.co/packages/6.x/apt stable main" | tee /etc/apt/sources.list.d/elastic-6.x.list

# apt-get update

Elasticsearch

Elasticsearch是一个高度可扩展的全文搜索和分析引擎。有关更多信息，请参阅Elasticsearch。

1. 安装Elasticsearch包：

# apt-get install elasticsearch=6.6.0

2.启动Elasticsearch服务：

a.for Systemd：

# systemctl daemon-reload

# systemctl enable elasticsearch.service

# systemctl start elasticsearch.service

b.for SysV Init：

# update-rc.d elasticsearch defaults 95 10

# service elasticsearch start

等待Elasticsearch服务器完成启动是非常重要。使用以下命令检查当前状态，该命令应该给出如下所示的响应：

# curl "http://localhost:9200/?pretty"

{

  "name" : "Zr2Shu_",

  "cluster_name" : "elasticsearch",

  "cluster_uuid" : "M-W_RznZRA-CXykh_oJsCQ",

  "version" : {

    "number" : "6.6.0",

    "build_flavor" : "default",

    "build_type" : "deb",

    "build_hash" : "053779d",

    "build_date" : "2018-07-20T05:20:23.451332Z",

    "build_snapshot" : false,

    "lucene_version" : "7.3.1",

    "minimum_wire_compatibility_version" : "5.6.0",

    "minimum_index_compatibility_version" : "5.0.0"

  },

  "tagline" : "You Know, for Search"

}

3.为Elasticsearch加载Wazuh模板：Kibana的Wazuh应用程序需要Elasticsearch模板才能正常工作，因此确保正确它非常重要。

# curl https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/elasticsearch/wazuh-elastic6-template-alerts.json | curl -X PUT "http://localhost:9200/_template/wazuh" -H 'Content-Type: application/json' -d @-

Logstash

Logstash是收集，解析和转发数据到Elasticsearch的工具，用于索引和存储Wazuh服务器生成的所有日志。有关更多信息，请参阅Logstash。

1. 安装Logstash包：

# apt-get install logstash=1:6.6.0-1

2.下载Logstash的Wazuh配置文件：

a.本地配置（仅在单主机架构中）：

# curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-local.conf

由于Logstash用户需要读取alerts.json文件，请运行以下命令将其添加到OSSEC组：

# usermod -a -G ossec logstash

b.远程配置（仅在分布式架构中）：

# curl -so /etc/logstash/conf.d/01-wazuh.conf https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/logstash/01-wazuh-remote.conf

3. 启用并启动Logstash服务：

a.for Systemd：

# systemctl daemon-reload

# systemctl enable logstash.service

# systemctl start logstash.service

b.for SysV Init：

# update-rc.d logstash defaults 95 10

# service logstash start

Kibana

Kibana是一个灵活，直观的Web界面，用于可视化存储在Elasticsearch中的事件和信息。在Kibana上查找更多信息。

1. 安装Kibana包：

# apt-get install kibana=6.6.0

1. 为Kibana安装Wazuh应用程序插件：

# sudo -u kibana NODE_OPTIONS="--max-old-space-size=3072" /usr/share/kibana/bin/kibana-plugin install https://packages.wazuh.com/wazuhapp/wazuhapp-3.8.2_6.6.0.zip

Kibana插件安装过程可能需要几分钟。请耐心等待

3.可选，Kibana默认只监听环回接口（localhost）。要将Kibana设置为侦听所有接口，请编辑该文件/etc/kibana/kibana.yml，并取消注释该设置server.host。将值更改为：

server.host: "0.0.0.0"

注意：建议为Kibana设置Nginx代理，以便使用SSL加密并启用身份验证。可以在为Kibana设置SSL和身份验证中找到设置代理的说明。

4.并启动Kibana服务：

a.for Systemd：

# systemctl daemon-reload

# systemctl enable kibana.service

# systemctl start kibana.service

b. for SysV Init：

# update-rc.d kibana defaults 95 10

# service kibana start

5.（可选）禁用Elasticsearch更新：

建议禁用Elasticsearch更新源，以防止升级到较新的Elastic Stack版本，因为可能会撤消应用程序的更改。为此，请使用以下命令：

# sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/elastic-6.x.list

# apt-get update

或者，您可以将程序包状态设置为hold，这将停止更新（尽管您仍然可以手动升级它）

# echo "elasticsearch hold" | sudo dpkg --set-selections

# echo "kibana hold" | sudo dpkg --set-selections

# echo "logstash hold" | sudo dpkg --set-selections

安装Wazuh代理

Wazuh代理程序在您要监控的主机上运行。它是多平台的，并提供以下功能：

• 日志和数据收集，
• 文件完整性监控，
• rootkit和恶意软件检测
• 安全策略监测

使用RPM软件包安装Wazuh agent

RPM软件包适合安装在Red Hat，CentOS和其他基于RPM的系统上。

注意：下面的许多命令都需要以root用户权限执行

安装Wazuh代理的第一步是将Wazuh存储库添加到您的系统。或者，如果您想直接下载wazuh-agent软件包，或查看兼容版本，可以从这里开始。根据您的发行版运行以下命令来设置更新源：

DEB包适用于Debian，Ubuntu和其他基于Debian的系统。

注意：下面的许多命令都需要以root用户权限执行

在Windows上安装Wazuh agent

注意:您将需要管理员权限才能执行此安装

在Windows计算机上安装Wazuh agent的第一步是从软件包列表中下载Windows安装程序。下载完成后，可以使用以下两种方法之一安装Windows代理：

• 使用GUI
• 使用命令

使用GUI

要从GUI安装Windows agent，请运行下载的文件，然后按照安装向导中的步骤操作。如果您不确定如何选择，只需使用默认选项安装即可。

安装后，agent 会使用图形用户界面进行配置，打开日志文件或启动和停止服务。

使用命令

注意:必须使用管理员权限运行进行自动安装

要从命令中安装Windows agent,请使用以下命令运行安装程序（该/q参数用与无人参与安装）：

wazuh-agent-3.8.2-1.msi /q

要卸载 agent，将需要原始MSI文件来执行自动卸载

msiexec.exe /x wazuh-agent-3.8.2-1.msi /qn

您可以使用以下参数来自动安装authd注册agent：

下面是一些安装和注册Windows agent 的示例

使用带密码注册：

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" PASSWORD="TopSecret" AGENT_NAME="W2012"

使用带密码注册并分配组：

azuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" PASSWORD="TopSecret" GROUP="my-group"

使用带CA注册的相对路径。它将在您的APPLICATIONFOLDER文件夹中搜索：

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" AGENT_NAME="W2019" CERTIFICATE="rootCA.pem"

包含空格的CA，证书或密钥的绝对路径可以写成如下所示：

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" KEY="C:\Progra~2\sslagent.key" PEM="C:\Progra~2\sslagent.cert"

数字“2”表示将在第二次出现“Progra”时搜索文件，因此，将在文件夹“C:\Program Files (x86)””中搜索密钥和证书。如果此数字为“1”，则将在“Program Files”中搜索。

注意：要通过SSL验证agent，必须同时使用KEY和PEM选项。请参阅带SSL的验证主机部分。

使用带协议注册

wazuh-agent-3.8.2-1.msi /q ADDRESS="192.168.1.1" AUTHD_SERVER="192.168.1.1" AGENT_NAME="W2016" PROTOCOL="TCP"

注意：在早于Windows Server 2008或Windows 7的Windows版本中，在Wazuh管理器上ossec-authd必须使用-a标志运行程序，或者在auth配置上设置<ssl_auto_negotiate>选项以避免兼容性错误。

可选配置

• 为Filebeat和Logstash设置SSL
• 为Kibana设置SSL和身份验证
• 保护Wazuh API
• Elasticsearch调优
• Search Guard
• 自动安装Wazuh API

生成自签名SSL证书

1. 生成SSL证书和密钥，如下所示：

   在安装了Logstash服务器的计算机上，创建OpenSSL示例配置文件的副本。文件位置可能因操作系统而异：

   1. 在Debian或Ubuntu上：

      # cp /etc/ssl/openssl.cnf custom_openssl.cnf

   2. 在CentOS或Red Hat上：

      # cp /etc/pki/tls/openssl.cnf custom_openssl.cnf

注意：通常，您将在Elastic Stack服务器中运行Logstash服务器，或者，如果已在其中一个节点中设置了分布式Elasticsearch集群，则运行Logstash服务器。

2.编辑自定义配置文件custom_openssl.cnf：

找到该部分并添加如下所示的命令行，其中包含您的Elastic服务器的IP地址：

[ v3_ca ] subjectAltName = IP: YOUR_SERVER_IP例如：[ v3_ca ] subjectAltName = IP: 192.168.1.23.生成SSL证书和密钥：

# openssl req -x509 -batch -nodes -days 365 -newkey rsa:2048 -keyout /etc/logstash/logstash.key -out /etc/logstash/logstash.crt -config custom_openssl.cnf

4.

您可以删除自定义配置文件：

# rm custom_openssl.cnf

配置Logstash服务器

新生成的SSL证书和密钥分别位于/etc/logstash/logstash.crt和/etc/logstash/logstash.key。接下来，配置Logstash以使用此新密钥与Filebeat进行通信。

1. 编辑文件/etc/logstash/conf.d/01-wazuh.conf并取消注释与SSL相关的行。现在输入以下命令：

   input {
   
       beats {
   
           port => 5000
   
           codec => "json_lines"
   
           ssl => true
   
           ssl_certificate => "/etc/logstash/logstash.crt"
   
           ssl_key => "/etc/logstash/logstash.key"
   
       }
   
   }

2. 重新启动Logstash。该命令取决于OS init系统：

   1. for Systemd：

      # systemctl restart logstash.service

   2. for  SysV Init：

      # service logstash restart

配置Filebeat

配置Filebeat以验证Logstash服务器的证书。

1. 在安装了Filebeat 的计算机（Wazuh服务器）上，获取Logstash服务器的SSL证书文件/etc/logstash/logstash.crt并将其复制到/etc/filebeat/logstash.crt。

   下面是一个示例，可用于将SSL证书从Logstash服务器复制到安装了Filebeat的Wazuh服务器：

   # scp root@LOGSTASH_SERVER_IP:/etc/logstash/logstash.crt /etc/filebeat

2. 编辑文件/etc/filebeat/filebeat.yml,并取消注释与SSL内部相关的行，如下所示：

   output:
   
    logstash:
   
      hosts: ["192.168.1.2:5000"]
   
      ssl:
   
        certificate_authorities: ["/etc/filebeat/logstash.crt"]

3. 重新启动Filebeat。该命令取决于OS init系统：

为Kibana设置SSL和身份验证

1. 用于Kibana的NGINX SSL代理（基于RPM的发行版）
2. 用于Kibana的NGINX SSL代理（基于Debian的发行版）

用于Kibana的NGINX SSL代理（基于RPM的发行版）

1. 安装NGINX：

# cat > /etc/yum.repos.d/nginx.repo <<\EOF

[nginx]

name=nginx repo

baseurl=http://nginx.org/packages/centos/$releasever/$basearch/

gpgcheck=0

enabled=1

EOF

# yum install ngin

 b.对于RHEL：

# cat > /etc/yum.repos.d/nginx.repo <<\EOF

[nginx]

name=nginx repo

baseurl=http://nginx.org/packages/rhel/$releasever/$basearch/

gpgcheck=0

enabled=1

EOF

# yum install nginx

注意:有关更多信息，请参阅NGINX：官方Red Hat / CentOS软件包。

2.安装SSL证书和私钥：

a.如果您拥有有效的签名证书，请将密钥文件<ssl_key>和证书文件复制到适当的位置：

＃ MKDIR -p的/ etc / PKI / TLS /证书的/ etc / PKI / TLS /私人

 ＃ CP <ssl_pem> /etc/pki/tls/certs/kibana-access.pem

 ＃ CP <ssl_key>的/ etc / PKI / TLS /private/kibana-access.key

b.如果您没有有效的签名证书，请按如下方式创建自签名证书。请记住将字段设置为您的服务器名称。例如，如果您的服务器是，您将执行以下操作：

# mkdir -p /etc/pki/tls/certs /etc/pki/tls/private

# openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/kibana-access.key -out /etc/pki/tls/certs/kibana-access.pem

  Generating a 2048 bit RSA private key

  ...........+++

  ................+++

  writing new private key to '/etc/pki/tls/private/kibana-access.key'

  -----

  You are about to be asked to enter information that will be incorporated

  into your certificate request.

  What you are about to enter is what is called a Distinguished Name or a DN.

  There are quite a few fields but you can leave some blank

  For some fields there will be a default value,

  If you enter '.', the field will be left blank.

  -----

  Country Name (2 letter code) [AU]: US

  State or Province Name (full name) [Some-State]: California

  Locality Name (eg, city) []: San Jose

  Organization Name (eg, company) [Internet Widgits Pty Ltd]: Example Inc.

  Organizational Unit Name (eg, section) []: section

  Common Name (e.g. server FQDN or YOUR name) []: example.com

  Email Address []: example@mail.com

3.将NGINX配置为Kibana的HTTPS反向代理：

# cat > /etc/nginx/conf.d/default.conf <<\EOF

server {

    listen 80;

    listen [::]:80;

    return 301 https://$host$request_uri;

}

server {

    listen 443 default_server;

    listen            [::]:443;

    ssl on;

    ssl_certificate /etc/pki/tls/certs/kibana-access.pem;

    ssl_certificate_key /etc/pki/tls/private/kibana-access.key;

    access_log            /var/log/nginx/nginx.access.log;

    error_log            /var/log/nginx/nginx.error.log;

    location / {

        auth_basic "Restricted";

        auth_basic_user_file /etc/nginx/conf.d/kibana.htpasswd;

        proxy_pass http://kibana-server-ip:5601/;

    }

}

EOF

 

注意:我们配置Nginx以封装Kibana服务器的IP地址。此配置允许将Kibana请求重定向到HTTPS。使用此配置时，建议编辑文件/etc/kibana/kibana.yml以将字段设置server.host为localhost。必须重新启动Kibana服务才能应用此更改。

4.如果正在使用SELinux，则允许NGINX连接到Kibana端口：

# semanage port -a -t http_port_t -p tcp 5601

注意:这假设您已安装policycoreutils-python来管理SELinux。

通过htpasswd启用身份验证

1. 安装httpd-tools包

# yum install httpd-tools

2.生成.htpasswd文件，确保替换wazuh为您选择的用户名，与auth_basic_user_file匹配：

# htpasswd -c /etc/nginx/conf.d/kibana.htpasswd wazuh

3.重启NGINX：

a.for Systemd：

# systemctl restart nginx

b. for SysV Init：

# service nginx restart

用于Kibana的NGINX SSL代理（基于Debian的发行版）

1. 安装NGINX：

# apt-get install nginx

2.安装SSL证书和私钥：

a.如果您拥有有效的签名证书，请将密钥文件<ssl_key>和证书文件复制<ssl_pem>到适当的位置：

# mkdir -p /etc/ssl/certs /etc/ssl/private

# cp <ssl_pem> /etc/ssl/certs/kibana-access.pem

# cp <ssl_key> /etc/ssl/private/kibana-access.key

b.如果您没有有效的签名证书，请按如下方式创建自签名证书：

# mkdir -p /etc/ssl/certs /etc/ssl/private

# openssl req -x509 -batch -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/kibana-access.key -out /etc/ssl/certs/kibana-access.pem

  Generating a 2048 bit RSA private key

  .............+++

  ..+++

  writing new private key to '/etc/ssl/private/kibana-access.key'

  -----

3.将NGINX配置为Kibana的HTTPS反向代理：

# cat > /etc/nginx/sites-available/default <<\EOF

server {

    listen 80;

    listen [::]:80;

    return 301 https://$host$request_uri;

}

server {

    listen 443 default_server;

    listen            [::]:443;

    ssl on;

    ssl_certificate /etc/ssl/certs/kibana-access.pem;

    ssl_certificate_key /etc/ssl/private/kibana-access.key;

    access_log            /var/log/nginx/nginx.access.log;

    error_log            /var/log/nginx/nginx.error.log;

    location / {

        auth_basic "Restricted";

        auth_basic_user_file /etc/nginx/conf.d/kibana.htpasswd;

        proxy_pass http://kibana-server-ip:5601/;

    }

}

EOF

注意:我们配置Nginx以封装Kibana服务器的IP地址。此配置允许将Kibana请求重定向到HTTPS。使用此配置时，建议编辑文件/etc/kibana/kibana.yml以将字段设置server.host为localhost。必须重新启动Kibana服务才能应用此更改。

通过htpasswd启用身份验证

1. 安装apache2-utils包：

# apt-get install apache2-utils

2.使用您选择的用户名生成.htpasswd替换<user>下面的文件：

# htpasswd -c /etc/nginx/conf.d/kibana.htpasswd <user>

3.重启NGINX：

a.For Systemd:

# systemctl restart nginx

b.For SysV Init:

# service nginx restart

保护Wazuh API

默认情况下，Wazuh Kibana App和Wazuh API之间的通信未加密。强烈建议您按照以下步骤保护Wazuh API：

1. 更改默认凭据：

默认情况下，您可以通过键入用户“foo”和密码“bar”来访问Wazuh API，但是，您可以按如下方式创建新凭据：

# cd /var/ossec/api/configuration/auth

# node htpasswd -c user myUserName

然后，您需要重新启动wazuh-api和wazuh-manager服务才能使更改生效。

2.启用HTTPS：

要启用HTTPS，您需要生成或提供证书。您可以学习如何生成自己的证书或使用脚本自动生成证书:

/var/ossec/api/scripts/configure_api.sh

3.绑定到localhost：

如果您不需要从外部访问API，则应将API绑定到localhost使用配置文件/var/ossec/api/configuration/config.js中的选项的config.host。

Elasticsearch调整

本指南总结了允许优化Elasticsearch的相关配置。

1.Memory locking

2.Shards and replicas

bootstrap.memory_lock: true

2.编辑系统资源的限制

[Service]

LimitMEMLOCK=infinity

MAX_LOCKED_MEMORY=unlimited

3.Limit memory

# Xms represents the initial size of total heap space

# Xmx represents the maximum size of total heap space

-Xms4g

-Xmx4g

# curl "http://localhost:9200/_nodes?filter_path=**.mlockall&pretty"

{

  "nodes" : {

    "sRuGbIQRRfC54wzwIHjJWQ" : {

      "process" : {

        "mlockall" : true

      }

    }

  }

}

# curl https://raw.githubusercontent.com/wazuh/wazuh/3.8/extensions/elasticsearch/wazuh-elastic6-template-alerts.json -o w-elastic-template.json

2.编辑模板以设置一个没有副本的分片：

# nano w-elastic-template.json

{

  "order": 0,

  "template": "wazuh-alerts-3.x-*",

  "settings": {

    "index.refresh_interval": "5s",

    "number_of_shards" :   1,

    "number_of_replicas" : 0

  },

  "mappings": {

  "...": "..."

  }

}

3.加载模板：

# curl -X PUT "http://localhost:9200/_template/wazuh" -H 'Content-Type: application/json' -d @w-elastic-template.json

{ "acknowledged" : true }

4.可选。确认您的配置已成功更新：

# curl "http://localhost:9200/_template/wazuh?pretty&filter_path=wazuh.settings"

{

  "wazuh" : {

    "settings" : {

      "index" : {

        "number_of_shards" : "1",

        "number_of_replicas" : "0",

        "refresh_interval" : "5s"

      }

    }

  }

}

# curl -X PUT "http://localhost:9200/wazuh-alerts-*/_settings?pretty" -H 'Content-Type: application/json' -d'

{

  "settings" : {

    "number_of_replicas" : 0

  }

}

'

{ "acknowledged" : true }

# curl "http://localhost:9200/_cat/indices"

我们的默认配置不使用Logstash的身份验证，因此我们需要正确配置它。编辑Logstash配置文件（位于/etc/logstash/conf.d/01-wazuh.conf）：

1.停止Logstash服务：

# systemctl stop logstash

2.查找输出部分并将其替换为以下内容：

output {

    elasticsearch {

        hosts => ["ELASTICSEARCH_HOST:9200"]

        index => "wazuh-alerts-3.x-%{+YYYY.MM.dd}"

        document_type => "wazuh"

        user => logstash

        password => logstash

        ssl => true

        ssl_certificate_verification => false

    }

}

3.重新启动Logstash。

# systemctl restart logstash

警告：必须对所有Logstash配置应用此配置，替换特定字段（如主机或索引），具体取决于您的Logstash位置和要求。

目前，不支持同时使用X-Pack安全性。如果您的环境当前正在使用X-Pack安全功能，则必须先将其禁用，然后再继续阅读本示例：

对于Elasticsearch，您需要在所有节点中编辑文件/etc/elasticsearch/elasticsearch.yml，并添加以下命令：

xpack.security.enabled: false

现在重启Elasticsearch服务：

# systemctl restart elasticsearch

Search Guard必须与 Elastic stack中的任何其他组件一样适合Elasticsearch版本。Search Guard的版本控制略有不同，请在Search Guard版本中查看您的版本。

Search Guard的版本控制语法如下：

com.floragunn:search-guard-6:<elastic_version>-<searchguard_version>

本文档是为我们最新支持的版本设计的，它是6.5.4，所以我们的正确的版本设置：

com.floragunn:search-guard-6:6.5.4-24.0

由于Search Guard是一个插件，我们必须像其他Elasticsearch插件安装它：

sudo -u elasticsearch \

/usr/share/elasticsearch/bin/elasticsearch-plugin install \

-b com.floragunn:search-guard-6:6.5.4-24.0

Search Guard附带一个演示配置，它作为新手很有用，所以让我们安装演示配置：

$ cd /usr/share/elasticsearch/plugins/search-guard-6/tools/

$ chmod a+x install_demo_configuration.sh

# ./install_demo_configuration.sh

Install demo certificates? [y/N] y

Initialize Search Guard? [y/N] y

Enable cluster mode? [y/N] y

重启Elasticsearch服务：

# systemctl restart elasticsearch

您可以使用下一个请求检查它是否按预期执行（Search Guard需要大约两分钟来创建其内部索引，因此请耐心等待）：

$ curl -k -u admin:admin https://<ELASTICSEARCH_HOST>:9200/_searchguard/authinfo?pretty

{

"user" : "User [name=admin, roles=[admin], requestedTenant=null]",

"user_name" : "admin",

"user_requested_tenant" : null,

"remote_address" : "10.0.0.4:46378",

"backend_roles" : [

    "admin"

],

"custom_attribute_names" : [

    "attr.internal.attribute1",

    "attr.internal.attribute2",

    "attr.internal.attribute3"

],

"sg_roles" : [

    "sg_all_access",

    "sg_own_index"

],

"sg_tenants" : {

    "admin_tenant" : true,

    "admin" : true

},

"principal" : null,

"peer_certificates" : "0",

"sso_logout_url" : null

}

sg_logstash:

    cluster:

        - CLUSTER_MONITOR

        - CLUSTER_COMPOSITE_OPS

        - indices:admin/template/get

        - indices:admin/template/put

    indices:

        'logstash-*':

            '*':

                - CRUD

                - CREATE_INDEX

        '*beat*':

            '*':

                - CRUD

                - CREATE_INDEX

        'wazuh-alerts-3?x-*':

            '*':

                - CRUD

                - CREATE_INDEX

注意：用于Search Guard角色的点被替换，3?x实际上意思是3.x

2.应用更改：

# /usr/share/elasticsearch/plugins/search-guard-6/tools/sgadmin.sh \

-cd /usr/share/elasticsearch/plugins/search-guard-6/sgconfig -icl -key \

/etc/elasticsearch/kirk-key.pem -cert /etc/elasticsearch/kirk.pem -cacert \

/etc/elasticsearch/root-ca.pem -h <ELASTICSEARCH_HOST> -nhnv

警告：在生产环境中，不建议使用-nhnv标识，因为它忽略了证书问题。

3.重新启动Elasticsearch和Logstash服务：

# systemctl restart elasticsearch

# systemctl restart logstash

此时，您可以使用user:password 身份验证和加密通信来保护您的Elasticsearch集群。这意味着必须对指向某个Elasticsearch节点的任何Logstash进行身份验证。此外，对Elasticsearch API的任何请求都必须使用https plus user:password 身份验证。

xpack.security.enabled：false

# systemctl restart kibana

$ sudo -u kibana NODE_OPTIONS="--max-old-space-size=3072" /usr/share/kibana/bin/kibana-plugin install https://search.maven.org/remotecontent?filepath=com/floragunn/search-guard-kibana-plugin/6.5.4-17/search-guard-kibana-plugin-6.5.4-17.zip

2. 编辑Kibana配置文件，它位于/etc/kibana/kibana.yml，添加以下行：

# Elasticsearch URL

elasticsearch.url: "https://<ELASTICSEARCH_HOST>:9200"

# Credentials

elasticsearch.username: "admin"

elasticsearch.password: "admin"

# Disable SSL verification because we use self-signed demo certificates

elasticsearch.ssl.verificationMode: none

# Whitelist the Search Guard Multi Tenancy Header

elasticsearch.requestHeadersWhitelist: [ "Authorization" , "sgtenant" ]

现在，您可以像往常一样访问Kibana UI，它将提示您登录，您可以使用现有的admin的用户访问它。

接下来的步骤我们将学习如何定义新的Kibana UI用户以及如何根据他们的需要为所有用户定义特定角色。

有关详细信息，请参阅Kibana Search Guard插件。

sg_wazuh_admin:

  cluster:

    - indices:data/read/mget

    - indices:data/read/msearch

    - indices:data/read/search

    - indices:data/read/field_caps

    - CLUSTER_COMPOSITE_OPS

  indices:

    '?kiban*':

      '*':

        - MANAGE

        - INDEX

        - READ

        - DELETE

    '?wazuh':

      '*':

        - MANAGE

        - INDEX

        - READ

        - DELETE

    '?wazuh-version':

      '*':

        - MANAGE

        - INDEX

        - READ

        - DELETE

    'wazuh-alerts-3?x-*':

      '*':

        - indices:admin/mappings/fields/get

        - indices:admin/validate/query

        - indices:data/read/search

        - indices:data/read/msearch

        - indices:data/read/field_stats

        - indices:data/read/field_caps

        - READ

        - SEARCH

    'wazuh-monitoring*':

      '*':

        - indices:admin/mappings/fields/get

        - indices:admin/validate/query

        - indices:data/read/search

        - indices:data/read/msearch

        - indices:data/read/field_stats

        - indices:data/read/field_caps

        - READ

        - SEARCH

2.为您的密码创建哈希

bash /usr/share/elasticsearch/plugins/search-guard-6/tools/hash.sh -p yourpassword

3.使用步骤2中的哈希在/usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_internal_users.yml中创建新用户。

wazuhadmin:

  hash: $2a$12$VcCDgh2NDk07JGN0rjGbM.Ad41qVR/YFJcgHp0UGns5JDymv..TOG

  roles:

    - wazuhadmin_role

3.在/usr/share/elasticsearch/plugins/search-guard-6/sgconfig/sg_roles_mapping.yml中设置Search Guard角色的角色映射

sg_wazuh_admin:

  backendroles:

    - wazuhadmin_role

4.应用更改：

# /usr/share/elasticsearch/plugins/search-guard-6/tools/sgadmin.sh \

-cd /usr/share/elasticsearch/plugins/search-guard-6/sgconfig -icl -key \

/etc/elasticsearch/kirk-key.pem -cert /etc/elasticsearch/kirk.pem -cacert \

/etc/elasticsearch/root-ca.pem -h <ELASTICSEARCH_HOST> -nhnv

自动插入Wazuh API

如果您想更快地在我们的某个应用程序上添加Wazuh API凭据，您可以执行以下命令之一，具体取决于您使用的应用程序：

# curl -X POST "http://<ELASTICSEARCH_IP>:9200/.wazuh/wazuh-configuration/1513629884013" -H 'Content-Type: application/json' -d'

{

  "api_user": "<WAZUH_API_USERNAME>",

  "api_password": "<WAZUH_API_PASSWORD>",

  "url": "<WAZUH_API_URL>",

  "api_port": "<WAZUH_API_PORT>",

  "insecure": "true",

  "component": "API",

  "cluster_info" : {

    "manager" : "<WAZUH_MANAGER_HOSTNAME>",

    "cluster" : "<WAZUH_MANAGER_CLUSTER_NAME>",

    "status" : "<WAZUH_MANAGER_CLUSTER_STATUS>"

  },

  "extensions" : {

    "audit" : true,

    "pci" : true,

    "gdpr" : true,

    "oscap" : true,

    "ciscat" : false,

    "aws" : false,

    "virustotal" : false,

    "osquery" : false

  }

# curl -X POST "http://<SPLUNK_IP>:<SPLUNK_PORT>/en-US/custom/SplunkAppForWazuh/manager/add_api?url=<WAZUH_API_URL>&portapi=<WAZUH_API_PORT>&userapi=<WAZUH_API_USERNAME>&passapi=<WAZUH_API_PASSWORD>"

兼容性

Wazuh软件可以安装在许多操作系统中，但根据您的需要，某些系统可能不兼容。此外，不同的Wazuh产品之间也有特定的兼容性要求。为了帮助您，请检查以下兼容性。

• 操作系统兼容性
• 产品兼容性

下面显示了Wazuh manger的兼容性表。由于其稳定性和与Wazuh模块的完全兼容性，建议使用CentOS / RHEL 7作为Wazuh管理器的操作系统。

（*）在这些系统中，Wazuh API不可用。

（**）要在CentOS 6中运行群集，请查看在CentOS 6中 运行群集部分

注意:该集群自Wazuh v3.0起可用，并且在CentOS 5 / RHEL 5上不起作用。

在此表中，您可以查看我们支持的操作系统列表，其中可以安装Wazuh agent

当使用Wazuh软件的全栈（这意味着，wazuh-manager，wazuh-agent，wazuh-api和wazuh-app），也有为了不同的兼容性要求，使得正常运行。

当agent具有与管manager相同或更旧的版本时，agent和manager之间的兼容性得到保证。

注意：Wazuh manager也与OSSEC agent兼容，但请记住，并非所有功能都可用。

API需要与major.minor manager相同的版本才能兼容。

（*）在这些Wazuh应用程序版本中，Elastic Stack有不同的兼容版本。

您可以在Kibana存储库中找到有关Wazuh应用程序的更多信息，您可以在其中查看Wazuh应用程序和Elastic Stack版本之间更详细的兼容性.

（*）在这些Wazuh应用程序版本中，Splunk有不同的兼容版本。

您可以在Wazuh应用程序存储库中找到更多信息，您可以在其中查看用于Wazuh和Splunk版本的Splunk应用程序之间的更详细的兼容性.