Wazuh 是一個(gè)免費(fèi)的開源平臺(tái)，用于威脅預(yù)防、檢測(cè)和響應(yīng)。它能夠跨本地、虛擬化、容器化和基于云的環(huán)境保護(hù)工作負(fù)載。

Wazuh 解決方案由部署到受監(jiān)控系統(tǒng)的端點(diǎn)安全代理和收集和分析代理收集的數(shù)據(jù)的管理服務(wù)器組成。此外，Wazuh 已與 Elastic Stack 完全集成，提供搜索引擎和數(shù)據(jù)可視化工具，允許用戶瀏覽其安全警報(bào)。

Wazuh 功能

簡(jiǎn)要介紹 Wazuh 解決方案的一些更常見用例。

入侵檢測(cè)

Wazuh 代理掃描受監(jiān)控的系統(tǒng)以查找惡意軟件、rootkit 和可疑異常。它們可以檢測(cè)隱藏文件、隱藏進(jìn)程或未注冊(cè)的網(wǎng)絡(luò)偵聽器，以及系統(tǒng)調(diào)用響應(yīng)中的不一致。

除了代理功能外，服務(wù)器組件還使用基于簽名的入侵檢測(cè)方法，使用其正則表達(dá)式引擎分析收集的日志數(shù)據(jù)并尋找入侵指標(biāo)。

日志數(shù)據(jù)分析

Wazuh 代理讀取操作系統(tǒng)和應(yīng)用程序日志，并將它們安全地轉(zhuǎn)發(fā)到中央管理器，以進(jìn)行基于規(guī)則的分析和存儲(chǔ)。當(dāng)沒有部署代理時(shí)，服務(wù)器還可以通過 syslog 從網(wǎng)絡(luò)設(shè)備或應(yīng)用程序接收數(shù)據(jù)。

Wazuh 規(guī)則幫助你了解應(yīng)用程序或系統(tǒng)錯(cuò)誤、錯(cuò)誤配置、企圖和/或成功的惡意活動(dòng)、違反政策以及各種其他安全和操作問題。

文件完整性監(jiān)控

Wazuh 監(jiān)控文件系統(tǒng)，識(shí)別你需要密切關(guān)注的文件內(nèi)容、權(quán)限、所有權(quán)和屬性的變化。此外，它本機(jī)識(shí)別用于創(chuàng)建或修改文件的用戶和應(yīng)用程序。

文件完整性監(jiān)控功能可以與威脅情報(bào)結(jié)合使用，以識(shí)別威脅或受損主機(jī)。此外，一些法規(guī)遵從性標(biāo)準(zhǔn)（例如 PCI DSS）也需要它。

漏洞檢測(cè)

Wazuh 代理提取軟件清單數(shù)據(jù)并將此信息發(fā)送到服務(wù)器，與不斷更新的 CVE（通用漏洞和暴露）數(shù)據(jù)庫相關(guān)聯(lián)，以識(shí)別眾所周知的易受攻擊的軟件。

自動(dòng)漏洞評(píng)估可幫助你找到關(guān)鍵資產(chǎn)中的弱點(diǎn)，并在攻擊者利用它們破壞你的業(yè)務(wù)或竊取機(jī)密數(shù)據(jù)之前采取糾正措施。

配置評(píng)估

Wazuh 監(jiān)控系統(tǒng)和應(yīng)用程序配置設(shè)置，以確保它們符合你的安全策略、標(biāo)準(zhǔn)和/或強(qiáng)化指南。代理執(zhí)行定期掃描以檢測(cè)已知易受攻擊、未打補(bǔ)丁或配置不安全的應(yīng)用程序。

此外，可以自定義配置檢查，對(duì)其進(jìn)行定制以與你的組織保持一致。警報(bào)包括有關(guān)更好配置、參考和符合法規(guī)要求的映射的建議。

事件響應(yīng)

Wazuh 提供開箱即用的主動(dòng)響應(yīng)，以執(zhí)行各種對(duì)策來應(yīng)對(duì)主動(dòng)威脅，例如在滿足某些標(biāo)準(zhǔn)時(shí)阻止從威脅源訪問系統(tǒng)。

此外，Wazuh 可用于遠(yuǎn)程運(yùn)行命令或系統(tǒng)查詢、識(shí)別入侵指標(biāo) (IOC) 并幫助執(zhí)行其他實(shí)時(shí)取證或事件響應(yīng)任務(wù)。

合規(guī)性

Wazuh 提供了一些必要的安全控制，以符合行業(yè)標(biāo)準(zhǔn)和法規(guī)。這些功能與其可擴(kuò)展性和多平臺(tái)支持相結(jié)合，可幫助組織滿足技術(shù)合規(guī)性要求。

Wazuh 被支付處理公司和金融機(jī)構(gòu)廣泛用于滿足 PCI DSS（支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)）的要求。它的 Web 用戶界面提供報(bào)告和儀表板，可以幫助遵守該法規(guī)和其他法規(guī)（例如 GPG13 或 GDPR）。

云安全

Wazuh 使用能夠從知名云提供商（如亞馬遜 AWS、Azure 或谷歌云）提取安全數(shù)據(jù)的集成模塊，幫助在 API 級(jí)別監(jiān)控云基礎(chǔ)設(shè)施。此外，Wazuh 提供規(guī)則來評(píng)估您的云環(huán)境配置，輕松發(fā)現(xiàn)弱點(diǎn)。

此外，Wazuh 輕量級(jí)和多平臺(tái)代理通常用于在實(shí)例級(jí)別監(jiān)控云環(huán)境。

容器安全

Wazuh 為你的 Docker 主機(jī)和容器提供安全可見性，監(jiān)控它們的行為并檢測(cè)威脅、漏洞和異常。Wazuh 代理與 Docker 引擎原生集成，允許用戶監(jiān)控圖像、卷、網(wǎng)絡(luò)設(shè)置和運(yùn)行的容器。

Wazuh 不斷收集和分析詳細(xì)的運(yùn)行時(shí)信息。例如，對(duì)以特權(quán)模式運(yùn)行的容器、易受攻擊的應(yīng)用程序、在容器中運(yùn)行的 shell、持久卷或映像的更改以及其他可能的威脅發(fā)出警報(bào)。

?