Wazuh

Es gibt wieder einen neuen Artikel in der Dashboard Serie: Dashboard anhand eines Searchstrings bauen – Teil3

Bei einem unserer Kunden die rein in AWS arbeiten, haben wir das neueste Update von Wazuh 4.12 eingespielt, nachdem alle unsere internen Tests (basierend auf Ubuntu) erfolgreich verlaufen sind. Da die AMI auf Amazon Linux2 (CentOS) basiert, lief hier das Update via … nicht ganz so rund. Erst eine Warnung dass Wazuh-Indexer nicht läuft und … Weiterlesen

Im Slack gibt es gerade eine interessante Diskussion, wie man das Limit von Reports erweitern kann. Dazu muss die constants.js manuell angepasst werden. Sie liegt hier: Suchen nach Und entsprechend auf eigenes Risiko erweitern: Im Anschluss das Dashboard neu starten

Gehen wir davon aus, dass nur eine begrenzte Menge an Festplattenspeicher für Wazuh zur Verfügung steht. Um nicht blind alle Index älter als X Tage löschen zu müssen, können wir auf die Index einzeln nach unwichtigeren Meldungen durchgehen und nur diese entfernen (auf eigenes Risiko!). Wollt ihr zum Beispiel die simplen Windows Logoff Meldungen raus … Weiterlesen

…. findet ihr hier Windows Defender Anomalien erkennen

Heute wollen wir anhand eines Searchstrings – oder use-case – ein eigenes Dashboard bauen. Dazu gehen wir im Hauptmenü auf Threat Hunting und in Events fügen wir den Filter rule.id is 60204 hinzu. Das speichern wir indem wir links neben dem Suchfeld auf die Diskette klicken. Wir man sieht finden wir damit gehäufte falsche Windowsanmeldungen … Weiterlesen