Wazuh und SonicWall
Hier ein Artikel über die SonicWall Integration von Wazuh, nicht viel Neues dabei, aber gut zum Verständnis: https://medium.com/@enes.ismaili/sonicwall-wazuh-integration-c96a0b3f6c30
Wazuh
Wazuh RBAC & OpenSearch: Warum eingeschränkte Agent-Sichtbarkeit derzeit nicht vollständig möglich ist
Die rollenbasierte Zugriffskontrolle (RBAC) in Wazuh ist ein wichtiges Werkzeug, wenn Organisationen sensible Sicherheitsdaten nur bestimmten Benutzergruppen zugänglich machen möchten. Doch während Wazuh selbst sehr feingranulare Agent-Berechtigungen bietet, zeigt die Kombination mit OpenSearch aktuell deutliche Schwachstellen. Im Slack-Thread beschreibt Lennart Hagemann ein Problem, das viele Wazuh-Administratoren betreffen dürfte:Wie verhindert man, dass Benutzer*innen Daten über Agents … Weiterlesen
Wie ich den Wazuh-Slack regelmäßig verfolge – und warum daraus jetzt Blogposts entstehen
Slack ist ein großartiger Ort für schnellen Austausch – aber genau das ist manchmal auch ein Problem. Nachrichten verschwinden nach 90 Tagen aus dem Verlauf, werden nicht indexiert und wertvolle Diskussionen sind später kaum mehr auffindbar. Gerade im Wazuh-Slack, in dem viele spannende technische Gespräche stattfinden, fand ich das zunehmend schade. Deshalb habe ich mich … Weiterlesen
Wazuh: Wie man IP-Wechsel bei überwachten Office-365-Konten zuverlässig erkennt
In komplexen Cloud-Umgebungen ist es essenziell, ungewöhnliche Aktivitäten frühzeitig zu erkennen. Eine häufige Herausforderung: Ein überwachter Benutzerin führt eine Operation plötzlich von einer neuen, bisher unbekannten IP-Adresse aus.Im Slack-Thread aus dem Wazuh-Community-Channel schilderte Marcin Strzyzewski genau dieses Problem – und erhielt hilfreiche Antworten, die wir hier zusammenfassen. Ausgangssituation Marcin wollte eine korrelierende Wazuh-Regel schreiben, die … Weiterlesen
Offline Vulnerability Detection in Wazuh – Ein Praxisfall aus der Community
In einem aktuellen Slack-Thread schilderte ein Anwender ein Problem, das viele Administratoren kennen: Wazuh für Umgebungen ohne Internetzugang (Air-Gapped / Restricted Networks) korrekt zu konfigurieren, insbesondere die Offline-Vulnerability-Detection.Der Dialog entwickelte sich schnell zu einem hilfreichen Troubleshooting-Leitfaden – mit einigen wichtigen Learnings, die wir hier als Blogpost zusammenfassen. 1. Ausgangslage: Wazuh im Offline-Betrieb Der Nutzer wollte … Weiterlesen
Wie man Wazuh-Audit-Logs aktiviert und im SIEM sichtbar macht – eine kurze Erfolgsgeschichte
In der heutigen Welt der Cybersecurity ist Transparenz ein zentraler Baustein jeder Sicherheitsarchitektur. Wer hat sich wann eingeloggt? Welche Aktionen wurden ausgeführt? Und wo werden diese Informationen gespeichert?Genau diese Fragen stellte Moiz Munawar heute Morgen im Wazuh-Community-Channel – und löste damit eine kleine, aber äußerst hilfreiche Diskussion aus. Im Folgenden fassen wir den Austausch zusammen … Weiterlesen
ISACA Use-case B01 Löschung von Ereignisprotokollen
Im Einleitungsartikel zu den ISACA Use-cases habe ich ganz unten bereits den Use-case B01 angeteasert. Jetzt ist dann auch der erste Artikel der Serie soweit fertig. Wie immer ist SIEM kein abschließender Prozess, heißt, die Ansätze via auditd und FIM für Linux fehlen hier noch, dazu fehlen noch Artikel die die Grundlagen dazu erläutern. Viel … Weiterlesen
Wer alarmiert wenn Wazuh nicht mehr alarmiert?
In Wazuh werden Events pro Sekunde gezählt, d.h. es ist immer was los. Doch wer alarmiert uns wenn Wazuh keine Daten mehr in den Index schreibt, oder ein spezifischer Agent keine Events mehr schickt? Kevin Branch, ein Wazuh Ambassador Kollege hat sich dem Thema befasst, viel Spaß beim lesen.
Wazuh Active-Response einfach erklärt
Man muss das Rad nicht immer 2mal erfinden. Ein Bekannter hat einen guten Artikel inkl. YouTube Video dazu veröffentlicht, in dem alles ganz gut beschrieben ist. Man muss es einmal selbst gemacht haben, ohne sich vorher noch die nächsten drei Schritte zu fragen. https://elwalikarkoub.substack.com/p/network-isolation-for-dfir-using Active-Response selbst ist natürlich auch in der Dokumentation von Wazuh selbst … Weiterlesen
Wazuh Roadmap
Ich hatte eben einen interessanten Tech-Talk über die Roadmap von Wazuh mit einem der Techniker, in aller Kürze: Version 4.13 (vmtl. heute verfügbar)– Fokus auf IT-Hygiene– Einführung globaler Queries: Systemweite Abfragen zu laufenden Prozessen Abfragen offener Ports über alle angebundenen Systeme hinweg Version 4.14 (Ende Oktober)– Einführung eines AI Assistant, kompatibel mit beliebigen LLMs, für Analysten um … Weiterlesen