Wazuh Alerts via PowerAutomate an Teams schicken
Da Microsoft die alten Webhooks deaktiviert, hier eine Anleitung wie man die Alerts mit PowerAutomate einrichtet: https://www.cylenth.blog/posts/wazuh-microsoft-teams-integration-workflows
Wazuh
Keine neuen Alerts nach Upgrade von Ubuntu 20.04 auf 24.04
Bei einem geplanten Upgrade von Ubuntu 20.04 auf 24.04 haben wir erst die VM mit Snapshot bestückt und dann den ganz normalen Weg wie er überall beschrieben ist gewählt: Geänderte Defaults nicht überschreiben lassen und Dienste neu starten lassen, kein großes Ding. Bei 22.04 kurz geprüft ob alle Dienste laufen und neue Logs in der … Weiterlesen
Mehrfach fehlgeschlagene Windows-Logins erkennen
In Wazuh gibt es bereits eine Regel um fehlgeschlagene Logins zu erkennen: Allerdings basiert diese Regel auf 60107, also Failed attempt to perform a privileged operation Eventuell interessieren uns aber Brute Force Attacken, dazu benötigen wir einen Match auf 60122:
Ziel-IP in Wazuh auch mit Geo-Daten anreichern
Wazuh reichert per default nur die Quell IP mit Geo-Daten an. Geht es aber um Data-Loss Prevention, will man ja auch wissen, wo die Pakete hin wandern. Dazu muss die Datei /usr/share/filebeat/module/wazuh/alerts/ingest/pipeline.json angepasst werden. Danach noch filebeat setup –pipelines –modules wazuh und los gehts … Es gibt auch noch viel mehr Möglichkeiten, was man damit … Weiterlesen
Opensearch Snapshots
Ein guter Artikel rund um Snapshots in Opensearch, auch für Wazuh recht interessant wenn es um Restore geht. https://sematext.com/blog/elasticsearch-delete-index/
OpenSearch Cross-Cluster Tips
Aktuelle Settings laden Entfernten Cluster hinzufügen Cluster wieder löschen Nicht-erreichbaren Remote Cluster ignorieren Bitte nicht vergessen im Stack Management einen Index Pattern für den Remote Cluster einzutragen:
Cross-Cluster-Search in Wazuh
Beide Cluster sollten am besten mit der gleichen CA installiert worden sein. Dazu am besten in Cluster 1 die unattended installation, dann die Zertifikate auf den zweiten Cluster kopieren und für diesen die step-by-step Methode wählen. Dort wird mit dem cert-tool gearbeitet und somit kann auch die bereits verwendete CA genommen werden. Als Nodes in … Weiterlesen
Wazuh API Settings ändern
Um z.B. die Lifetime von Wazuh JWT Token anzupassen, muss im Cluster der Wert über die API Console angepasst werden. Dazu einfach in das Dashboard einloggen und zu „Wazuh -> Tools -> API Console“. Dort kann das aktuelle Setting über GET /seurity/config abgefragt werden. Um die Lifetime von 900 Sekunden auf 1800 Sekunden zu erhöhen, … Weiterlesen
Wazuh Anti-Flooding
Sehr detaillierte Beschreibung wie die Queue von einem Wazuh Agent funktioniert: https://documentation.wazuh.com/current/user-manual/agents/antiflooding.html
Wazuh OpenSearch Migration
Eine Migration eines OpenSearch-Clusters auf einen anderen Cluster kann auf verschiedene Arten durchgeführt werden. Hier sind einige Methoden und wie sie funktionieren: In der Praxis sind die ersten beiden Methoden (Snapshot und Restore sowie Reindex von Remote) die gebräuchlichsten und sichersten Ansätze zur Migration von OpenSearch-Clustern. Es ist wichtig, vor jeder Migration eine gründliche Planung … Weiterlesen