Правило SIEM может выглядеть безупречно в XML, но так и не обнаруживать атаки из‑за ошибок декодирования или некорректных условий срабатывания. В Wazuh важно проверять весь путь от обработки логов до автоматической блокировки атакующего: в статье разбираем создание и тестирование пользовательских правил через wazuh-logtest, переопределение встроенных правил и настройку Active Response для защиты от SSH‑брутфорса. Настроить Wazuh
Wazuh хорошо собирает события безопасности, но чтобы найти в них ответ, нужно знать язык запросов и сотни полей индекса. Опытный инженер SOC напишет запрос за минуту, но вот коллегам, которые не работали в Wazuh или с SIEM-системами, это сделать не так просто.Дашборд Wazuh построен на OpenSearch…
Пошаговое руководство по сборке домашнего лабораторного стенда: Wazuh Server, два хоста с агентами на Ubuntu и Windows 10 и атакующая машина на Kali Linux. Разворачиваем Wazuh, настраиваем правила обнаружения и на практике проверяем, как SIEM собирает логи, обнаруживает SSH-брутфорс в реальном времени, подозрительную активность на агенте и вредоносный PowerShell на реальных примерах атак. Читать далее
В предыдущей статье мы говорили о том, как можно подключить к Wazuh стандартные источники, идущие, что называется, «из коробки». С ними все относительно просто: выполняем действия, представленные в инструкции по подключению Wazuh на источнике, выполняем необходимые правки на стороне