Привет, защитники! ???? На канале Pensecfort я начал цикл про создание алертов в Wazuh, и в этой статье, мы разберём декодеры — ключевой компонент для обработки логов. Вы узнаете, как они работают, какие поля использовать и как выбрать правильный <type> для логов. Это подробное руководство для тех, кто хочет настроить Wazuh под свои задачи! Читать далее
Пошаговое руководство по сборке домашнего лабораторного стенда: Wazuh Server, два хоста с агентами на Ubuntu и Windows 10 и атакующая машина на Kali Linux. Разворачиваем Wazuh, настраиваем правила обнаружения и на практике проверяем, как SIEM собирает логи, обнаруживает SSH-брутфорс в реальном времени, подозрительную активность на агенте и вредоносный PowerShell на реальных примерах атак. Читать далее
Правило SIEM может выглядеть безупречно в XML, но так и не обнаруживать атаки из‑за ошибок декодирования или некорректных условий срабатывания. В Wazuh важно проверять весь путь от обработки логов до автоматической блокировки атакующего: в статье разбираем создание и тестирование пользовательских правил через wazuh-logtest, переопределение встроенных правил и настройку Active Response для защиты от SSH‑брутфорса. Настроить Wazuh
Как известно, SIEM системы предназначены для обнаружения угроз и мониторинга безопасности, но при этом важно учитывать, что и сама SIEM является сложной распределенной системой, с которой также могут возникнуть различные проблемы. Так, к примеру в Wazuh может отключиться агент, переполниться диск с логами или перестать работать менеджер. В этой статье мы рассмотрим практические подходы к мониторингу состояния Wazuh, чтобы вы всегда были уверены в его работоспособности. Читать далее