Пошаговая инструкция · Самостоятельная установка
Как установить Wazuh на сервер и подключить первый агент
Пошаговая инструкция для самостоятельной установки. Установим центральные компоненты Wazuh на один сервер и подключим первое устройство. Для штатного installation assistant используем Ubuntu 24.04: Ubuntu 26.04 пока отсутствует в опубликованной матрице поддерживаемых ОС.
Что подготовить и как читать инструкцию #
Для центрального узла выберите чистую Ubuntu 24.04 LTS, а не обход проверки ОС на 26.04. Это исключение касается официального native assistant; версии ОС защищаемых устройств проверяются отдельно. Минимальный рабочий старт для 1–25 агентов из quickstart — 4 vCPU, 8 ГиБ RAM и 50 ГБ, но реальный объём событий и срок хранения могут потребовать больше диска.
На одной машине будут manager, indexer и dashboard. Время должно быть синхронизировано, имя и адрес — постоянными. Панель обрабатывает сведения о вашей инфраструктуре, поэтому сделайте её доступной через административную сеть или VPN. Установите обновления и настройте SSH по общей статье подготовки, выбрав 24.04; Docker, Nginx и Certbot для этого сценария не нужны.
Команды выполняйте в терминале сервера после подключения по SSH, если шаг не указывает другое место. sudo даёт команде права администратора. Действия в браузере выполняйте на своём компьютере. Домены, IP-адреса и значения ВАШ_ПАРОЛЬ из примеров заменяйте своими до выполнения команды.
Двигайтесь по одному шагу и проверяйте результат перед следующим. Блок с <<EOF или другим именем завершения копируйте целиком: он записывает содержимое одного файла. При работе в nano сохраняйте файл клавишами Ctrl+O, Enter и выходите Ctrl+X. Если прервали SSH-сеанс, снова перейдите в указанный каталог; переменные предыдущего сеанса потребуется задать заново.
Шаг 1. Установите инструменты #
Для центрального узла используем поддерживаемую Ubuntu 24.04. Обновим список пакетов и установим инструменты загрузки и копирования.
sudo apt update
sudo apt install -y curl ca-certificates openssl rsyncПакеты установлены без ошибок.
Шаг 2. Сохраните SSH-доступ #
Перед включением firewall разрешите профиль OpenSSH. Если ваш порт отличается, добавьте правило для него отдельно.
sudo ufw allow OpenSSHДоступный вам SSH-порт разрешён.
Шаг 3. Разрешите панель и агентов из своей сети #
В примере разрешена приватная сеть 10.20.0.0/24. Замените её своей сетью агентов/VPN: 443 — панель, 1514 — события, 1515 — регистрация агента. Общедоступный доступ всей сети Интернет здесь не требуется.
sudo ufw allow from 10.20.0.0/24 to any port 443 proto tcp
sudo ufw allow from 10.20.0.0/24 to any port 1514 proto tcp
sudo ufw allow from 10.20.0.0/24 to any port 1515 proto tcp
sudo ufw enable
sudo ufw status verboseUFW включён, правила соответствуют вашей сети; второй SSH-вход работает.
Шаг 4. Проверьте время сервера #
Верное время нужно TLS-сертификатам и порядку событий. Если синхронизация выключена, включите её штатными средствами Ubuntu перед установкой.
timedatectl statustimedatectl показывает синхронизацию часов.
Шаг 5. Создайте каталог установщика #
Файлы установщика и первоначальные секреты будут в ~/wazuh-install. Закрываем доступ новым файлам через umask.
umask 077
mkdir -p "$HOME/wazuh-install"
cd "$HOME/wazuh-install"Вы в нужном каталоге.
Шаг 6. Скачайте официальный assistant #
curl только сохраняет установщик ветки 4.14. Не используйте неизвестный сторонний скрипт вместо него.
curl -fL -o wazuh-install.sh https://packages.wazuh.com/4.14/wazuh-install.shwazuh-install.sh скачан без ошибки HTTP.
Шаг 7. Просмотрите установщик #
less позволяет прочитать файл без изменения. Посмотрите, что он ставит manager, indexer и dashboard; для выхода нажмите q.
less wazuh-install.shЭто скрипт Wazuh, не страница с ошибкой.
Шаг 8. Запустите установку одного узла #
Параметр -a ставит все центральные компоненты на этот чистый сервер. Дождитесь завершения; установка может занять несколько минут.
sudo bash ./wazuh-install.sh -aAssistant вывел адрес панели и начальные реквизиты. Сохраните их в менеджере паролей.
Шаг 9. Сохраните первоначальные файлы #
Архив установщика содержит пароли и сертификаты. Ограничим доступ и перенесём закрытую копию на другую машину.
sudo chmod 600 wazuh-install-files.tarwazuh-install-files.tar доступен только владельцу/root.
Шаг 10. Проверьте службы и версии #
Все центральные компоненты должны относиться одному согласованному выпуску. Manager принимает события, indexer хранит и ищет их, dashboard показывает результат.
sudo systemctl is-active wazuh-manager wazuh-indexer wazuh-dashboard filebeat
dpkg-query -W wazuh-manager wazuh-indexer wazuh-dashboardВсе службы active; версии компонентов совпадают по выбранной ветке.
Шаг 11. Защитите комплект от случайного обновления #
Отключим автоматическое использование репозитория Wazuh. Обновление центральных компонентов затем выполняется согласованно по официальной процедуре после копии.
sudo sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
sudo apt updateИсточник Wazuh закомментирован; apt update завершился без ошибки.
Шаг 12. Проверьте сертификат панели #
Посмотрим адрес/порт панели и отпечаток сертификата на самом сервере. При первом входе сравните его с предъявленным браузеру сертификатом. Не принимайте предупреждение вслепую; для обычной работы настройте доверенный сертификат по документации.
sudo grep -E "^server\.(host|port|ssl\.certificate):" /etc/wazuh-dashboard/opensearch_dashboards.yml
sudo openssl x509 -in /etc/wazuh-dashboard/certs/dashboard.pem -noout -subject -issuer -fingerprint -sha256
sudo journalctl -u wazuh-dashboard --since "15 minutes ago" --no-pagerОтпечаток соответствует вашему серверу; журнал dashboard не сообщает об ошибке запуска.
Шаг 13. Войдите и смените начальный пароль #
Из доверенной сети откройте адрес панели. Войдите сохранёнными реквизитами и смените административный пароль штатным способом выбранного выпуска. Сохраните доступ к консоли сервера.
Вход с новым паролем работает; первоначальный пароль не используется.
Шаг 14. Установите агента на отдельную машину #
В панели откройте развёртывание нового агента. Выберите ОС и архитектуру тестовой машины, укажите приватный адрес manager. Скопируйте выданную команду и выполните на этой машине, не на центральном узле.
Пакет агента установлен; он знает правильный адрес manager.
Шаг 15. Запустите и проверьте тестового агента #
Эти команды относятся машине с установленным Linux-агентом. Проверяем его службу и соединение с manager; для Windows используйте инструкции выданного мастера.
sudo systemctl enable --now wazuh-agent
sudo systemctl status wazuh-agent --no-pager
sudo tail -n 50 /var/ossec/logs/ossec.logВ панели агент становится Active; журнал не сообщает об отказе регистрации.
Шаг 16. Проверьте появление события #
На тестовой машине выполните обычный вход/выход или другое безопасное действие, которое собирает её конфигурация агента. В панели выберите именно этот агент и соответствующий диапазон времени.
Появилось событие с правильной машиной и временем; установка подтверждена реальными данными.
Шаг 17. Остановите изменения конфигурации для копии #
Создадим закрытый каталог и остановим Filebeat/manager. Исторические события indexer требуют отдельной штатной snapshot-процедуры; следующий архив сохраняет настройки, а не всю историю.
sudo install -d -m 700 /var/backups/wazuh
sudo systemctl stop filebeat wazuh-managerManager и Filebeat остановлены; перерыв согласован.
Шаг 18. Сохраните настройки и секреты #
Архив включает конфигурацию узла и агенты/ключи manager. Для полной политики восстановления добавьте snapshots indexer по его документации.
sudo tar -czpf /var/backups/wazuh/settings-$(date +%F-%H%M).tar.gz -C / \
var/ossec etc/filebeat etc/wazuh-indexer etc/wazuh-dashboard \
usr/share/wazuh-dashboard/data/wazuh
sudo chmod 600 /var/backups/wazuh/*.tar.gzАрхив создан и защищён правами 600; копия вынесена с сервера.
Шаг 19. Запустите сбор и проверьте копию #
Верните службы и дождитесь нового события тестового агента. Восстановление проверяйте отдельно: настройки, секреты и snapshots истории — разные необходимые части.
sudo systemctl start wazuh-manager filebeatАгент снова Active, новое событие появляется в панели.
Если результат шага отличается #
Вернитесь к проверке того шага, на котором появилась ошибка. Первая ошибка в выводе обычно полезнее последних строк: последующие команды могли не получить нужный файл или работающую службу. Не повторяйте установку целиком поверх частично настроенного приложения.
Если страница не открывается, сначала проверьте домен и входящие порты, затем состояние приложения и его журнал. Если сайт открывается, но отдельное действие не работает, проверьте связанные компоненты — обработчик фоновых задач, почту или права пользователя. Официальные источники в конце статьи относятся к выбранному способу установки.