Wazuh после установки: какие события отслеживать на серверах компании

У компании три Linux-сервера: сайт, CRM и файловое хранилище. Wazuh уже получает данные, но сообщений слишком много. Начните с изменений конфигурации сайта, административных входов и состояния агентов. Агент — программа на сервере, которая собирает и передаёт события.

• Понятное действие. Выбирайте событие, после которого ответственный знает, что проверить. Например, изменение настроек сайта можно сопоставить с плановым обслуживанием.

• Нужный сервер. Для каждого сервера определите свои важные файлы и журналы. Не переносите один список без проверки на сайт, CRM и файловое хранилище.

• Контекст вместо обвинения. Неудачный вход может быть ошибкой сотрудника, а изменение файла — обновлением программы. Сначала выясните причину, затем решайте, было ли нарушение.

Высокий уровень предупреждения не доказывает намерение человека. Wazuh помогает собрать признаки и сопоставить события, а ответственный проверяет обстоятельства. Если все незначительные изменения уходят всем сотрудникам, полезные сообщения затеряются и их перестанут читать.

На каждом сервере найдите место, где действительно появляется нужная запись: файл журнала, системный журнал или другой источник. Проверьте, что агент читает его и имеет доступ. Статус подключения сам по себе не подтверждает сбор нужных данных.

Запись проходит несколько этапов: сбор на сервере, передача, разбор полей и применение правил. Если исходная запись есть, а предупреждения нет, проверяйте эту цепочку последовательно. Часы сервера и системы Wazuh должны позволять сопоставить время события.

Сначала возьмите строку без секретов и выясните, какие поля распознаны. Декодер разбирает запись журнала, а правило определяет, какое предупреждение создать. Повышение всех уровней наугад не поможет, если запись не прочитана или её формат разобран неверно.

Для проверки декодеров и правил используйте предусмотренный Wazuh инструмент. Он проверяет разбор строки, но не подтверждает передачу от агента и доставку письма. Локальные правила храните отдельно от штатных файлов и сверяйте их пути и номера со своей версией.

Контроль целостности файлов, или FIM, отслеживает изменения выбранных файлов и папок. Начните с небольшого списка важных настроек. Наблюдение за всей папкой данных CRM может создать поток обычных изменений и скрыть правку, на которую действительно нужно обратить внимание.

• Учебный файл. Создайте его отдельно от рабочих настроек, включите наблюдение и дождитесь исходного состояния. Затем измените содержимое и найдите соответствующее событие.

• Понятные сведения. Проверьте сервер, путь, время и вид изменения. Частоту проверки и возможность наблюдения в реальном времени выбирайте для конкретной системы и папки.

• Автор действия. Если нужно знать, кто изменил файл, настройте отдельный сбор данных об авторе — who-data — и нужные источники аудита. Обычная фиксация изменения не всегда показывает пользователя.

Показ различий содержимого тоже требует выбора. Файл настройки может содержать пароль или ключ, который попадёт в журнал при записи изменения. Для чувствительных файлов рассмотрите сведения о факте изменения без полного содержимого и ограничьте доступ к журналам.

Назначьте основного и резервного получателя. Для каждого вида события задайте срок реакции и первое действие: проверить источник входа, сопоставить изменение с обслуживанием или восстановить сбор. В сообщении нужны сервер, время и понятное описание, а не только номер правила.

Порог создания предупреждения и порог отправки письма — разные настройки Wazuh. Общий порог почтовой отправки может оказаться выше уровня конкретного события. Если предупреждение видно в панели, а письма нет, сначала проверьте уровни, условия получателя и очередь отправки.

Wazuh не выполняет прямую SMTP-аутентификацию, то есть вход на почтовый сервер с логином и паролем. Если сервер её требует, нужен промежуточный почтовый сервер — relay. Его настройку и доставку проверяйте отдельно от появления события в панели.

Отправка в мессенджер или другой внешний канал требует отдельного подключения и проверки ошибок и повторных попыток. Для важных предупреждений предусмотрите запасной канал, который не зависит целиком от наблюдаемого сервера. Наличие интеграции ещё не подтверждает получение сообщения ответственным.

Проводите проверку на отдельном учебном сервере с согласованными действиями. Не используйте рабочий администраторский аккаунт для неверных входов: его можно заблокировать. Для изменения файла выберите безопасный учебный путь, который не влияет на работу приложения.

Измерьте время от действия до появления события и получения сообщения. Проверка одной строки не охватывает весь путь. Если задержка слишком велика, определите, где она возникла: в сборе, обработке, очереди отправки или внешнем канале.

В первую неделю ведите короткий журнал разборов: какое событие пришло, что его вызвало, какое решение приняли и что изменили в настройках. Так команда отличит повторяющийся шум от полезных предупреждений и сможет объяснить, почему правило скорректировали.

• Лишние изменения файлов. Уточняйте папку или правило для часто меняющегося файла. Не отключайте весь контроль только потому, что один каталог создаёт много обычных событий.

• Непонятное сообщение. Если событие полезно, улучшите описание и выбор получателя. Ответственный должен понимать, какой сервер и действие проверить.

• Нет предупреждений. Проверьте состояние агентов, свежесть данных, место в хранилище событий и ошибки центрального сервера. Тишина может означать потерю сбора, а не отсутствие проблем.

Сохраняйте пользовательские правила, подключения и конфигурацию в резервных копиях. После обновления повторите учебные события: формат журнала или правило могли измениться. Периодически проверяйте и доставку, потому что внешняя почта и каналы меняются независимо от Wazuh.

Открытая платформа не включает автоматически работу аналитика, облачный сервис и внешние каналы. Active Response — автоматические действия в ответ на событие — требует отдельной проверки условий. Начните с наблюдения и понятной ручной реакции, прежде чем поручать системе блокировки.