Wazuh Indexer

Wazuh dizinleyicisi, son derece ölçeklenebilir, tam metin arama ve analiz motorudur. Bu Wazuh merkezi bileşeni, Wazuh sunucusu tarafından oluşturulan uyarıları dizinler ve depolar.depolar Neredeyseve neredeyse gerçek zamanlı veri arama ve analiz yetenekleri sağlar. Wazuh bileşenleri hakkında daha fazla bilgi edinmek istiyorsanız başlarken bölümüne bakın.

Wazuh dizinleyicisini tek bir ana bilgisayara yükleyebilirsiniz. Alternatif olarak, birden fazla düğümde dağıtılmış olarak, bir küme yapılandırmasında yükleyebilirsiniz. Bu;dizinleyicisi, ölçeklenebilirlik,eklenebilirlik ve yüksek kullanılabilirlik ve gelişmiş performans sağlar.

Aşağıdaki gereksinimleri kontrol edin ve Wazuh indeksleyicisini yüklemeye başlamak için bir yükleme yöntemi seçin.

• Destekli kurulum : Bu bileşeni, kurulum ve yapılandırma sürecini otomatikleştiren bir yardımcı çalıştırarak kurun.
• Adım adım kurulum : Bu bileşeni, ayrıntılı adım adım talimatları izleyerek kurun.

Gereksinimler

Wazuh dizinleyici kurulumu için desteklenen işletim sistemlerini ve önerilen donanım gereksinimlerini kontrol edin. Sistem ortamınızın tüm gereksinimleri karşıladığından ve kök kullanıcı ayrıcalıklarına sahip olduğunuzdan emin olun.

Önerilen işletim sistemleri

Wazuh 64-bit Linux işletim sistemine kurulabilir. Wazuh aşağıdaki işletim sistemi sürümlerini destekler:

Donanım önerileri

Wazuh indeksleyicisilayan tek düğümlü veya çok düğümlü bir küme olarak kurulabilir.yapılandırılabilir.

Wazuh

• dizinleyicisi verileri JSON belgeleri olarak depolar. Her belge, bir dizi anahtar, alan adı veya özelliği, dizeler, sayılar, boole değerleri, tarihler, değer dizileri, coğrafi konumlar veya diğer veri türleri olabilen karşılık gelen değerleriyle ilişkilendirir.

  Bir dizin, birbirleriyle ilişkili belgelerin bir koleksiyonudur. Wazuh dizinleyicisinde depolanan belgeler, parçalar olarak bilinen farklı kapsayıcılara dağıtılır. Belgeleri birden fazla parçaya ve bu parçaları birden fazla düğüme dağıtarak, Wazuh dizinleyici yedekliliği sağlayabilir. Bu, sisteminizi donanım arızalarına karşı korur ve düğümler bir kümeye eklendikçe sorgu kapasitesini artırır.

  Wazuh farklı olay türlerini depolamak için donanımdört önerileri

farklı

• Wazuh sunucusu Disktarafından alanı gereksinimleri

Veri miktarı, saniyede üretilen uyarılara (APS) bağlıdır. Bu tablo, izlenen uç noktaların türüne bağlı olarak, bir Wazuh dizinleyici sunucusunda 90 günlükoluşturulan uyarıları depolamakdepolar için. ajanBunlar, başınabir gerekenolay tahminiyeterince diskyüksek alanınıönceliğe ayrıntılısahip olarakbir açıklar.

GET /wazuh-alerts-4.x-*/_search
{
  "query": {
    "bool": {
      "must": [
        {"term": { "rule.mitre.tactic": "Lateral Movement" } },
        {"term": { "rule.mitre.technique": "SSH" } }
      ]
    }
  },
  "sort": [
    { "timestamp": { "order": "desc" } }
  ],
  "size": 1
}

{
   "timestamp" : "2022-04-24T17:24:56.110+0000",
   "agent" : {
    "ip" : "10.0.1.52",
    "name" : "Amazon",
    "id" : "001"
   },
   "data" : {
     "srcip" : "68.183.216.91",
     "srcport" : "53820"
   },
   "rule" : {
     "description" : "sshd: insecure connection attempt (scan).",
     "id" : "5706",
     "level" : 6,
     "pci_dss" : ["11.4"],
     "mitre" : {
       "technique" : [
         "SSH"
       ],
       "id" : ["T1021.004"],
       "tactic" : [
         "Lateral Movement"
      ]
     }
   },
   "full_log" : "Apr 24 17:24:55 ip-10-0-1-52 sshd[32179]: Did not receive identification string from 68.183.216.91 port 53820",
   "location" : "/var/log/secure",
   "predecoder" : {
     "hostname" : "ip-10-0-1-52",
     "program_name" : "sshd",
     "timestamp" : "Apr 24 17:24:55"
   },
   "decoder" : {
     "parent" : "sshd",
     "name" : "sshd"
   },
   "GeoLocation" : {
     "city_name" : "Frankfurt am Main",
     "country_name" : "Germany",
     "region_name" : "Hesse"
   }
}