Wazuh Sunucu Kümesi

Komut dosyasını kullanma wazuh-certs-tool.sh (varsayılan yöntem)

Betik wazuh-certs-tool.sh, Wazuh merkezi bileşenleri için sertifika oluşturmayı basitleştirir ve kurulum için gereken tüm sertifikaları oluşturur. Yapılandırma dosyasını oluşturmanız veya düzenlemeniz gerekir . Bu dosya, belirtilen her düğüm için sertifika oluşturmak için kullanılan düğüm türleri ve IP adresleri veya DNS adları gibi düğüm ayrıntılarına başvurur. Bir şablon, depolarımızdanconfig.yml indirilebilir . Bu sertifikalar aşağıdaki ek bilgilerle oluşturulur:

• C: BİZ

• L: Kaliforniya

• O: Vazuh

• OU: Vazuh

• CN: Düğümün adı

Özel Sertifikaları Kullanma

Özel sertifikalar OpenSSL gibi araçlar kullanılarak oluşturulabilir. Yukarıda açıklanan kök CA, düğüm ve yönetici sertifikalarını oluşturmalısınız.

Hepsi Bir Arada Dağıtım

Wazuh bileşenleri için hepsi bir arada bir dağıtımda yeni sertifikalar üretiyoruz. Bu, hızlı başlangıç ​​yükleme betiğinin 127.0.0.1Wazuh dizinleyicisi, sunucusu ve panosu için sertifikaları oluşturmak üzere localhost IP adresini kullanması nedeniyle gereklidir. Yeni sertifikalar oluşturmak için aşağıdaki adımları gerçekleştirin.

1. Yeni Wazuh sunucu düğümünü/düğümlerini eklemek için /root dizinde config.yml bir dosya oluşturun :
   
   

   touch /root/config.yml

   /root/config.ymlDosyayı içeriğiyle birlikte aşağıdaki gibi düzenleyin:
   
   

   nodes:
     # Wazuh indexer nodes
     indexer:
       - name: <WAZUH_INDEXER_NODE_NAME>
         ip: <WAZUH_INDEXER_IP>
   
     # Wazuh server nodes
     server:
       - name: <EXISTING_WAZUH_SERVER_NODE_NAME>
         ip: <EXISTING_WAZUH_SERVER_IP>
         node_type: master
       - name: <NEW_WAZUH_SERVER_NODE_NAME>
         ip: <NEW_WAZUH_SERVER_IP>
         node_type: worker
   
     # Wazuh dashboard nodes
     dashboard:
       - name: <WAZUH_DASHBOARD_NODE_NAME>
         ip: <WAZUH_DASHBOARD_IP>
   

   Düğüm adlarını ve IP değerlerini yeni düğüm adlarınız ve IP adreslerinizle değiştirin.

   node_typeKurulumunuzda farklı bir tane atayabilirsiniz . Bu dokümantasyonda, ana rolü mevcut düğüme ve işçi rolünü yeni düğüme atıyoruz.
   
   

2. wazuh-certs-tool.shYeni düğüm için sertifikaları oluşturmak ve mevcut düğüm için yeniden oluşturmak için indirin ve çalıştırın :
   
   

   curl -sO https://packages.wazuh.com/4.9/wazuh-certs-tool.sh
   bash wazuh-certs-tool.sh -A

   Output

   19/06/2024 13:59:08 INFO: Generating the root certificate.
   19/06/2024 13:59:09 INFO: Generating Admin certificates.
   19/06/2024 13:59:09 INFO: Admin certificates created.
   19/06/2024 13:59:09 INFO: Generating Wazuh indexer certificates.
   19/06/2024 13:59:09 INFO: Wazuh indexer certificates created.
   19/06/2024 13:59:09 INFO: Generating Filebeat certificates.
   19/06/2024 13:59:09 INFO: Wazuh Filebeat certificates created.
   19/06/2024 13:59:09 INFO: Generating Wazuh dashboard certificates.
   19/06/2024 13:59:09 INFO: Wazuh dashboard certificates created.
   

3. scpSertifikalar klasörünü sıkıştırın ve yeni Wazuh sunucu düğümüne/düğümlerine kopyalayın. Sıkıştırılmış dosyayı güvenli bir şekilde kopyalamak için yardımcı programı kullanabilirsiniz :
   
   

   tar -cvf ./wazuh-certificates.tar -C ./wazuh-certificates/ .
   scp wazuh-certificates.tar <TARGET_USERNAME>@<TARGET_IP>:

   Bu, sertifikaları hedef sistemdeki kullanıcının dizinine kopyalayacaktır /home. Bunu, kurulum dizininize bir yol belirtmek için değiştirebilirsiniz.

Dağıtılmış Dağıtım

Dağıtılmış bir dağıtım için, sertifikalar önceden var olan kök CA anahtarları kullanılarak veya yeni bir sertifika seti oluşturularak üretilebilir. Yalnızca yeni düğümler için sertifika üretmek amacıyla önceden var olan kök CA anahtarlarını kullanmanızı öneririz. Her iki tekniği de aşağıda açıklıyoruz.

Hepsi bir arada dağıtımBu başlığa kalıcı bağlantı

1. env_variables.shMevcut düğümün dizininde, /rootçevresel değişkenlerinizi aşağıdaki gibi tanımladığınız bir dosya oluşturun :

   export NODE_NAME1=<WAZUH_INDEXER_NODE_NAME>
   export NODE_NAME2=<EXISTING_WAZUH_SERVER_NODE_NAME>
   export NODE_NAME3=<WAZUH_DASHBOARD_NODE_NAME>
   

   <WAZUH_INDEXER_NODE_NAME>, <EXISTING_WAZUH_SERVER_NODE_NAME>, <WAZUH_DASHBOARD_NODE_NAME>ifadesini sırasıyla 'de tanımlandığı gibi Wazuh dizinleyicisinin, Wazuh sunucusunun ve Wazuh panosu düğümlerinin adlarıyla değiştirin /root/config.yml.

2. Dizin içerisinde bir deploy-certificates.shscript oluşturun /rootve içerisine aşağıdakileri yapıştırın:

   #!/bin/bash
   
   # Source the environmental variables from the external file
   source ~/env_variables.sh
   
   rm -rf /etc/wazuh-indexer/certs
   mkdir /etc/wazuh-indexer/certs
   tar -xf ./wazuh-certificates.tar -C /etc/wazuh-indexer/certs/ ./$NODE_NAME1.pem ./$NODE_NAME1-key.pem ./admin.pem ./admin-key.pem ./root-ca.pem
   mv -n /etc/wazuh-indexer/certs/$NODE_NAME1.pem /etc/wazuh-indexer/certs/wazuh-indexer.pem
   mv -n /etc/wazuh-indexer/certs/$NODE_NAME1-key.pem /etc/wazuh-indexer/certs/wazuh-indexer-key.pem
   chmod 500 /etc/wazuh-indexer/certs
   chmod 400 /etc/wazuh-indexer/certs/*
   chown -R wazuh-indexer:wazuh-indexer /etc/wazuh-indexer/certs
   
   rm -rf /etc/filebeat/certs
   mkdir /etc/filebeat/certs
   tar -xf ./wazuh-certificates.tar -C /etc/filebeat/certs/ ./$NODE_NAME2.pem ./$NODE_NAME2-key.pem ./root-ca.pem
   mv -n /etc/filebeat/certs/$NODE_NAME2.pem /etc/filebeat/certs/wazuh-server.pem
   mv -n /etc/filebeat/certs/$NODE_NAME2-key.pem /etc/filebeat/certs/wazuh-server-key.pem
   chmod 500 /etc/filebeat/certs
   chmod 400 /etc/filebeat/certs/*
   chown -R root:root /etc/filebeat/certs
   
   rm -rf /etc/wazuh-dashboard/certs
   mkdir /etc/wazuh-dashboard/certs
   tar -xf ./wazuh-certificates.tar -C /etc/wazuh-dashboard/certs/ ./$NODE_NAME3.pem ./$NODE_NAME3-key.pem ./root-ca.pem
   mv -n /etc/wazuh-dashboard/certs/$NODE_NAME3.pem /etc/wazuh-dashboard/certs/wazuh-dashboard.pem
   mv -n /etc/wazuh-dashboard/certs/$NODE_NAME3-key.pem /etc/wazuh-dashboard/certs/wazuh-dashboard-key.pem
   chmod 500 /etc/wazuh-dashboard/certs
   chmod 400 /etc/wazuh-dashboard/certs/*
   chown -R wazuh-dashboard:wazuh-dashboard /etc/wazuh-dashboard/certs
   

3. Aşağıdaki komutu çalıştırarak sertifikaları dağıtın:

   # bash /root/deploy-certificates.sh
   

   Bu, Wazuh merkezi bileşenleri arasındaki iletişimleri şifrelemek için SSL sertifikalarını dağıtır.

   Önerilen eylemwazuh-certificates.tar : Gelecekteki olası kullanım ve ölçeklenebilirlik için bir kopyayı çevrimdışı kaydedin. Güvenliği artırmak için aşağıdaki komutu çalıştırarak bu düğümdeki dosyayı kaldırabilirsiniz :

   # rm -rf ./wazuh-certificates
   # rm -f ./wazuh-certificates.tar
   

4. Wazuh dizinleyici yapılandırma dosyasını /etc/wazuh-indexer/opensearch.ymldizinleyicinin IP adresini belirtecek şekilde düzenleyin ve dosyada NODE_NAMEbelirtildiği gibi /root/config.yml:

   network.host: "<WAZUH_INDEXER_IP>"
   node.name: "<WAZUH_INDEXER_NODE_NAME>"
   cluster.initial_master_nodes:
   - "<WAZUH_INDEXER_NODE_NAME>"
   

5. /etc/filebeat/filebeat.ymlDizinleyicinin IP adresini belirtmek için Filebeat yapılandırma dosyasını düzenleyin :

   output.elasticsearchhosts:
           - <WAZUH_INDEXER_IP>:9200
   

   Not

    

   Bu bölümün yapısı, kurulumunuzu Wazuh kurulum asistanını mı yoksa adım adım kılavuzu mu kullanarak tamamladığınıza bağlı olarak değişir. Burada hızlı başlangıç ​​betiğini kullandık.

6. Küme düğümleri arasındaki iletişimi şifrelemek için kullanılacak rastgele bir şifreleme anahtarı oluşturun:

   # openssl rand -hex 16
   

   Yukarıdaki komutun çıktısını kaydedin, çünkü bu çıktı daha sonra her iki Wazuh sunucu düğümünü yapılandırmak için kullanılacaktır.

7. /etc/wazuh-dashboard/opensearch_dashboards.ymlDizinleyici düğümü için bağlantı ayrıntılarını içerecek şekilde yapılandırma dosyasını düzenleyin :

   opensearch.hosts: https://<WAZUH_INDEXER_IP>:9200
   

8. Dosyayı düzenleyin /usr/share/wazuh-dashboard/data/wazuh/config/wazuh.ymlve urldeğeri Wazuh sunucusu ana düğümünün IP adresi veya ana bilgisayar adıyla değiştirin:

   hosts:
     - default:
         url: https://<EXISTING_WAZUH_SERVER_IP>
         port: 55000
         username: wazuh-wui
         password: <WAZUH-WUI-PASSWORD>
         run_as: false
   

9. /var/ossec/etc/ossec.confWazuh sunucu kümesini etkinleştirmek için Wazuh sunucu yapılandırma dosyasını düzenleyin :

   <cluster>
     <name>wazuh</name>
     <node_name><EXISTING_WAZUH_SERVER_NODE_NAME></node_name>
     <node_type>master</node_type>
     <key><ENCRYPTION_KEY></key>
     <port>1516</port>
     <bind_addr>0.0.0.0</bind_addr>
     <nodes>
         <node><MASTER_NODE_IP></node>
     </nodes>
     <hidden>no</hidden>
     <disabled>no</disabled>
   </cluster>
   

   Dosyanın yukarıdaki bölümündeki yapılandırılabilir alanlar /var/ossec/etc/ossec.confşu şekildedir:

   • name kümenin adını belirtir.

   • node_name geçerli düğümün adını belirtir.<EXISTING_WAZUH_SERVER_NODE_NAME>Dosyada belirtilen adla/root/config.yml.

   • node_type düğümün rolünü belirtir. Master olarak ayarlanması gerekir.

   • anahtar, küme düğümleri arasındaki iletişimi şifrelemek için kullanılan bir anahtarı temsil eder . Tüm sunucu düğümlerinde aynı olmalıdır. Benzersiz bir anahtar oluşturmak için komutunu kullanabilirsiniz.openssl rand -hex 16

   • port küme iletişimi için hedef portu belirtir. Varsayılanı olarak bırakın1516.

   • bind_addr, düğümün gelen istekleri dinlemek için bağlandığı ağ IP'sidir (0.0.0.0, düğümün herhangi bir IP'yi kullanacağı anlamına gelir).

   • nodes ana düğümün adresidir ve bir IP veya DNS ana bilgisayar adı olabilir. Bu parametre ana düğümün kendisi de dahil olmak üzere tüm düğümlerde belirtilmelidir.<MASTER_NODE_IP>Ana düğümünüzün IP adresiyle değiştirin.

   • gizli, oluşturulan uyarılardaki küme bilgilerini gösterir veya gizler.

   • devre dışı, düğümün kümede etkin mi yoksa devre dışı mı olduğunu gösterir. Bu seçenek hayır olarak ayarlanmalıdır.

10. Değişiklikleri uygulamak için Wazuh Central bileşenini ve Filebeat'i yeniden başlatın.

    SistemDSysV başlatma

    
    

    # service wazuh-indexer restart
    # service wazuh-manager restart
    # service wazuh-dashboard restart
    # service filebeat restart
    

    
    

Dağıtılmış dağıtımBu başlığa kalıcı bağlantı

1. Aşağıdaki komutları çalıştırarak Wazuh sunucu sertifikalarını mevcut Wazuh sunucu düğümünüze dağıtın. .yml'de <EXISTING_WAZUH_SERVER_NODE_NAME>tanımlandığı gibi yapılandırdığınız Wazuh sunucusunun düğüm adıyla değiştirin /root/config.

   # NODE_NAME=<EXISTING_WAZUH_SERVER_NODE_NAME>
   

   # rm -rf /etc/filebeat/certs
   # mkdir /etc/filebeat/certs
   # tar -xf ./wazuh-certificates.tar -C /etc/filebeat/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./root-ca.pem
   # mv -n /etc/filebeat/certs/$NODE_NAME.pem /etc/filebeat/certs/filebeat.pem
   # mv -n /etc/filebeat/certs/$NODE_NAME-key.pem /etc/filebeat/certs/filebeat-key.pem
   # chmod 500 /etc/filebeat/certs
   # chmod 400 /etc/filebeat/certs/*
   # chown -R root:root /etc/filebeat/certs
   

   Not

   Yukarıdaki notta önerildiği gibi sertifikalar yeniden oluşturulursa .

   Ayrıca mevcut tüm Wazuh düğümlerinize (indeksleyici ve gösterge paneli) sertifikaları yeniden dağıtmanız gerekecektir.

   Yeni sertifikayı sunucuya dağıttıktan sonra, sertifikaları Wazuh dizinleyicisine ve panosuna dağıtmak için aşağıdaki komutları çalıştırın:

   • Wazuh dizinleyici düğümünde(lerinde):

     # NODE_NAME=<WAZUH_INDEXER_NODE_NAME>
     

     # rm -rf /etc/wazuh-indexer/certs
     # mkdir /etc/wazuh-indexer/certs
     # tar -xf ./wazuh-certificates.tar -C /etc/wazuh-indexer/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./admin.pem ./admin-key.pem ./root-ca.pem
     # mv -n /etc/wazuh-indexer/certs/$NODE_NAME.pem /etc/wazuh-indexer/certs/indexer.pem
     # mv -n /etc/wazuh-indexer/certs/$NODE_NAME-key.pem /etc/wazuh-indexer/certs/indexer-key.pem
     # chmod 500 /etc/wazuh-indexer/certs
     # chmod 400 /etc/wazuh-indexer/certs/*
     # chown -R wazuh-indexer:wazuh-indexer /etc/wazuh-indexer/certs
     

   • Wazuh panosu düğümünde:

     # NODE_NAME=<WAZUH_DASHBOARD_NODE_NAME>
     

     # rm -rf /etc/wazuh-dashboard/certs
     # mkdir /etc/wazuh-dashboard/certs
     # tar -xf ./wazuh-certificates.tar -C /etc/wazuh-dashboard/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./root-ca.pem
     # mv -n /etc/wazuh-dashboard/certs/$NODE_NAME.pem /etc/wazuh-dashboard/certs/wazuh-dashboard.pem
     # mv -n /etc/wazuh-dashboard/certs/$NODE_NAME-key.pem /etc/wazuh-dashboard/certs/wazuh-dashboard-key.pem
     # chmod 500 /etc/wazuh-dashboard/certs
     # chmod 400 /etc/wazuh-dashboard/certs/*
     # chown -R wazuh-dashboard:wazuh-dashboard /etc/wazuh-dashboard/certs
     

   Önerilen eylemwazuh-certificates.tar : Gelecekteki olası kullanım ve ölçeklenebilirlik için bir kopyayı çevrimdışı kaydedin. Güvenliği artırmak için aşağıdaki komutu çalıştırarak bu düğümdeki dosyayı kaldırabilirsiniz :

   # rm -f ./wazuh-certificates.tar
   

2. Wazuh dizinleyici yapılandırma dosyasını düzenleyerek /etc/wazuh-indexer/opensearch.ymldizinleyicinin IP adresini dosyada belirtildiği gibi belirtin /root/config.yml:

   network.host: "<WAZUH_INDEXER_IP>"
   node.name: "<WAZUH_INDEXER_NODE_NAME>"
   cluster.initial_master_nodes:
   - "<WAZUH_INDEXER_NODE_NAME>"
   

3. /etc/filebeat/filebeat.ymlDizinleyicinin IP adresini belirtmek için Filebeat yapılandırma dosyasını (Wazuh sunucu düğümünde bulunur) düzenleyin :

   output.elasticsearchhosts:
           - <WAZUH_INDEXER_IP>:9200
   

   Not

    

   Bu bölümün yapısı, kurulumunuzu Wazuh kurulum asistanını veya adım adım kılavuzu kullanarak yapmanıza bağlı olarak değişecektir. Burada Wazuh kurulum asistanını kullandık.

4. Küme düğümleri arasındaki iletişimi şifrelemek için kullanılacak bir şifreleme anahtarı oluşturun:

   # openssl rand -hex 16
   

   Yukarıdaki komutun çıktısını kaydedin, çünkü bu çıktı daha sonra her iki Wazuh sunucu düğümünde küme modunu yapılandırmak için kullanılacaktır.

5. Yapılandırma dosyasını /etc/wazuh-dashboard/opensearch_dashboards.ymldizinleyici düğümünün IP'sini içerecek şekilde düzenleyin:

   opensearch.hosts: https://<WAZUH_INDEXER_IP>:9200
   

6. /usr/share/wazuh-dashboard/data/wazuh/config/wazuh.ymlWazuh panosu düğümünde bulunan dosyayı düzenleyin ve urldeğeri Wazuh sunucu ana düğümünün IP adresi veya ana bilgisayar adıyla değiştirin:

   hosts:
     - default:
         url: https://<EXISTING_WAZUH_SERVER_IP>
         port: 55000
         username: wazuh-wui
         password: <WAZUH-WUI-PASSWORD>
         run_as: false
   

7. /var/ossec/etc/ossec.confKüme modunu etkinleştirmek için Wazuh sunucu yapılandırma dosyasını düzenleyin :

   <cluster>
     <name>wazuh</name>
     <node_name><EXISTING_WAZUH_SERVER_NODE_NAME></node_name>
     <node_type>master</node_type>
     <key><ENCRYPTION_KEY></key>
     <port>1516</port>
     <bind_addr>0.0.0.0</bind_addr>
     <nodes>
         <node><MASTER_NODE_IP></node>
     </nodes>
     <hidden>no</hidden>
     <disabled>no</disabled>
   </cluster>
   

   Dosyanın yukarıdaki bölümündeki yapılandırılabilir alanlar var/ossec/etc/ossec.confşu şekildedir:

   • name kümenin adını belirtir.

   • node_name geçerli düğümün adını belirtir.<EXISTING_WAZUH_SERVER_NODE_NAME>Dosyada belirtilen adla/root/config.yml.

   • node_type düğümün rolünü belirtir. Master olarak ayarlanması gerekir.

   • anahtar, küme düğümleri arasındaki iletişimi şifrelemek için kullanılan bir anahtarı temsil eder . Tüm sunucu düğümlerinde aynı olmalıdır. Benzersiz bir anahtar oluşturmak için komutunu kullanabilirsiniz.openssl rand -hex 16

   • port küme iletişimi için hedef portu belirtir. Varsayılanı olarak bırakın1516.

   • bind_addr, düğümün gelen istekleri dinlemek için bağlandığı ağ IP'sidir (0.0.0.0, düğümün herhangi bir IP'yi kullanacağı anlamına gelir).

   • nodes ana düğümün adresidir ve bir IP veya DNS ana bilgisayar adı olabilir. Bu parametre ana düğümün kendisi de dahil olmak üzere tüm düğümlerde belirtilmelidir.<MASTER_NODE_IP>Ana düğümünüzün IP adresiyle değiştirin.

   • gizli, oluşturulan uyarılardaki küme bilgilerini gösterir veya gizler.

   • devre dışı, düğümün kümede etkin mi yoksa devre dışı mı olduğunu gösterir. Bu seçenek olarak ayarlanmalıdırno.

8. Değişiklikleri uygulamak için ilgili düğümlerinizde aşağıdaki komutları çalıştırın

   • Wazuh dizinleyici düğümü

     SistemDSysV başlatma

     
     

     # service wazuh-indexer restart
     

     
     

   • Wazuh sunucu düğümü(leri)

     SistemDSysV başlatma

     
     

     # service filebeat restart
     # service wazuh-manager restart
     

     
     

   • Wazuh panosu düğümü

     SistemDSysV başlatma

     
     

     # service wazuh-dashboard restart
     

     
     

Wazuh deposunu eklemeBu başlığa kalıcı bağlantı

Wazuh yöneticisinin kurulumuBu başlığa kalıcı bağlantı

1. Wazuh yönetici paketini yükleyin.

   LezzetliUygun

   
   

   # yum -y install wazuh-manager
   

   
   

2. Wazuh yönetici servisini etkinleştirin ve başlatın.

   SistemDSysV başlatma

   • RPM tabanlı işletim sistemi:

     # chkconfig --add wazuh-manager
     # service wazuh-manager start
     

   • Debian tabanlı işletim sistemi:

     # update-rc.d wazuh-manager defaults 95 10
     # service wazuh-manager start
     

3. Wazuh yöneticisinin çalışır durumda olduğundan emin olmak için durumunu kontrol edin.

   SistemDSysV başlatma

   
   

   # service wazuh-manager status
   

   
   

Filebeat'i yükleyin ve yapılandırınBu başlığa kalıcı bağlantı

1. Filebeat paketini yükleyin.

   LezzetliUygun

   
   

   # yum -y install filebeat
   

   
   

2. Önceden yapılandırılmış Filebeat yapılandırma dosyasını indirin:

   # curl -so /etc/filebeat/filebeat.yml https://packages.wazuh.com/4.9/tpl/wazuh/filebeat/filebeat.yml
   

3. Yapılandırma dosyasını düzenleyin /etc/filebeat/filebeat.ymlve aşağıdaki değeri değiştirin:

   • hostsbağlanılacak Wazuh dizinleyici düğümlerinin listesini temsil eder. IP adreslerini veya ana bilgisayar adlarını kullanabilirsiniz. Varsayılan olarak, ana bilgisayar localhost olarak ayarlanmıştır . Bunu uygun şekilde Wazuh dizinleyici IP adresinizle değiştirin.hosts: ["127.0.0.1:9200"]

     Birden fazla Wazuh dizinleyici düğümünüz varsa, adresleri virgül kullanarak ayırabilirsiniz. Örneğin :hosts: ["10.0.0.1:9200", "10.0.0.2:9200", "10.0.0.3:9200"]

   # Wazuh - Filebeat configuration file
   output.elasticsearch:
     hosts: <WAZUH_INDEXER_IP>:9200
     protocol: https
   

4. Kimlik doğrulama bilgilerini güvenli bir şekilde depolamak için bir Filebeat anahtar deposu oluşturun:

   # filebeat keystore create
   

5. Yönetici kullanıcısını ve parolasını gizli anahtar deposuna ekleyin:

   # echo admin | filebeat keystore add username --stdin --force
   # echo <ADMIN_PASSWORD> | filebeat keystore add password --stdin --force
   

   Eğer hepsi bir arada bir dağıtım çalıştırıyorsanız ve varsayılan yönetici parolasını kullanıyorsanız, aşağıdaki komutu çalıştırarak parolayı alabilirsiniz:

   # sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt
   

6. Wazuh indeksleyicisi için uyarı şablonunu indirin:

   # curl -so /etc/filebeat/wazuh-template.json https://raw.githubusercontent.com/wazuh/wazuh/v4.9.2/extensions/elasticsearch/7.x/wazuh-template.json
   # chmod go+r /etc/filebeat/wazuh-template.json
   

7. Filebeat için Wazuh modülünü yükleyin:

   # curl -s https://packages.wazuh.com/4.x/filebeat/wazuh-filebeat-0.4.tar.gz | tar -xvz -C /usr/share/filebeat/module
   

Sertifikaların dağıtımıBu başlığa kalıcı bağlantı

wazuh-certificates.tarDosyanın kopyalandığı dizinde aşağıdaki komutları çalıştırın ve <NEW_WAZUH_SERVER_NODE_NAME>yapılandırdığınız Wazuh sunucu düğümünün adını .'de tanımlandığı gibi değiştirin /root/config.yml. Bu, Wazuh merkezi bileşenleri arasındaki iletişimi şifrelemek için SSL sertifikalarını dağıtır:

1. Düğüm adını depolamak için bir ortam değişkeni oluşturun:

   NODE_NAME=<NEW_WAZUH_SERVER_NODE_NAME>
   

2. Sertifikaları dağıtın:

   # mkdir /etc/filebeat/certs
   # tar -xf ./wazuh-certificates.tar -C /etc/filebeat/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./root-ca.pem
   # mv -n /etc/filebeat/certs/$NODE_NAME.pem /etc/filebeat/certs/filebeat.pem
   # mv -n /etc/filebeat/certs/$NODE_NAME-key.pem /etc/filebeat/certs/filebeat-key.pem
   # chmod 500 /etc/filebeat/certs
   # chmod 400 /etc/filebeat/certs/*
   # chown -R root:root /etc/filebeat/certs
   

Hizmet başlatılıyorBu başlığa kalıcı bağlantı

Filebeat'in başarıyla yüklendiğini doğrulamak için aşağıdaki komutu çalıştırın:

# filebeat test output

Örnek bir çıktı aşağıda gösterilmektedir:

elasticsearch: https://10.0.0.1:9200...
  parse url... OK
  connection...
    parse host... OK
    dns lookup... OK
    addresses: 10.0.0.1
    dial up... OK
  TLS...
    security: server's certificate chain verification is enabled
    handshake... OK
    TLS version: TLSv1.3
    dial up... OK
  talk to server... OK
  version: 7.10.2

Wazuh sunucusu çalışan düğümlerini yapılandırmaBu başlığa kalıcı bağlantı

1. Aşağıdaki ayarları .conf dosyasında düzenleyerek Wazuh sunucu işçi düğümünü küme modunu etkinleştirecek şekilde yapılandırın /var/ossec/etc/ossec:

   <cluster>
       <name>wazuh</name>
       <node_name><NEW_WAZUH_SERVER_NODE_NAME></node_name>
       <node_type>worker</node_type>
       <key><ENCRYPTION_KEY></key>
       <port>1516</port>
       <bind_addr>0.0.0.0</bind_addr>
       <nodes>
           <node><MASTER_NODE_IP></node>
       </nodes>
       <hidden>no</hidden>
       <disabled>no</disabled>
   </cluster>
   

   Dosyanın yukarıdaki bölümündeki yapılandırılabilir alanlar ossec.confşu şekildedir:

   • <name>kümenin adını gösterir.

   • <node_name>geçerli düğümün adını gösterir. Kümenin her düğümünün benzersiz bir adı olmalıdır. <NEW_WAZUH_SERVER_NODE_NAME>Dosyada belirtilen adla değiştirin /root/config.yml.

   • <node_type>Düğümün rolünü belirtir. Bir işçi olarak ayarlanması gerekir.

   • <key>ana düğüm için daha önce oluşturulan anahtarı temsil eder . Tüm düğümler için aynı olmalıdır. Zaten dağıtılmış bir altyapınız varsa, bu anahtarı ana düğümün dosyasından kopyalayın /var/ossec/etc/ossec.conf.

   • <port>küme iletişimi için hedef bağlantı noktasını belirtir. Varsayılanı olarak bırakın 1516.

   • <bind_addr>Düğümün gelen istekleri dinlemek için bağlandığı ağ IP'sidir (0.0.0.0, düğümün herhangi bir IP'yi kullanacağı anlamına gelir).

   • <nodes>ana düğümün adresini içerir, bu bir IP veya DNS ana bilgisayar adı olabilir. <MASTER_NODE_IP>Ana düğümünüzün IP adresiyle değiştirin.

   • <hidden>Oluşturulan uyarılarda küme bilgilerini gösterir veya gizler.

   • <disabled>düğümün kümede etkin mi yoksa devre dışı mı olduğunu gösterir. Bu seçenek olarak ayarlanmalıdır no.

   Kullanılabilir yapılandırma seçenekleri hakkında daha fazla bilgiyi küme başvuru kılavuzunda bulabilirsiniz .

2. Wazuh yönetici servisini yeniden başlatın.

   SistemdSysV başlatma

   
   

   # service wazuh-manager restart
   

   
   

Küme kontrol aracını kullanmaBu başlığa kalıcı bağlantı

Wazuh sunucu kümesinin etkinleştirildiğini ve tüm düğümlerin bağlı olduğunu, Wazuh sunucu düğümlerinden herhangi birinde aşağıdaki komutu çalıştırarak doğrulayın:

# /var/ossec/bin/cluster_control -l

Komutun örnek çıktısı:

NAME             TYPE    VERSION  ADDRESS
wazuh-server-1   master  4.8.0    10.0.0.1
wazuh-server-2   worker  4.8.0    10.0.0.2

Dikkat edin 10.0.0.1, , 10.0.0.2örnek IP adresleridir.

Wazuh API konsolunu kullanmaBu başlığa kalıcı bağlantı

Ayrıca Wazuh panosu üzerinden erişebileceğiniz Wazuh API Konsolu'nu kullanarak yeni Wazuh sunucu kümenizi kontrol edebilirsiniz .

Aşağıdaki kimlik bilgilerini kullanarak Wazuh kontrol paneline erişin.

• Bağlantı adresi:https://<WAZUH_DASHBOARD_IP>

• Kullanıcı adı:admin

• Şifre: <ADMIN_PASSWORD>veya adminzaten dağıtık bir mimariniz varsa ve varsayılan şifreyi kullanıyorsanız.

Araçlar'a gidin ve API Konsolu'nu seçin . Konsolda aşağıdaki sorguyu çalıştırın:

GET /cluster/healthcheck

Bu sorgu, her düğüm için aşağıdaki bilgilerle Wazuh sunucu kümenizin genel durumunu görüntüler:

• Namesunucu düğümünün adını gösterir

• Typebir düğüme (Master veya Worker) atanan rolü gösterir

• VersionWazuh-managerdüğümde çalışan hizmetin sürümünü gösterir

• IPdüğümün IP adresidir

• n_active_agentsdüğüme bağlı etkin aracı sayısını gösterir

Bu adımlar tamamlandıktan sonra Wazuh altyapısı başarıyla ölçeklendirildi ve yeni sunucu düğümleri kümeye entegre edildi.

Wazuh sunucusunu kaldırmak istiyorsanız Wazuh sunucusunu kaldırma belgelerine bakın.

Wazuh aracılarını Wazuh kümesine bağlama (Yükleme modu)Bu başlığa kalıcı bağlantı

Bu yöntemde, Wazuh aracı yapılandırma dosyasına bir Wazuh sunucu düğümleri (ana/çalışanlar) listesi ekliyoruz /var/ossec/etc/ossec.conf. Bağlantının kesilmesi durumunda, aracı raporlamaya devam etmek için listedeki başka bir düğüme bağlanacaktır.

Wazuh sunucu kümesini yapılandırdıktan sonra , Wazuh aracılarını aşağıda gösterildiği gibi Wazuh sunucu kümesi düğümlerine bağlanacak ve rapor verecek şekilde yapılandırıyoruz.

Wazuh sunucu düğümleri için aşağıdaki IP adreslerine sahip olduğumuzu varsayalım:

master: 172.0.0.3
worker01: 172.0.0.4
worker02: 172.0.0.5

1. Wazuh sunucu düğümlerinin IP adreslerini eklemek için <client></client>Wazuh aracı dosyasının bloğunu düzenleyin :/var/ossec/etc/ossec.conf

   <client>
       <server>
           <address>172.0.0.4</address>
           <port>1514</port>
           <protocol>tcp</protocol>
       </server>
       <server>
           <address>172.0.0.5</address>
           <port>1514</port>
           <protocol>tcp</protocol>
       </server>
       <server>
           <address>172.0.0.3</address>
           <port>1514</port>
           <protocol>tcp</protocol>
       </server>
       <config-profile>ubuntu, ubuntu18, ubuntu18.04</config-profile>
       <notify_time>10</notify_time>
       <time-reconnect>60</time-reconnect>
       <auto_restart>yes</auto_restart>
       <crypto_method>aes</crypto_method>
   </client>
   

2. Değişiklikleri uygulamak için Wazuh aracısını yeniden başlatın:

   SistemdSysV başlatma

   
   

   # service wazuh-agent restart
   

   
   

Bu yöntemi kullanarak, worker01düğüm mevcut değilse, aracılar 'a rapor verecektir worker02. Her iki çalışan düğümü de mevcut değilse, aracı düğüme rapor verecektir . Bu işlem , aracıların masteriçine yerleştirdiğimiz tüm düğümler arasında döngüsel olarak gerçekleştirilir ./var/ossec/etc/ossec.conf

Wazuh aracılarını yük dengeleyici ile Wazuh kümesine bağlamaBu başlığa kalıcı bağlantı

Wazuh aracıları, gelen Wazuh aracı trafiğini bir kümedeki tüm kullanılabilir Wazuh sunucu düğümleri arasında eşit şekilde dağıtmak için bir yük dengeleyiciye rapor verecek şekilde yapılandırılabilir . Bu şekilde, Wazuh aracıları Wazuh aracılarının yapılandırmasını değiştirmeden yeni eklenen Wazuh sunucu düğümlerine rapor verebilir.

Bir Wazuh aracısını yük dengeleyiciye yönlendirmek için aşağıdaki adımları uygulayın.

1. /var/ossec/etc/ossec.confYük Dengeleyici IP adresini eklemek için Wazuh aracı yapılandırmasını düzenleyin . Blokta, öğesini yük dengeleyici IP adresiyle <server></server>değiştirin :<LOAD_BALANCER_IP>

   <client>
     <server>
       <address><LOAD_BALANCER_IP></address>
       …
     </server>
   </client>
   

2. Değişiklikleri uygulamak için Wazuh aracılarını yeniden başlatın:

   SistemdSysV başlatma

   
   

   # service wazuh-agent restart
   

   
   

NGINXBu başlığa kalıcı bağlantı

NGINX, ters proxy, yük dengeleyici, posta proxy'si ve HTTP önbelleği olarak da kullanılabilen açık kaynaklı bir web sunucusudur. Bu senaryoda, Wazuh aracı trafiğini bir Wazuh sunucu kümesi içinde dağıtmak için bir yük dengeleyici olarak kullanıyoruz.

HAProxyBu başlığa kalıcı bağlantı

Yüksek Kullanılabilirlik Proxy'si (HAProxy), TCP ve HTTP tabanlı uygulamalar için yüksek kullanılabilirlik yük dengeleyici ve proxy sağlayan ücretsiz ve açık kaynaklı bir yazılımdır. HAProxy gibi bir yük dengeleyici kullanmak , Wazuh aracılarının dağıtılmış bir şekilde kaydolmasını ve Wazuh yönetici düğümlerine rapor vermesini sağlar. HAProxy, round-robin, leastconn, source ve diğerleri dahil olmak üzere çeşitli yük dengelemeyi destekler. Yük dengeleyici, yük dağıtımını iyileştirerek yönetici düğümlerini seçili algoritmaya göre Wazuh aracılarına atar. Bir Wazuh yönetici düğümü başarısız olursa, Wazuh aracıları kümedeki başka bir düğüme yeniden bağlanır.

HAProxy yardımcısıBu başlığa kalıcı bağlantı

Bu, gerçek zamanlı olarak Wazuh sunucu kümesi durumuna bağlı olarak HAProxy yapılandırmasını yönetmek için isteğe bağlı bir araçtır. Wazuh yöneticisine Wazuh aracı TCP oturumlarını otomatik olarak dengeleme yeteneği sağlar.

HAProxy yardımcısının temel özellikleriBu başlığa kalıcı bağlantı

Başlıca özelliklerinden bazıları şunlardır:

• 1514/tcpWazuh sunucu kümesinde değişiklikler algılandığında Wazuh arka ucuna ( ) sunucu ekleme ve kaldırma . Örneğin, yeni çalışanlar bağlandı.

• Wazuh arka ucuna yeni sunucular eklerken düğüm başına fazla Wazuh aracılarının dengelenmesi.

• Verilen toleransı aşan bir dengesizliğin tespit edilmesi durumunda dengeleme ajanları.

HAProxy yardımcısı, daemon ile başlayan bağımsız bir iş parçacığında çalışır wazuh-cluster. Bu süreci takip eder.

dataplaneapi:
   host: 0.0.0.0
   port: 5555
   transaction:
       transaction_dir: /tmp/haproxy
   user:
   - insecure: true
      password: <DATAPLANE_PASSWORD>
      name: <DATAPLANE_USER>
haproxy:
   config_file: /etc/haproxy/haproxy.cfg
   haproxy_bin: /usr/sbin/haproxy
   reload:
      reload_delay: 5
      reload_cmd: service haproxy reload
      restart_cmd: service haproxy restart