Wazuh Sunucu Kümesi

Komut dosyasını kullanma wazuh-certs-tool.sh (varsayılan yöntem)

Betik wazuh-certs-tool.sh, Wazuh merkezi bileşenleri için sertifika oluşturmayı basitleştirir ve kurulum için gereken tüm sertifikaları oluşturur. Yapılandırma dosyasını oluşturmanız veya düzenlemeniz gerekir . Bu dosya, belirtilen her düğüm için sertifika oluşturmak için kullanılan düğüm türleri ve IP adresleri veya DNS adları gibi düğüm ayrıntılarına başvurur. Bir şablon, depolarımızdanconfig.yml indirilebilir . Bu sertifikalar aşağıdaki ek bilgilerle oluşturulur:

• C: BİZ

• L: Kaliforniya

• O: Vazuh

• OU: Vazuh

• CN: Düğümün adı

Özel Sertifikaları Kullanma

Özel sertifikalar OpenSSL gibi araçlar kullanılarak oluşturulabilir. Yukarıda açıklanan kök CA, düğüm ve yönetici sertifikalarını oluşturmalısınız.

Hepsi Bir Arada Dağıtım

Wazuh bileşenleri için hepsi bir arada bir dağıtımda yeni sertifikalar üretiyoruz. Bu, hızlı başlangıç ​​yükleme betiğinin 127.0.0.1Wazuh dizinleyicisi, sunucusu ve panosu için sertifikaları oluşturmak üzere localhost IP adresini kullanması nedeniyle gereklidir. Yeni sertifikalar oluşturmak için aşağıdaki adımları gerçekleştirin.

1. Yeni Wazuh sunucu düğümünü/düğümlerini eklemek için /root dizinde config.yml bir dosya oluşturun :
   
   

   touch /root/config.yml

   /root/config.ymlDosyayı içeriğiyle birlikte aşağıdaki gibi düzenleyin:
   
   

   nodes:
     # Wazuh indexer nodes
     indexer:
       - name: <WAZUH_INDEXER_NODE_NAME>
         ip: <WAZUH_INDEXER_IP>
   
     # Wazuh server nodes
     server:
       - name: <EXISTING_WAZUH_SERVER_NODE_NAME>
         ip: <EXISTING_WAZUH_SERVER_IP>
         node_type: master
       - name: <NEW_WAZUH_SERVER_NODE_NAME>
         ip: <NEW_WAZUH_SERVER_IP>
         node_type: worker
   
     # Wazuh dashboard nodes
     dashboard:
       - name: <WAZUH_DASHBOARD_NODE_NAME>
         ip: <WAZUH_DASHBOARD_IP>
   

   Düğüm adlarını ve IP değerlerini yeni düğüm adlarınız ve IP adreslerinizle değiştirin.

   node_typeKurulumunuzda farklı bir tane atayabilirsiniz . Bu dokümantasyonda, ana rolü mevcut düğüme ve işçi rolünü yeni düğüme atıyoruz.
   
   

2. wazuh-certs-tool.shYeni düğüm için sertifikaları oluşturmak ve mevcut düğüm için yeniden oluşturmak için indirin ve çalıştırın :
   
   

   curl -sO https://packages.wazuh.com/4.9/wazuh-certs-tool.sh
   bash wazuh-certs-tool.sh -A

   Output

   19/06/2024 13:59:08 INFO: Generating the root certificate.
   19/06/2024 13:59:09 INFO: Generating Admin certificates.
   19/06/2024 13:59:09 INFO: Admin certificates created.
   19/06/2024 13:59:09 INFO: Generating Wazuh indexer certificates.
   19/06/2024 13:59:09 INFO: Wazuh indexer certificates created.
   19/06/2024 13:59:09 INFO: Generating Filebeat certificates.
   19/06/2024 13:59:09 INFO: Wazuh Filebeat certificates created.
   19/06/2024 13:59:09 INFO: Generating Wazuh dashboard certificates.
   19/06/2024 13:59:09 INFO: Wazuh dashboard certificates created.
   

3. scpSertifikalar klasörünü sıkıştırın ve yeni Wazuh sunucu düğümüne/düğümlerine kopyalayın. Sıkıştırılmış dosyayı güvenli bir şekilde kopyalamak için yardımcı programı kullanabilirsiniz :
   
   

   tar -cvf ./wazuh-certificates.tar -C ./wazuh-certificates/ .
   scp wazuh-certificates.tar <TARGET_USERNAME>@<TARGET_IP>:

   Bu, sertifikaları hedef sistemdeki kullanıcının dizinine kopyalayacaktır /home. Bunu, kurulum dizininize bir yol belirtmek için değiştirebilirsiniz.

Dağıtılmış Dağıtım

Dağıtılmış bir dağıtım için, sertifikalar önceden var olan kök CA anahtarları kullanılarak veya yeni bir sertifika seti oluşturularak üretilebilir. Yalnızca yeni düğümler için sertifika üretmek amacıyla önceden var olan kök CA anahtarlarını kullanmanızı öneririz. Her iki tekniği de aşağıda açıklıyoruz.

Hepsi Bir Arada dağıtım

1. env_variables.shMevcut düğümün dizininde, /rootçevresel değişkenlerinizi aşağıdaki gibi tanımladığınız bir dosya oluşturun :
   
   

   export NODE_NAME1=<WAZUH_INDEXER_NODE_NAME>
   export NODE_NAME2=<EXISTING_WAZUH_SERVER_NODE_NAME>
   export NODE_NAME3=<WAZUH_DASHBOARD_NODE_NAME>
   

   <WAZUH_INDEXER_NODE_NAME>, <EXISTING_WAZUH_SERVER_NODE_NAME>, <WAZUH_DASHBOARD_NODE_NAME>ifadesini sırasıyla 'de tanımlandığı gibi Wazuh dizinleyicisinin, Wazuh sunucusunun ve Wazuh panosu düğümlerinin adlarıyla değiştirin /root/config.yml.
   
   

2. Dizin içerisinde bir deploy-certificates.shscript oluşturun /rootve içerisine aşağıdakileri yapıştırın:
   
   

   #!/bin/bash
   
   # Source the environmental variables from the external file
   source ~/env_variables.sh
   
   rm -rf /etc/wazuh-indexer/certs
   mkdir /etc/wazuh-indexer/certs
   tar -xf ./wazuh-certificates.tar -C /etc/wazuh-indexer/certs/ ./$NODE_NAME1.pem ./$NODE_NAME1-key.pem ./admin.pem ./admin-key.pem ./root-ca.pem
   mv -n /etc/wazuh-indexer/certs/$NODE_NAME1.pem /etc/wazuh-indexer/certs/wazuh-indexer.pem
   mv -n /etc/wazuh-indexer/certs/$NODE_NAME1-key.pem /etc/wazuh-indexer/certs/wazuh-indexer-key.pem
   chmod 500 /etc/wazuh-indexer/certs
   chmod 400 /etc/wazuh-indexer/certs/*
   chown -R wazuh-indexer:wazuh-indexer /etc/wazuh-indexer/certs
   
   rm -rf /etc/filebeat/certs
   mkdir /etc/filebeat/certs
   tar -xf ./wazuh-certificates.tar -C /etc/filebeat/certs/ ./$NODE_NAME2.pem ./$NODE_NAME2-key.pem ./root-ca.pem
   mv -n /etc/filebeat/certs/$NODE_NAME2.pem /etc/filebeat/certs/wazuh-server.pem
   mv -n /etc/filebeat/certs/$NODE_NAME2-key.pem /etc/filebeat/certs/wazuh-server-key.pem
   chmod 500 /etc/filebeat/certs
   chmod 400 /etc/filebeat/certs/*
   chown -R root:root /etc/filebeat/certs
   
   rm -rf /etc/wazuh-dashboard/certs
   mkdir /etc/wazuh-dashboard/certs
   tar -xf ./wazuh-certificates.tar -C /etc/wazuh-dashboard/certs/ ./$NODE_NAME3.pem ./$NODE_NAME3-key.pem ./root-ca.pem
   mv -n /etc/wazuh-dashboard/certs/$NODE_NAME3.pem /etc/wazuh-dashboard/certs/wazuh-dashboard.pem
   mv -n /etc/wazuh-dashboard/certs/$NODE_NAME3-key.pem /etc/wazuh-dashboard/certs/wazuh-dashboard-key.pem
   chmod 500 /etc/wazuh-dashboard/certs
   chmod 400 /etc/wazuh-dashboard/certs/*
   chown -R wazuh-dashboard:wazuh-dashboard /etc/wazuh-dashboard/certs
   

3. Aşağıdaki komutu çalıştırarak sertifikaları dağıtın:
   
   

   bash /root/deploy-certificates.sh

   Bu, Wazuh merkezi bileşenleri arasındaki iletişimleri şifrelemek için SSL sertifikalarını dağıtır.

   Önerilen eylemwazuh-certificates.tar : Gelecekteki olası kullanım ve ölçeklenebilirlik için bir kopyayı çevrimdışı kaydedin. Güvenliği artırmak için aşağıdaki komutu çalıştırarak bu düğümdeki dosyayı kaldırabilirsiniz :
   
   

   rm -rf ./wazuh-certificates
   rm -f ./wazuh-certificates.tar

4. Wazuh dizinleyici yapılandırma dosyasını /etc/wazuh-indexer/opensearch.ymldizinleyicinin IP adresini belirtecek şekilde düzenleyin ve dosyada NODE_NAMEbelirtildiği gibi /root/config.yml:
   
   

   network.host: "<WAZUH_INDEXER_IP>"
   node.name: "<WAZUH_INDEXER_NODE_NAME>"
   cluster.initial_master_nodes:
   - "<WAZUH_INDEXER_NODE_NAME>"
   

5. /etc/filebeat/filebeat.ymlDizinleyicinin IP adresini belirtmek için Filebeat yapılandırma dosyasını düzenleyin :
   
   

   output.elasticsearchhosts:
           - <WAZUH_INDEXER_IP>:9200
   

   Not:  Bu bölümün yapısı, kurulumunuzu Wazuh kurulum asistanını mı yoksa adım adım kılavuzu mu kullanarak tamamladığınıza bağlı olarak değişir. Burada hızlı başlangıç ​​betiğini kullandık.

    

6. Küme düğümleri arasındaki iletişimi şifrelemek için kullanılacak rastgele bir şifreleme anahtarı oluşturun:
   
   

   openssl rand -hex 16

   Yukarıdaki komutun çıktısını kaydedin, çünkü bu çıktı daha sonra her iki Wazuh sunucu düğümünü yapılandırmak için kullanılacaktır.
   
   

7. /etc/wazuh-dashboard/opensearch_dashboards.ymlDizinleyici düğümü için bağlantı ayrıntılarını içerecek şekilde yapılandırma dosyasını düzenleyin :
   
   

   opensearch.hosts: https://<WAZUH_INDEXER_IP>:9200
   

8. Dosyayı düzenleyin /usr/share/wazuh-dashboard/data/wazuh/config/wazuh.ymlve urldeğeri Wazuh sunucusu ana düğümünün IP adresi veya ana bilgisayar adıyla değiştirin:
   
   

   hosts:
     - default:
         url: https://<EXISTING_WAZUH_SERVER_IP>
         port: 55000
         username: wazuh-wui
         password: <WAZUH-WUI-PASSWORD>
         run_as: false
   

9. /var/ossec/etc/ossec.confWazuh sunucu kümesini etkinleştirmek için Wazuh sunucu yapılandırma dosyasını düzenleyin :
   
   

   <cluster>
     <name>wazuh</name>
     <node_name><EXISTING_WAZUH_SERVER_NODE_NAME></node_name>
     <node_type>master</node_type>
     <key><ENCRYPTION_KEY></key>
     <port>1516</port>
     <bind_addr>0.0.0.0</bind_addr>
     <nodes>
         <node><MASTER_NODE_IP></node>
     </nodes>
     <hidden>no</hidden>
     <disabled>no</disabled>
   </cluster>
   

   Dosyanın yukarıdaki bölümündeki yapılandırılabilir alanlar /var/ossec/etc/ossec.confşu şekildedir:

   • name kümenin adını belirtir.

   • node_name geçerli düğümün adını belirtir.<EXISTING_WAZUH_SERVER_NODE_NAME>Dosyada belirtilen adla/root/config.yml.

   • node_type düğümün rolünü belirtir. Master olarak ayarlanması gerekir.

   • anahtar, küme düğümleri arasındaki iletişimi şifrelemek için kullanılan bir anahtarı temsil eder . Tüm sunucu düğümlerinde aynı olmalıdır. Benzersiz bir anahtar oluşturmak için komutunu kullanabilirsiniz.openssl rand -hex 16

   • port küme iletişimi için hedef portu belirtir. Varsayılanı olarak bırakın1516.

   • bind_addr, düğümün gelen istekleri dinlemek için bağlandığı ağ IP'sidir (0.0.0.0, düğümün herhangi bir IP'yi kullanacağı anlamına gelir).

   • nodes ana düğümün adresidir ve bir IP veya DNS ana bilgisayar adı olabilir. Bu parametre ana düğümün kendisi de dahil olmak üzere tüm düğümlerde belirtilmelidir.<MASTER_NODE_IP>Ana düğümünüzün IP adresiyle değiştirin.

   • hidden, oluşturulan uyarılardaki küme bilgilerini gösterir veya gizler.

   • disabled, düğümün kümede etkin mi yoksa devre dışı mı olduğunu gösterir. Bu seçenek hayır olarak ayarlanmalıdır.
     
     

10. Değişiklikleri uygulamak için Wazuh Central bileşenini ve Filebeat'i yeniden başlatın.
    
    SystemD
    
    

    systemctl restart wazuh-indexer
    systemctl restart wazuh-manager
    systemctl restart wazuh-dashboard
    systemctl restart filebeat

    
    SysV Başlatma
    
    

    service wazuh-indexer restart
    service wazuh-manager restart
    service wazuh-dashboard restart
    service filebeat restart

    
    

Dağıtılmış Dağıtım

1. Aşağıdaki komutları çalıştırarak Wazuh sunucu sertifikalarını mevcut Wazuh sunucu düğümünüze dağıtın. .yml'de <EXISTING_WAZUH_SERVER_NODE_NAME>tanımlandığı gibi yapılandırdığınız Wazuh sunucusunun düğüm adıyla değiştirin /root/config.
   
   

   NODE_NAME=<EXISTING_WAZUH_SERVER_NODE_NAME>

   rm -rf /etc/filebeat/certs
   mkdir /etc/filebeat/certs
   tar -xf ./wazuh-certificates.tar -C /etc/filebeat/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./root-ca.pem
   mv -n /etc/filebeat/certs/$NODE_NAME.pem /etc/filebeat/certs/filebeat.pem
   mv -n /etc/filebeat/certs/$NODE_NAME-key.pem /etc/filebeat/certs/filebeat-key.pem
   chmod 500 /etc/filebeat/certs
   chmod 400 /etc/filebeat/certs/*
   chown -R root:root /etc/filebeat/certs

   
   

    

   Not:  Yukarıdaki notta önerildiği gibi sertifikalar yeniden oluşturulursa.
   Ayrıca mevcut tüm Wazuh düğümlerinize (indeksleyici ve gösterge paneli) sertifikaları yeniden dağıtmanız gerekecektir.Yeni sertifikayı sunucuya dağıttıktan sonra, sertifikaları Wazuh dizinleyicisine ve panosuna dağıtmak için aşağıdaki komutları çalıştırın:

   • Wazuh dizinleyici düğümünde(lerinde):
     
     

     NODE_NAME=<WAZUH_INDEXER_NODE_NAME>

     # rm -rf /etc/wazuh-indexer/certs
     # mkdir /etc/wazuh-indexer/certs
     #
     tar -xf ./wazuh-certificates.tar -C /etc/wazuh-indexer/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./admin.pem ./admin-key.pem ./root-ca.pem
     # mv -n /etc/wazuh-indexer/certs/$NODE_NAME.pem /etc/wazuh-indexer/certs/indexer.pem
     #
     mv -n /etc/wazuh-indexer/certs/$NODE_NAME-key.pem /etc/wazuh-indexer/certs/indexer-key.pem
     # chmod 500 /etc/wazuh-indexer/certs
     #
     chmod 400 /etc/wazuh-indexer/certs/*
     #
     chown -R wazuh-indexer:wazuh-indexer /etc/wazuh-indexer/certs
     

   • Wazuh panosu düğümünde:
     
     

     # NODE_NAME=<WAZUH_DASHBOARD_NODE_NAME>
     

     # rm -rf /etc/wazuh-dashboard/certs
     # mkdir /etc/wazuh-dashboard/certs
     #
     tar -xf ./wazuh-certificates.tar -C /etc/wazuh-dashboard/certs/ ./$NODE_NAME.pem ./$NODE_NAME-key.pem ./root-ca.pem
     # mv -n /etc/wazuh-dashboard/certs/$NODE_NAME.pem /etc/wazuh-dashboard/certs/wazuh-dashboard.pem
     #
     mv -n /etc/wazuh-dashboard/certs/$NODE_NAME-key.pem /etc/wazuh-dashboard/certs/wazuh-dashboard-key.pem
     # chmod 500 /etc/wazuh-dashboard/certs
     #
     chmod 400 /etc/wazuh-dashboard/certs/*
     #
     chown -R wazuh-dashboard:wazuh-dashboard /etc/wazuh-dashboard/certs
     

   Önerilen eylemwazuh-certificates.tar : Gelecekteki olası kullanım ve ölçeklenebilirlik için bir kopyayı çevrimdışı kaydedin. Güvenliği artırmak için aşağıdaki komutu çalıştırarak bu düğümdeki dosyayı kaldırabilirsiniz :
   
   

   # rm -f ./wazuh-certificates.tar
   

2. Wazuh dizinleyici yapılandırma dosyasını düzenleyerek /etc/wazuh-indexer/opensearch.ymldizinleyicinin IP adresini dosyada belirtildiği gibi belirtin /root/config.yml:

   network.host: "<WAZUH_INDEXER_IP>"
   node.name: "<WAZUH_INDEXER_NODE_NAME>"
   cluster.initial_master_nodes:
   - "<WAZUH_INDEXER_NODE_NAME>"
   

3. /etc/filebeat/filebeat.ymlDizinleyicinin IP adresini belirtmek için Filebeat yapılandırma dosyasını (Wazuh sunucu düğümünde bulunur) düzenleyin :

   output.elasticsearchhosts:
           - <WAZUH_INDEXER_IP>:9200
   

   Not

   Not: 

   Bu bölümün yapısı, kurulumunuzu Wazuh kurulum asistanını veya adım adım kılavuzu kullanarak yapmanıza bağlı olarak değişecektir. Burada Wazuh kurulum asistanını kullandık.

4. Küme düğümleri arasındaki iletişimi şifrelemek için kullanılacak bir şifreleme anahtarı oluşturun:
   
   

   # openssl rand -hex 16
   

   Yukarıdaki komutun çıktısını kaydedin, çünkü bu çıktı daha sonra her iki Wazuh sunucu düğümünde küme modunu yapılandırmak için kullanılacaktır.
   
   

5. Yapılandırma dosyasını /etc/wazuh-dashboard/opensearch_dashboards.ymldizinleyici düğümünün IP'sini içerecek şekilde düzenleyin:
   
   

   opensearch.hosts: https://<WAZUH_INDEXER_IP>:9200
   

6. /usr/share/wazuh-dashboard/data/wazuh/config/wazuh.ymlWazuh panosu düğümünde bulunan dosyayı düzenleyin ve urldeğeri Wazuh sunucu ana düğümünün IP adresi veya ana bilgisayar adıyla değiştirin:
   
   

   hosts:
     - default:
         url: https://<EXISTING_WAZUH_SERVER_IP>
         port: 55000
         username: wazuh-wui
         password: <WAZUH-WUI-PASSWORD>
         run_as: false
   

7. /var/ossec/etc/ossec.confKüme modunu etkinleştirmek için Wazuh sunucu yapılandırma dosyasını düzenleyin :zenleyin:
   
   

   <cluster>
     <name>wazuh</name>
     <node_name><EXISTING_WAZUH_SERVER_NODE_NAME></node_name>
     <node_type>master</node_type>
     <key><ENCRYPTION_KEY></key>
     <port>1516</port>
     <bind_addr>0.0.0.0</bind_addr>
     <nodes>
         <node><MASTER_NODE_IP></node>
     </nodes>
     <hidden>no</hidden>
     <disabled>no</disabled>
   </cluster>
   

   Dosyanın yukarıdaki bölümündeki yapılandırılabilir alanlar var/ossec/etc/ossec.confşu şekildedir:

   • name kümenin adını belirtir.

   • node_name geçerli düğümün adını belirtir.<EXISTING_WAZUH_SERVER_NODE_NAME>Dosyada belirtilen adla/root/config.yml.

   • node_type düğümün rolünü belirtir. Master olarak ayarlanması gerekir.

   • anahtar,key, küme düğümleri arasındaki iletişimi şifrelemek için kullanılan bir anahtarı temsil eder . Tüm sunucu düğümlerinde aynı olmalıdır. Benzersiz bir anahtar oluşturmak için komutunu kullanabilirsiniz.openssl rand -hex 16

   • port küme iletişimi için hedef portu belirtir. Varsayılanı olarak bırakın1516.

   • bind_addr, düğümün gelen istekleri dinlemek için bağlandığı ağ IP'sidir (0.0.0.0, düğümün herhangi bir IP'yi kullanacağı anlamına gelir).

   • nodes ana düğümün adresidir ve bir IP veya DNS ana bilgisayar adı olabilir. Bu parametre ana düğümün kendisi de dahil olmak üzere tüm düğümlerde belirtilmelidir.<MASTER_NODE_IP>Ana düğümünüzün IP adresiyle değiştirin.

   • gizli,hidden, oluşturulan uyarılardaki küme bilgilerini gösterir veya gizler.

   • devre dışıdisabled, düğümün kümede etkin mi yoksa devre dışı mı olduğunu gösterir. Bu seçenek olarak ayarlanmalıdırno.
     
     

8. Değişiklikleri uygulamak için ilgili düğümlerinizde aşağıdaki komutları çalıştırın
   
   

   • Wazuh dizinleyici düğümü
     

     
     Systemd 

     SistemD
     
     

     systemctl restart wazuh-indexer

     
     
     SysV başBaşlatma

     
     
     
     
     

     # service wazuh-indexer restart