Wazuh: Instalando o Agente no Linux e Windows

Agora que a instalação do Wazuh está pronta, você pode começar a implantar o agente Wazuh. Isso pode ser usado para proteger laptops, desktops, servidores, instâncias de nuvem, contêineres ou máquinas virtuais. O agente é leve e multifuncional, fornecendo uma variedade de recursos de segurança.

O agente Wazuh é multiplataforma e roda nos endpoints(Windows, Linux…) que o usuário deseja monitorar. Ele se comunica com o servidor Wazuh, enviando dados quase em tempo real por meio de um canal criptografado e autenticado.

O agente foi desenvolvido considerando a necessidade de monitorar uma ampla variedade de endpoints diferentes sem impactar seu desempenho. É compatível com os sistemas operacionais mais populares e requer em média 35 MB de RAM.

O agente Wazuh fornece recursos importantes para aumentar a segurança do seu sistema.

• Coletor de registros
• Execução de comando
• Monitoramento de integridade de arquivos (FIM)
• Avaliação de configuração de segurança (SCA)
• Inventário do sistema
• Detecção de malware
• Resposta ativa
• Segurança de contêineres
• segurança na nuvem

Vamos instalar o agente no Linux e Windows. Se desejar instalar em outras plataformas poderá acessar a página oficialdo wazuh clicando aqui.

Instalando o Agente Wazuh no Windows

#1 Para iniciar o processo de instalação, clique nesse link: instalador do Windows.

#2 Execute o arquivo baixado e siga as etapas do assistente de instalação. Se você não tiver certeza de como responder a alguns dos prompts, use as respostas padrão. 

#3 Depois de instalado, o agente usa uma GUI para configuração, abrindo o arquivo de log e iniciando ou interrompendo o serviço.

Insira o endereço IP do servidor e cole chave do registro

Por padrão, todos os arquivos do agente são armazenados após a instalação.C:\Program Files (x86)\ossec-agent

Instalando o Agente Wazuh no Linux

Observação Importante: Você pode ter mais dificuldades em instalar usando o modo abaixo que está na documentação em wazuh.com. Para facilitar, poderá instalar baixando o pacote referente à sua distro em Wazuh: Lista de Pacotes para Download

Execute esses comandos no terminal.

Adicione o repositório Wazuh para baixar os pacotes oficiais.

YUM

Importe a chave GPG e adicione o repositório:

rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH

Crie o arquivo /etc/yum.repos.d/wazuh.repo e insira o seguinte conteúdo

[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-\$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1

Edite o arquivo /var/ossec/etc/ossec.conf e apegue MANAGER_IP, coloquei o IP do servidor Wazuh no lugar.

<server>
      <address>192.168.0.13</address>
      <port>1514</port>
      <protocol>tcp</protocol>
    </server>

APT

Instale a chave GPG:

curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import 

chmod 644 /usr/share/keyrings/wazuh.gpg

Adicione o repositório:

echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | tee -a /etc/apt/sources.list.d/wazuh.list

Atualize a lista de repositórios

apt-get update

Edite o arquivo /var/ossec/etc/ossec.conf e apegue MANAGER_IP, coloquei o IP do servidor Wazuh no lugar.

<server>
      <address>192.168.0.13</address>
      <port>1514</port>
      <protocol>tcp</protocol>
    </server>

USANDO SYSTEMD PARA INICIAR

Independentemente se estiver usando Debian, Ubuntu, CentOS… execute esses comandos para definirmos início automático e iniciarmos agora o agente

systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent

The deployment process is now complete, and the Wazuh agent is successfully running on your Linux system.

DESABILITE ATUALIZAÇÕES DO WAZUH

A compatibilidade entre o agente Wazuh e o gerente Wazuh é garantida quando a versão do gerente Wazuh for posterior ou igual à do agente Wazuh. Portanto, o site wazuh recomenda desativar o repositório Wazuh para evitar atualizações acidentais. Para fazer isso, use o seguinte comando: 

Para CentOS ou similares

sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

ou para Debian e Ubuntu e similares

sed -i "s/^deb/#deb/" /etc/apt/sources.list.d/wazuh.list
apt-get update