[Cybersécurité] La plateforme Open Source Wazuh

[Bambusa29]

J'ai installé la plateforme Open Source Wazuh sur un mini PC sous Debian 12.
C'est un XDR/SIEM Open source vraiment très complet.
Je commence à me l'approprier, mais ces possibilités sont vastes.

Il y a un superviseur, un indexeur et une interface web pour le coté serveur.
Il y a des agents à déployer sur les machines (Linux, Windows...) pour la récolte d'informations.
Il est facile de rajouter des règles d'audit coté clients à remonter au superviseur (voir capture écran).

L'installation est relativement simple avec leur script d'installation. Il est possible aussi de l'installer via docker.
Le WebUI est relativement complet et permet de voir rapidement toutes les anomalies détecter.

Quelques captures :

Le tableau de bord principal :



Les machines clientes déjà surveillés :



La fonction 'Threat Hunting' : J'ai filtré les resultats pour ne prendre que ceux qui ont une gravité supérieur à 7.



Test de l'activation d'un audit des fichiers critiques '/etc/password', répertoire '.ssh'... etc sur un de mes postes pour verifier que cela remonte bien au superviseur en cas de 'matching' !!



Le cas de mon poste Windows : 60 points critiques !! Le coupable est Thunderbird. Je vais le désinstaller, je suis passé sous Proton mail, il y a peu.




Les vulnérabilités détectés sur tout le parc avec leur lien CVE en ligne :




Bref, un super outils !!

Pas mal de problème de sécurité trouvés avec cet outils et pour certains pas de correctif existant à l'heure actuel ; le mieux est de désinstaller si nous n'en n'avons pas l'utilité : cas concret 'inetutils telnetd' par exemple sur les Debian.... qui n'est plus vraiment utile.

 

[Titux]

Oui Wazuh est une solution efficace. J'ai déjà pu l'utiliser (sans le mettre en place) et c'est assez instinctif.

Merci pour ton retour. Tu aurais une source pour un tuto sur l'installation d'un Debian ?

 

[Bambusa29]

Oui Wazuh est une solution efficace. J'ai déjà pu l'utiliser (sans le mettre en place) et c'est assez instinctif.

Merci pour ton retour. Tu aurais une source pour un tuto sur l'installation d'un Debian ?

Si ta question concerne l'installation de Wazuh sur un Linux Debian : QuickStart
Tout est automatique et ca fonctionne du 1er coup ; incroyable de simplicité !!
Je l'ai installé sur une Debian 13 Trixie, puis re-installer sur une Debian 12 (j'y ai déplacé mon Guacamole dessus entre temps et il ne fonctionne pas avec une Debian 13).
Mon Guacamole était avant en virtualisation et je me suis aperçue que quand je relançais le serveur de virtualisation, j'ai parfois plus accès à Guacamole et c'est un peu gênant (obliger de rebrancher un écran pour relancer le container) car je passe par lui pour accéder à tous mes serveurs en ssh .

Si ta question concerne l'installation d'une Debian sur un ordinateur : je passe par une clé USB Bootable avec une image Debian installé dessus.
La procédure d'installation est intuitive et assez simple pour peu que tu laisse toutes les options en automatique. Tu lui indique seulement a la fin si tu veux installer ou pas d'environnements graphique (par défaut c'est coché oui).
Tu peux aussi l'installer sur une Ubuntu (c'est ce que conseil le site Wazuh).

 

[morgyann]

Linux Debian : QuickStart

Salut,
Je viens de la déployer sur une VM, juste pour voir à quoi cela ressemble (connais pas du tout ce type de logiciel)



En revanche, il faut mettre le traducteur



@Bambusa29 Question bête ... je peux l'utiliser sur cette VM Debian ?

Je viens de voir comment connecter les machines à surveiller (je testerai en rentrant ce soir).

 

[Titux]

Si ta question concerne l'installation de Wazuh sur un Linux Debian : QuickStart
Tout est automatique et ca fonctionne du 1er coup ; incroyable de simplicité !!
Je l'ai installé sur une Debian 13 Trixie, puis re-installer sur une Debian 12 (j'y ai déplacé mon Guacamole dessus entre temps et il ne fonctionne pas avec une Debian 13).
Mon Guacamole était avant en virtualisation et je me suis aperçue que quand je relançais le serveur de virtualisation, j'ai parfois plus accès à Guacamole et c'est un peu gênant (obliger de rebrancher un écran pour relancer le container) car je passe par lui pour accéder à tous mes serveurs en ssh .

Si ta question concerne l'installation d'une Debian sur un ordinateur : je passe par une clé USB Bootable avec une image Debian installé dessus.
La procédure d'installation est intuitive et assez simple pour peu que tu laisse toutes les options en automatique. Tu lui indique seulement a la fin si tu veux installer ou pas d'environnements graphique (par défaut c'est coché oui).
Tu peux aussi l'installer sur une Ubuntu (c'est ce que conseil le site Wazuh).

Ah, je n'avais pas vu la mise à jour de la doc avec le QuickStart, c'est bien cela que je cherche. Il y a 2-3 ans dans un ancien job, je l'avais utilisé sans être l'admin de la solution. J'avais regardé la doc sans me souvenir que c'était si facile qu'aujourd'hui.
Faire la Debian ou Ubuntu, cela, je sais faire (et encore, je ne me souviens jamais quelles partitions créer. Vive mes notes !!!! )

 

[Bambusa29]

@morgyann je n'ai pas changer la langue de l'interface car j'ai vu lu que dans certains cas cela peut poser des problèmes de reconnaissances des patterns entre le superviseur et ses agents.

Pour installer un agent : https://documentation.wazuh.com/current/installation-guide/wazuh-agent/index.html

 

[morgyann]

changer la langue de l'interface

Pas vu pour la changer - donc traduction.

Pour installer un agent

Fait pour un win


Mais pas pigé pour l'install sur ZimaOS ...

je peux l'utiliser sur cette VM Debian ?

Je me répond - ça marche donc sur une VM

 

[Bambusa29]

@morgyann : Pour changer la langue, mais cela reste partiel apparement.

 

[MilesTEG]

Salut
Et en résumé , elle sert à quoi cette application docker ?
J’ai une vague idée mais j’aimerais confirmation par ceux qui l’utilisent

 

[Bambusa29]

Salut
Et en résumé , elle sert à quoi cette application docker ?
J’ai une vague idée mais j’aimerais confirmation par ceux qui l’utilisent

C'est un outil de collectage d'informations de ton parc informatique (des agents déployés sur chaque machine compatible) : cela vas de la santé de tes machines jusqu'aux couches applicatives (serveur web, emails, application docker...).

A partir de ce collectage, il analyse en temps réel les informations et génère des alertes suivants les critères que tu as définit au préalables.
Les analyses sont segmentés par le type de problèmes détectés (malware, faille de sécurité, problèmes de configuration, comportement suspicieux sur les machines... etc.).

A partir de la, tu peux établir des scenarios d'interventions sur les machines ciblés (scripts par exemple qui seront exécutés sur la machine incriminés pour le couper du réseau ou qui se patch automatiquement).

Moi je l'utilise par curiosité intellectuel et pour avoir un bilan de sécurité de toutes mes machines physiques et virtuelles. Je n'utilise pas de scénarios d'intervention ; c'est plutôt réservé aux entreprises et cela demande du temps de gérer ce type de plateforme.

 

[MilesTEG]

Ok merci ,
Va falloir que j’ajoute ça à ma pile de truc docker à essayer

 

[Titux]

Très bon résumé.
Par expérience, ces outils le plus dur, c'est de savoir comment gérer les informations et les traiter. Et non de le mettre en place
Cela peut devenir vite chronophage.

Comme le dit bien @Bambusa29, maintenir la solution en entreprise demande du temps. La sécurité évolue tout le temps et il faut rester à jour dans les scénarios.