Quelltext der Seite Ziel-IP in Wazuh auch mit Geo-Daten anreichern

Wazuh reichert per default nur die Quell IP mit Geo-Daten an. Geht es aber um Data-Loss Prevention, will man ja auch wissen, wo die Pakete hin wandern.

Dazu muss die Datei <code>/usr/share/filebeat/module/wazuh/alerts/ingest/pipeline.json</code> angepasst werden.

<syntaxhighlight lang="text">
{
  "geoip": {
    "field": "data.dstip",
    "target_field": "GeoLocation",
    "properties": ["dst_city_name", "dst_country_name", "dst_region_name", "dst_location"],
    "ignore_missing": true,
    "ignore_failure": true
  }
},
</syntaxhighlight>

Danach noch <code>filebeat setup --pipelines --modules wazuh</code> und los gehts …

Es gibt auch noch viel mehr Möglichkeiten, was man damit noch alles machen kann:

[https://github.com/branchnetconsulting/wazuh-tools/blob/master/pipeline.json https://github.com/branchnetconsulting/wazuh-tools/blob/master/pipeline.json]

== Quelle ==
Dieser Artikel stammt aus dem [https://wazuh-blog.max-it.de/ziel-ip-in-wazuh-auch-mit-geo-daten-anreichern/ Wazuh-Blog von m.a.x. it] (veröffentlicht am 9. November 2024).

== Unterstützung von m.a.x. it ==
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

{{Uebermax}}
[[Kategorie:Wazuh]]