Wazuh Regeln überschreiben: Unterschied zwischen den Versionen

 
(4 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
'''Wazuh''' ist eine freie SIEM-Lösung, die es erlaubt Logs zentral zu sichern, auszuwerten und selbstständig Aktionen auszuführen<br />
+
'''Wazuh''' ist eine freie SIEM-Lösung, die es erlaubt Logs zentral zu sichern, auszuwerten und selbstständig Aktionen auszuführen oder den Administrator zu alarmieren.<br />
oder den Administrator zu alarmieren.<br />
 
  
 
Hin und wieder kommt es vor, dass Regeln zuschlagen, obwohl kein wirkliches Problem besteht, ein sogenannter false-positive. <br />
 
Hin und wieder kommt es vor, dass Regeln zuschlagen, obwohl kein wirkliches Problem besteht, ein sogenannter false-positive. <br />
Zeile 10: Zeile 9:
 
     Portion of the log(s):<br />
 
     Portion of the log(s):<br />
 
     Apr 30 06:25:01 host62 su[29446]: + ??? root:nobody
 
     Apr 30 06:25:01 host62 su[29446]: + ??? root:nobody
Da ein Alarm dieser Art erwünscht ist, allerdings nicht von logrotate, können wir die Zeiten für diese Job einfach ausklammern.<br />
+
Da ein Alarm dieser Art erwünscht ist, allerdings nicht von logrotate, können wir die Zeiten für diese Job einfach ausklammern. Dazu kopieren wir die betroffene Regel in die local rules, setzen „overwrite=yes“ und geben eine timerange an:<br />
Dazu kopieren wir die betroffene Regel in die local rules, setzen „overwrite=yes“ und geben eine timerange an:<br />
 
 
     <group name="syslog,attacks,"><br />
 
     <group name="syslog,attacks,"><br />
 
       <rule id="40101" level="9" overwrite="yes"><br />
 
       <rule id="40101" level="9" overwrite="yes"><br />
Zeile 22: Zeile 20:
 
       </rule><br />
 
       </rule><br />
 
     </group>
 
     </group>
Jetzt noch Wazuh '''neu laden''' und die Regel wird weiter geprüft, ein Fehlalarm aber vermieden.<br /><br />
+
Jetzt noch Wazuh '''neu laden''' und die Regel wird weiter geprüft, ein Fehlalarm aber vermieden.
  
 
==='''Tags'''===
 
==='''Tags'''===
SIEM Wazuh OSSEC <br /><br />
+
SIEM Wazuh OSSEC
  
 
==='''Weiterführende Informationen'''===  
 
==='''Weiterführende Informationen'''===  
Mehr Informationen finden Sie unter [https://www.max-it.de/ www.max-it.de].<br /><br />
+
Mehr Informationen finden Sie unter [https://www.max-it.de/ www.max-it.de].
  
 
=== '''Kontakt''' ===
 
=== '''Kontakt''' ===
 
Wenn Sie Fragen oder Anmerkungen zu diesem Artikel haben,<br />
 
Wenn Sie Fragen oder Anmerkungen zu diesem Artikel haben,<br />
melden Sie sich bitte bei uns unter [http://mailto:vertrieb@max-it.de vertrieb@max-it.de].<br /><br />
+
melden Sie sich bitte bei uns unter [http://mailto:vertrieb@max-it.de vertrieb@max-it.de].
  
  
  
 
[[Kategorie: IT-Security]]
 
[[Kategorie: IT-Security]]

Aktuelle Version vom 13. Mai 2020, 09:58 Uhr

Wazuh ist eine freie SIEM-Lösung, die es erlaubt Logs zentral zu sichern, auszuwerten und selbstständig Aktionen auszuführen oder den Administrator zu alarmieren.

Hin und wieder kommt es vor, dass Regeln zuschlagen, obwohl kein wirkliches Problem besteht, ein sogenannter false-positive.

Ein klassisches Beispiel sind SU Meldungen von Logrotate in Debian. Ein SIEM würde hier sofort Alarm schlagen:

   Received From: (host62) any->/var/log/auth.log
Rule: 40101 fired (level 12) -> "System user successfully logged to the sys-tem."
User: nobody
Portion of the log(s):
Apr 30 06:25:01 host62 su[29446]: + ??? root:nobody

Da ein Alarm dieser Art erwünscht ist, allerdings nicht von logrotate, können wir die Zeiten für diese Job einfach ausklammern. Dazu kopieren wir die betroffene Regel in die local rules, setzen „overwrite=yes“ und geben eine timerange an:

   <group name="syslog,attacks,">
<rule id="40101" level="9" overwrite="yes">
<if_group>authentication_success</if_group>
<user>$SYS_USERS</user>

<description>System user successfully logged to the system.</description
<group>invalid_login,pci_dss_10.2.4,pci_dss_10.2.5,gpg13_7.8,gdpr_IV_35.7.d,gdpr_IV_32.2,
hipaa_164.312.b,nist_800_53_AU.14,nist_800_53_AC.7,</group>
</rule>
</group>

Jetzt noch Wazuh neu laden und die Regel wird weiter geprüft, ein Fehlalarm aber vermieden.

Tags

SIEM Wazuh OSSEC

Weiterführende Informationen

Mehr Informationen finden Sie unter www.max-it.de.

Kontakt

Wenn Sie Fragen oder Anmerkungen zu diesem Artikel haben,
melden Sie sich bitte bei uns unter vertrieb@max-it.de.