Cross-Cluster-Search in Wazuh
Beide Cluster sollten am besten mit der gleichen CA installiert worden sein. Dazu am besten in Cluster 1 die unattended installation, dann die Zertifikate auf den zweiten Cluster kopieren und für diesen die step-by-step Methode wählen. Dort wird mit dem cert-tool gearbeitet und somit kann auch die bereits verwendete CA genommen werden. Als Nodes in in Cluster 1 am besten 1-3 und Cluster 2 die Nodes 4-6.
Wenn beide Cluster fertig sind in /etc/wazuh-indexer/opensearch.yml die Nodes auf beiden Seiten erweitern da darüber die Authentifizierung stattfindet.
Dann in Cluster 1 via Dev Tools (Dashboard):
PUT /_cluster/settings
{
"persistent" : {
"cluster" : {
"remote" : {
"cluster_two" : {
"seeds" : [
"node-4-ip:9300"
]
}
}
}
}
}
Dann in Cluster 2
PUT /_cluster/settings
{
"persistent" : {
"cluster" : {
"remote" : {
"cluster_one" : {
"seeds" : [
"node-1-ip:9300"
]
}
}
}
}
}
Jetzt funktioniert die Abfrage in beide Richtungen.
Quelle
Dieser Artikel stammt aus dem Wazuh-Blog von m.a.x. it (veröffentlicht am 23. September 2023).
Unterstützung von m.a.x. it
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit SIEM-Services auf Open-Source-Basis.
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
