Ziel-IP in Wazuh auch mit Geo-Daten anreichern
Wazuh reichert per default nur die Quell IP mit Geo-Daten an. Geht es aber um Data-Loss Prevention, will man ja auch wissen, wo die Pakete hin wandern.
Dazu muss die Datei /usr/share/filebeat/module/wazuh/alerts/ingest/pipeline.json angepasst werden.
{
"geoip": {
"field": "data.dstip",
"target_field": "GeoLocation",
"properties": ["dst_city_name", "dst_country_name", "dst_region_name", "dst_location"],
"ignore_missing": true,
"ignore_failure": true
}
},
Danach noch filebeat setup --pipelines --modules wazuh und los gehts …
Es gibt auch noch viel mehr Möglichkeiten, was man damit noch alles machen kann:
https://github.com/branchnetconsulting/wazuh-tools/blob/master/pipeline.json
Quelle
Dieser Artikel stammt aus dem Wazuh-Blog von m.a.x. it (veröffentlicht am 9. November 2024).
Unterstützung von m.a.x. it
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit SIEM-Services auf Open-Source-Basis.
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
