Wazuh

Supported OS Linux Windows Mac OS

インテグレーションバージョン1.0.0
Wazuh - Cloud Security
Wazuh - File Integrity Monitoring
Wazuh - Malware Detection
Wazuh - MITRE ATT&CK
Wazuh - Overview
Wazuh - Security Operations
Wazuh - System
Wazuh - Vulnerability Detection

概要

Wazuh は、複数の IT インフラストラクチャ レイヤーにわたる脅威を検出・分析し、対応する包括的なセキュリティ ソリューションを提供します。Wazuh は、エンドポイント、ネットワーク デバイス、クラウド ワークロード、サード パーティ API、その他のソースからテレメトリを収集し、統合されたセキュリティ監視と保護を実現します。

このインテグレーションは、次の種類のログを解析します:

  • vulnerability-detector : Wazuh によって生成される脆弱性イベント。
  • malware-detector : システム内のマルウェアを検出するために Wazuh によって生成される Rootcheck イベント。
  • file-integrity-monitoring : 権限、コンテンツ、所有権、属性などのファイル変更に関連するイベント。
  • docker : docker コンテナのアクティビティ イベント。
  • github : GitHub 組織の監査ログ由来のイベント。
  • google-cloud : Google Cloud Platform サービスに関連するセキュリティ イベント。
  • amazon : Amazon AWS サービスからのセキュリティ イベント。
  • office365 : Office 365 に関連するセキュリティ イベント。
  • system : FTPD、PAM、SSHD、syslog、Windows、dpkg、yum、sudo、su、wazuh、ossec などのサービスからのイベントおよび内部イベント。

これらのログを、すぐに利用できるダッシュボードで詳細に可視化できます。

セットアップ

インストール

Wazuh インテグレーションをインストールするには、次の Agent インストール コマンドを実行し、以降の手順に従ってください。詳細は インテグレーション 管理 ドキュメントを参照してください。

注: このステップは Agent のバージョンが 7.58.0 以上の場合は不要です。

Linux コマンド

sudo -u dd-agent -- datadog-agent integration install datadog-wazuh==1.0.0

設定

ログの収集

  1. Datadog Agent で、ログの収集はデフォルトで無効になっています。datadog.yaml で有効にします。

    logs_enabled: true

  2. ログ収集を開始するには、この構成ブロックを wazuh.d/conf.yaml ファイルに追加します。

    Wazuh アラート データの収集には UDP メソッドを使用します。 利用可能な構成オプションは、サンプルの wazuh.d/conf.yaml を参照してください。

      logs:
  - type: udp
    port: <PORT>
    source: wazuh
    service: wazuh

    注: パイプラインの動作に不可欠なため、service と sourceの値は変更しないことを推奨します。

  3. Agent を再起動します。

Wazuh からの syslog メッセージ転送を構成する

  1. Wazuh UI にログインします。左側の Menu に移動します。

  2. Server management > Settings に移動します。

  3. Edit configuration をクリックします。

  4. 次の構成ブロックを追加します:

    この例では、すべてのアラートがポート 8080 の 1.1.1.1 に JSON 形式で送信されます。

      <syslog_output>
    <server>1.1.1.1</server>
    <port>8080</port>
    <format>json</format>
  </syslog_output>

    • server タグには Datadog Agent が稼働しているホストの IP アドレスを指定してください。

    • port タグには、Datadog Agent が待ち受けているポート番号を設定します。

    注: JSON 形式の使用は必須です。Wazuh パイプラインは JSON 形式のログのみを解析します。

  5. Save ボタンをクリックします。

  6. 保存後、Restart Manager ボタンをクリックします。

検証

Agent の status サブコマンドを実行 し、Checks セクションで wazuh を探します。

収集データ

ログ

形式イベントタイプ
JSONvulnerability-detector、file-integrity-monitoring、malware-detector、github、docker、amazon、office365、google-cloud、system など

メトリクス

Wazuh インテグレーションにはメトリクスは含まれません。

イベント

Wazuh インテグレーションにはイベントは含まれません。

サービスチェック

Wazuh インテグレーションにはサービス チェックは含まれません。

トラブルシューティング

ポートバインド時に Permission denied エラーが発生する場合:

Agent のログにポートバインド時の Permission denied エラーが表示される場合。

  1. 1024 未満のポートにバインドするには高い権限が必要です。setcap コマンドを使用してポートへのアクセスを許可してください。

    sudo setcap CAP_NET_BIND_SERVICE=+ep /opt/datadog-agent/bin/agent/agent

  2. getcap コマンドを実行し、設定を確認します。

    sudo getcap /opt/datadog-agent/bin/agent/agent

    正しければ、次のように出力されます。

    /opt/datadog-agent/bin/agent/agent = cap_net_bind_service+ep

    注: Agent をアップグレードするたびに、この setcap コマンドを再実行する必要があります。

  3. Agent を再起動します。

想定される問題のトラブルシューティング方法は次のとおりです。

データが収集されない場合:

ファイアウォールが有効な場合は、設定したポートへのトラフィックをファイアウォール ルールで許可してください。

すでに使用されているポートの場合:

Port <PORT_NUMBER> Already in Use エラーが発生したら、以下の手順を参照してください。次の例はポート 514 を想定しています。

  • Syslog を使用しているシステムで、Agent がポート 514 で Wazuh ログをリッスンしている場合、Agent ログに次のエラーが表示されることがあります: Can't start UDP forwarder on port 514: listen udp :514: bind: address already in use。このエラーは、デフォルトで Syslog がポート 514 をリッスンしているために発生します。解決するには、次の いずれか 1 つ の手順を実行してください:
    • Syslog を無効にする。
    • Agent を他の利用可能なポートで待ち受けるよう設定する。

さらに支援が必要な場合は、Datadog サポート にお問い合わせください。