Wazuh คืออะไร และวิธีติดตั้งบน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS

1. 1

   ดาวน์โหลดและรันสคริปต์ติดตั้ง

   สคริปต์นี้ติดตั้งครบทั้งสามส่วน คือเซิร์ฟเวอร์ ส่วนดัชนี และหน้าแดชบอร์ด ใช้เวลาราว 10 ถึง 15 นาที

   คัดลอก

   curl -sO https://packages.wazuh.com/4.9/wazuh-install.sh
   sudo bash ./wazuh-install.sh -a

2. 2

   เก็บรหัสผ่านผู้ดูแลระบบ

   สคริปต์จะแสดงรหัสผ่านของผู้ใช้ admin เมื่อติดตั้งเสร็จ ให้บันทึกไว้ทันที หรือเรียกดูภายหลังจากไฟล์รหัสผ่าน

   คัดลอก

   sudo tar -xvf wazuh-install-files.tar
   sudo cat wazuh-install-files/wazuh-passwords.txt

3. 3

   เข้าใช้งานแดชบอร์ด

   เปิด https://ไอพีเซิร์ฟเวอร์ แล้วเข้าสู่ระบบด้วยผู้ใช้ admin จากนั้นเปลี่ยนรหัสผ่านและสร้างผู้ใช้รายบุคคลสำหรับทีมงาน

4. 4

   ติดตั้ง Agent บนเครื่อง Linux ที่ต้องการเฝ้าระวัง

   คัดลอก

   curl -sO https://packages.wazuh.com/4.x/apt/pool/main/w/wazuh-agent/wazuh-agent_4.9.0-1_amd64.deb
   sudo WAZUH_MANAGER="10.10.0.60" dpkg -i ./wazuh-agent_4.9.0-1_amd64.deb
   sudo systemctl enable --now wazuh-agent

5. 5

   เปิดการเฝ้าดูไฟล์สำคัญ

   แก้ไฟล์ตั้งค่าของ Agent เพื่อระบุโฟลเดอร์ที่ต้องการให้แจ้งเตือนเมื่อมีการเปลี่ยนแปลง เช่น ไฟล์ตั้งค่าเว็บและโฟลเดอร์ของแอป

   คัดลอก

   <syscheck>
     <directories check_all="yes" realtime="yes">/etc</directories>
     <directories check_all="yes" realtime="yes">/var/www</directories>
   </syscheck>

วางแผนพื้นที่ดิสก์และระยะเวลาเก็บ Log ตั้งแต่แรก เพราะระบบ SIEM ที่ดิสก์เต็มจะหยุดรับ Log ซึ่งหมายถึงช่วงเวลาที่ไม่มีหลักฐานให้ตรวจสอบย้อนหลัง