129 lines
4.8 KiB
Markdown
129 lines
4.8 KiB
Markdown
https://documentation.wazuh.com/current/installation-guide/wazuh-server/installation-assistant.html
|
||
|
||
Connectiong to server:
|
||
```sh
|
||
ssh igor@192.168.200.86
|
||
```
|
||
Execute installation commman:
|
||
```sh
|
||
curl -sO https://packages.wazuh.com/4.11/wazuh-install.sh &&
|
||
sudo bash wazuh-install.sh -a
|
||
```
|
||
|
||
20/04/2025 12:07:15 INFO: You can access the web interface https://<wazuh-dashboard-ip>:443
|
||
User: admin
|
||
Password: LsR1i+*DT6Az37rBDTnuyw54wB+Ce*1+
|
||
|
||
|
||
debian virtual box
|
||
admin
|
||
KD7Iv+BCJkARvxPA6UYp+HdxhacTUNy6
|
||
|
||
|
||
```sh
|
||
open https://127.0.0.1:443
|
||
```
|
||
Компонент Порт по умолчанию Доступ
|
||
Wazuh API 55000 Внутренний
|
||
Wazuh Dashboard 5601 Веб-интерфейс
|
||
OpenSearch (Indexer) 9200 Только для внутреннего использования
|
||
|
||
Доступ к Dashboard:
|
||
Перейди в браузере: https://<your_ip>:5601
|
||
Пользователь по умолчанию: admin
|
||
Пароль: будет сгенерирован и выведен в консоли в конце установки
|
||
|
||
|
||
Альтернативно: ручная установка
|
||
Если нужен кластер, тюнинг или раздельная установка компонентов, можно ставить по частям:
|
||
|
||
Wazuh Indexer (OpenSearch) → инструкция
|
||
|
||
Wazuh Dashboard → инструкция
|
||
|
||
Wazuh Manager (сервер) → инструкция
|
||
|
||
|
||
Для теста разбора лога вызвать:
|
||
```sh
|
||
sudo /var/ossec/bin/wazuh-logtest
|
||
```
|
||
И вставить строку:
|
||
```json
|
||
{"exception":"","data":{"_data":"Создание роли для пользователя: anton@rebez.ru роль: Translator","_date":"2025-04-18T05:12:14.607513","user_id":156,"group_id":15,"del":false,"_user_id":3,"id":453},"level":"INFO","logger":"history","thread":"main","message":"Иванов Igor IW2 Михайлович: Создание роли для пользователя: anton@rebez.ru роль: Translator","timestamp":"2025-04-18T05:12:14.607Z"}
|
||
```
|
||
У меня выдало:
|
||
```log
|
||
**Phase 1: Completed pre-decoding.
|
||
full event: '{"exception":"","data":{"_data":"Создание роли для пользователя: anton@rebez.ru роль: Translator","_date":"2025-04-18T05:12:14.607513","user_id":156,"group_id":15,"del":false,"_user_id":3,"id":453},"level":"INFO","logger":"history","thread":"main","message":"Иванов Igor IW2 Михайлович: Создание роли для пользователя: anton@rebez.ru роль: Translator","timestamp":"2025-04-18T05:12:14.607Z"}'
|
||
|
||
**Phase 2: Completed decoding.
|
||
name: 'json'
|
||
data._data: 'Создание роли для пользователя: anton@rebez.ru роль: Translator'
|
||
data._date: '2025-04-18T05:12:14.607513'
|
||
data._user_id: '3'
|
||
data.del: 'false'
|
||
data.group_id: '15'
|
||
data.id: '453'
|
||
data.user_id: '156'
|
||
level: 'INFO'
|
||
logger: 'history'
|
||
message: 'Иванов Igor IW2 Михайлович: Создание роли для пользователя: anton@rebez.ru роль: Translator'
|
||
thread: 'main'
|
||
timestamp: '2025-04-18T05:12:14.607Z'
|
||
```
|
||
|
||
Проверяем упоминание файла history в логе:
|
||
```sh
|
||
sudo less /var/log/wazuh-indexer/wazuh-cluster.log
|
||
sudo grep -i "history" /var/log/wazuh-indexer/wazuh-cluster.log
|
||
```
|
||
|
||
Ищем ошибки индексации:
|
||
```sh
|
||
sudo grep -i "error" /var/log/wazuh-indexer/wazuh-cluster.log
|
||
```
|
||
|
||
|
||
|
||
|
||
Временно отключаю аудит:
|
||
```sh
|
||
sudo mcedit /etc/wazuh-indexer/opensearch-security/audit.yml
|
||
```
|
||
|
||
Инициализируем кластер безопасности (после отключения аудита перенастраиваем):
|
||
```sh
|
||
sudo -u wazuh-indexer /usr/share/wazuh-indexer/plugins/opensearch-security/tools/securityadmin.sh \
|
||
-cd /etc/wazuh-indexer/opensearch-security/ \
|
||
-icl -nhnv \
|
||
-cacert /etc/wazuh-indexer/certs/root-ca.pem \
|
||
-cert /etc/wazuh-indexer/certs/admin.pem \
|
||
-key /etc/wazuh-indexer/certs/admin-key.pem
|
||
```
|
||
|
||
Перезагружаем после применения настроек
|
||
```sh
|
||
sudo systemctl restart wazuh-indexer
|
||
```
|
||
|
||
|
||
Проверьте конфигурацию аудита в файле /etc/wazuh-indexer/opensearch.yml:
|
||
```sh
|
||
sudo mcedit /etc/wazuh-indexer/opensearch.yml
|
||
```
|
||
|
||
В нём должны быть такие настройки:
|
||
```conf
|
||
opensearch_security.audit.type: internal_opensearch
|
||
opensearch_security.audit.enable_rest: true
|
||
opensearch_security.audit.enable_transport: true
|
||
```
|
||
|
||
Выводим строчки с ошибками
|
||
```sh
|
||
sudo grep -i "error" /var/log/wazuh-indexer/wazuh-cluster.log
|
||
```
|
||
|
||
|
||
sudo chown -R wazuh-indexer:wazuh-indexer /etc/wazuh-indexer /var/lib/wazuh-indexer /var/log/wazuh-indexer |