日本語

Wazuh

この SIEM コネクタは現在、リクエストに応じて利用可能です。 サポートまでお問い合わせください ワークスペースで有効化してもらうために。

Aikidoの問題をWazuhインデクサーに送信して一元的に監視し、セキュリティ検出結果を他のログと並べて検索できるようにします。

これは、チームがすでにWazuhを使っていて、Aikidoの検出結果をインフラ、アプリケーション、監査のシグナルと関連付けて確認するための単一の場所を求めている場合に便利です。

このコネクタは直接書き込みます Wazuhインデクサー、Wazuhサーバー/マネージャーではありません。つまり、Aikidoの問題は ありません Wazuhのデコーダーとルールセットを通過しません。Wazuhのルールやアラートを発生させず、ルールレベル、説明、MITRE ATT&CKの強化情報も付きません。また、WazuhダッシュボードのSecurity Eventsビューにも表示されません。Discoverでは完全に検索可能で、インデックスパターンを通じてダッシュボードで利用できますが、Wazuhのアラート処理パイプラインの一部ではありません。

要件

接続する前に、次のものを用意していることを確認してください：

  • WazuhインデクサーのURL - インデクサーのAPIエンドポイント（ポート 9200 がデフォルト）で、Aikidoから到達可能であること。これはWazuhサーバー/マネージャーではなく、インデクサーを対象にします。
  • インデクサーのユーザー名とパスワード - 対象インデックスの作成と書き込み権限を持つユーザー（バルクインデックス作成を含む）。
  • 専用のインデックス名 - Wazuh自身の wazuh-alerts-* インデックスはWazuhサーバーによって管理され、このコネクタが生成しないスキーマを想定しています。
  • CA証明書 - インデクサーが公的に信頼された証明書を提示していない限り必要です。Wazuhのデフォルトインストールでは自己署名証明書が使われます。

Wazuhに接続する

  1. Wazuhインデクサーの詳細を取得する

    1. WazuhインデクサーのAPIにAikidoから到達できることを確認してください。ファイアウォールやIP許可リストの背後にある場合は、Aikidoの送信元IPを許可する必要があります。
    2. 使用するインデックスに対して書き込みとバルクインデックス作成の権限を持つインデクサーユーザーを作成または選択します。
    3. Aikidoデータ用の専用インデックス名を選択します（再利用しないでください wazuh-alerts-*).
    4. インデクサーが自己署名証明書または内部発行証明書（Wazuhのデフォルト）を使用している場合は、CA証明書をPEM形式で取得してください。デフォルトのWazuh Dockerデプロイメントでは、これは config/wazuh_indexer_ssl_certs/root-ca.pem.

    インデクサーURLのホスト名は、インデクサー証明書のSubject Alternative Name（SAN）に含まれている必要があります。デフォルトのWazuh証明書は wazuh.indexerに対してのみ発行されているため、Aikidoを別のホスト名、たとえ公開ホスト名であっても、に向ける場合は、その名前を含めるよう証明書を再発行する必要があります。ここで不一致があると、一見無関係に見えるホスト名関連のエラーで失敗します。証明書が何をカバーしているかは次で確認できます：

    openssl x509 -in config/wazuh_indexer_ssl_certs/wazuh.indexer.pem -noout -ext subjectAltName

  2. SIEM を接続する

    次へ移動します： Settings > Integrations Aikido アプリで、新しい SIEM 統合を追加します。 SIEM を接続する ダイアログで次を選択します： Wazuh を選択して、次を入力します：

    設定

    • URL - WazuhインデクサーAPIのURL。次で始まる必要があります https.
    • ユーザー名 - 対象インデックスに対する書き込み権限を持つWazuhインデクサーユーザー。
    • インデックス - 書き込み先のインデックス。Wazuh自身のものではなく、専用のインデックスを使用してください wazuh-alerts-* インデックス。

    オプション

    • 証明書検証をスキップ（安全でない） - TLS証明書の検証をスキップします。本番環境には推奨されません。代わりに CA証明書 自己署名のインデクサーを検証するためにCA証明書を指定してください。次と併用できません CA証明書.

    認証

    • パスワード - Wazuhインデクサーユーザーのパスワード。
    • CA証明書 - インデクサーの証明書を検証するために使用するCA証明書（PEM形式）。インデクサーに公的に信頼された証明書がある場合を除き必要です。

    クリックします 接続をテスト AikidoがWazuhインデクサーに到達できることを確認し、次に 変更を保存.

  3. 同期する問題を設定

    Wazuh統合ページの、次の項目の下で Issue 入力設定、同期するAikidoの問題を設定します：

    • 問題のステータス － たとえば、未解決の問題のみを同期するか、解決済みや無視された問題も含めるかを選択します。
    • 最小重大度 － 同期する最小の重大度レベル。
    • 問題の種類 － 特定の問題タイプに限定するか、すべてを同期します。
    • Language － 特定の言語に限定するか、すべてを同期します。
    • 同期頻度 - Aikidoが一致する問題をWazuhに送信する頻度（例：1時間ごと）。

    クリックします 設定を保存.

イベントが届いていることを確認する

Wazuhダッシュボードで、次へ移動します： Discover、まだ作成していない場合は専用インデックスのインデックスパターンを作成して検索します。設定した同期頻度が経過するまで待つか、Aikidoでテスト問題をトリガーして、それが表示されることを確認してください。覚えておいてください：Wazuhのルールセットをバイパスするため、Security Eventsには表示されません。

統合の管理

次から： 設定 > 統合 > Wazuh Aikido で、次のことができます：

  • 統合を管理 - URL、インデックス、または認証情報を更新します。
  • 統合を削除 - Wazuhの接続を解除します。これにより今後の同期はすべて停止します。既にインデクサーに送信されたデータは削除されません。