Einleitung & Architektur

Wazuh ist ein leistungsstarkes Open-Source SIEM (Security Information and Event Management) System, das Sicherheitsereignisse aus verschiedenen Quellen sammelt, analysiert und korreliert. Diese Dokumentation beschreibt das komplette Setup von Wazuh 4.9.2 auf einer Docker-basierten Infrastruktur mit allen Features: Host-Monitoring, Docker-Container-Überwachung und E-Mail-Alerting.

Architektur-Übersicht

                    ┌─────────────────────────────────────┐
                    │         Wazuh Dashboard              │
                    │      https://siem.ihre-domain.de       │
                    │         (via Traefik)                │
                    └──────────────┬──────────────────────┘
                                   │
                    ┌──────────────▼──────────────────────┐
                    │         Wazuh Manager               │
                    │    (Rules, Analysis, Alerting)      │
                    │         Port 55000 (API)            │
                    │         Port 1514/1515 (Agents)     │
                    └──────────────┬──────────────────────┘
                                   │
          ┌────────────────────────┼────────────────────────┐
          │                        │                        │
┌─────────▼─────────┐   ┌─────────▼─────────┐   ┌─────────▼─────────┐
│   Wazuh Indexer   │   │   Wazuh Agent     │   │   SMTP-Relay      │
│   (OpenSearch)    │   │   (your-server)       │   │   (E-Mail Alerts) │
│   Port 9200       │   │   Docker-Listener │   │                   │
└───────────────────┘   └───────────────────┘   └───────────────────┘

Deployment mit offiziellem Wazuh-Docker

Das Deployment basiert auf dem offiziellen Wazuh Docker Repository (Tag v4.9.2). Dies gewährleistet korrekte SSL-Zertifikate, Security-Initialisierung und stabile Konfiguration.

Deployment-Schritte

1. Repository klonen

cd /opt/docker
git clone https://github.com/wazuh/wazuh-docker.git security
cd security
git checkout v4.9.2

2. SSL-Zertifikate generieren

cd single-node
docker compose -f generate-indexer-certs.yml run --rm generator

3. Sichere Passwörter generieren

# .env Datei erstellen
cat > .env << EOF
DOMAIN=ihre-domain.de
WAZUH_INDEXER_PASSWORD=$(openssl rand -base64 32)
WAZUH_API_USERNAME=wazuh-wui
WAZUH_API_PASSWORD=$(openssl rand -base64 32)
WAZUH_DASHBOARD_PASSWORD=$(openssl rand -base64 32)
EOF

4. Password-Hashes für internal_users.yml generieren

# Admin-Password Hash generieren
docker run --rm -e "PASS=$WAZUH_INDEXER_PASSWORD" wazuh/wazuh-indexer:4.9.2 \
  bash -c "plugins/opensearch-security/tools/hash.sh -p \"\$PASS\""

# Hash in internal_users.yml eintragen
vim config/wazuh_indexer/internal_users.yml

Komponenten & Status

Wazuh Indexer (OpenSearch)

Der Indexer speichert alle Security-Events in einer OpenSearch-Datenbank. Er verwendet SSL/TLS für sichere Kommunikation und hat einen eigenen Security-Index für Benutzerauthentifizierung.

Wazuh Manager

Der Manager ist das Herzstück - er empfängt Daten von Agents, wendet Regeln an, erkennt Anomalien und sendet Alerts. Er kommuniziert mit dem Indexer via Filebeat.

Wazuh Dashboard

Das Dashboard (basierend auf OpenSearch Dashboards) bietet eine webbasierte Oberfläche für Visualisierung, Agent-Management und Compliance-Reports.

Traefik Integration

Das Wazuh Dashboard ist über Traefik reverse proxy erreichbar unter https://siem.ihre-domain.de. Die Integration erforderte spezielle Konfiguration wegen des HTTPS-Backends.

Docker Compose Labels

labels:
  - "traefik.enable=true"
  - "traefik.http.routers.wazuh.rule=Host(`siem.ihre-domain.de`)"
  - "traefik.http.routers.wazuh.entrypoints=websecure"
  - "traefik.http.routers.wazuh.tls.certresolver=letsencrypt"
  - "traefik.http.services.wazuh.loadbalancer.server.port=5601"
  - "traefik.http.services.wazuh.loadbalancer.server.scheme=https"
  - "traefik.http.services.wazuh.loadbalancer.serversTransport=wazuh-transport@file"
  - "traefik.docker.network=frontend"

Traefik Transport Configuration

Da das Dashboard intern HTTPS verwendet, muss Traefik das selbst-signierte Zertifikat akzeptieren:

# /opt/docker/compose/traefik/dynamic/wazuh-transport.yml
http:
  serversTransports:
    wazuh-transport:
      insecureSkipVerify: true

healthcheck:
  test: ["CMD-SHELL", "curl -k -s https://localhost:5601 -o /dev/null -w '%{http_code}' | grep -qE '401|200|302'"]

Host-Agent Installation

Für vollständige Überwachung des Host-Systems wurde ein Wazuh Agent direkt auf dem Server installiert.

Installation

# Agent herunterladen und installieren
wget https://packages.wazuh.com/4.x/apt/pool/main/w/wazuh-agent/wazuh-agent_4.9.2-1_amd64.deb
WAZUH_MANAGER='MANAGER_IP' WAZUH_AGENT_NAME='your-hostname' dpkg -i wazuh-agent_4.9.2-1_amd64.deb

# Manager-Adresse konfigurieren
sed -i 's/
MANAGER_IP<\/address>/
127.0.0.1<\/address>/' /var/ossec/etc/ossec.conf

# Agent starten
systemctl enable --now wazuh-agent

Agent Status

Überwachte Ressourcen

• System Logs: /var/log/auth.log, syslog, kern.log
• File Integrity: /etc, /boot, /usr/bin, /usr/sbin
• Rootkit Detection: Automatische Scans
• Vulnerability Detection: Paket-Schwachstellen

Docker Container Monitoring

Der Docker-Listener überwacht alle Container-Events in Echtzeit und meldet sicherheitsrelevante Aktivitäten.

Konfiguration in ossec.conf

<wodle name="docker-listener">
  <disabled>no</disabled>
  <interval>10m</interval>
  <attempts>5</attempts>
  <run_on_start>yes</run_on_start>
</wodle>

Überwachte Events

Rule: Docker: Network bridge disconnected (Level 4)
  Action: disconnect
  Type: network
  Container: bridge

E-Mail Alerting via SMTP-Relay

Bei kritischen Sicherheitsereignissen werden automatisch E-Mail-Benachrichtigungen über das interne SMTP-Relay versendet.

Konfiguration

ossec.conf E-Mail-Konfiguration

<global>
  <email_notification>yes</email_notification>
  <smtp_server>smtp-relay</smtp_server>
  <email_from>wazuh@ihre-domain.de</email_from>
  <email_to>admin@ihre-domain.de</email_to>
  <email_maxperhour>12</email_maxperhour>
</global>

<alerts>
  <log_alert_level>3</log_alert_level>
  <email_alert_level>7</email_alert_level>
</alerts>

Netzwerk-Verbindung

Der Wazuh Manager muss mit dem smtp-internal Netzwerk verbunden sein:

# In docker-compose.yml
networks:
  - security
  - monitoring
  - smtp-internal  # Für E-Mail-Versand

Alert-Level Übersicht

Troubleshooting & Lessons Learned

Problem 1: Traefik zeigt 404

Problem 2: Dashboard i18n Error

i18n.locale: "en"

Problem 3: API Connection "Offline"

Problem 4: wazuh-maild startet nicht

<email_notification>yes</email_notification>

Problem 5: Docker-Listener "Invalid element"

Wichtige Befehle

Status prüfen

# Container Status
cd /pfad/zu/wazuh/single-node && docker compose ps

# Agent Status
docker exec wazuh-manager /var/ossec/bin/agent_control -l

# Manager Services
docker exec wazuh-manager /var/ossec/bin/wazuh-control status

# Cluster Health
docker exec wazuh-manager curl -sk -u admin:$PASSWORD \
  https://wazuh.indexer:9200/_cluster/health?pretty

Logs anzeigen

# Manager Logs
docker logs wazuh-manager --tail 100

# Dashboard Logs
docker logs wazuh-dashboard --tail 100

# Agent Logs (auf Host)
tail -f /var/ossec/logs/ossec.log

Neustart

# Kompletten Stack neu starten
cd /pfad/zu/wazuh/single-node && docker compose restart

# Nur Manager neu starten
docker exec wazuh-manager /var/ossec/bin/wazuh-control restart

# Agent neu starten (auf Host)
systemctl restart wazuh-agent

Zugangsdaten

Dashboard Login

API Credentials

Passwörter auslesen

# Passwörter sind in der .env Datei im Wazuh-Verzeichnis gespeichert
cat /pfad/zu/wazuh/single-node/.env

Zusammenfassung