引言甲方安全运营困境与 Wazuh 的破局价值甲方当前安全运营核心痛点根据《2025 年中国甲方安全运营现状白皮书》显示当前甲方企业的安全运营正面临着多重困境告警过载与噪音干扰超过 75% 的甲方企业日均收到超过 1000 条安全告警其中误报率高达 85%安全运营团队平均需要花费 4 小时才能从海量告警中定位真正的威胁真正的攻击线索往往被淹没在无效信息中严重影响威胁响应效率。多工具协同壁垒不同安全产品接口不互通、策略不统一难以形成协同作战能力。例如终端检测到可疑进程后无法自动联动网络设备阻断恶意 IP 通信也无法同步云端隔离风险容器需要安全人员手动在多个平台下发处置指令响应效率低下无法应对高级威胁的快速传播。资产管控盲区企业资产分布在终端、服务器、容器、云环境等多场景中超过 60% 的甲方企业无法实现全资产的可视化管控存在资产遗漏和风险未知的情况极易成为攻击者的突破口。合规压力与审计负担等保 2.0、PCI DSS、GDPR 等合规要求日益严格企业需要投入大量人力梳理合规基线、生成审计报告传统的手动方式效率低下且容易出现遗漏难以满足合规审计的常态化需求平均每年在合规审计上的投入超过 50 万元。运维成本居高不下商业 SIEM 和 XDR 产品 license 成本高昂单节点 license 费用每年超过 10 万元且定制化能力有限无法适配甲方企业的个性化业务场景同时复杂的部署和运维流程也增加了企业的人力和资源投入。核心概念释义SIEM 与 XDR从甲方的视角来看SIEM安全信息与事件管理可以理解为安全信息的 “中央处理中心”它能够聚合来自终端、服务器、网络设备、应用系统等多源的安全日志和事件数据通过关联分析、规则匹配等方式将分散的安全信息整合为可被理解的安全态势帮助安全团队快速发现潜在的安全威胁并进行告警。而 XDR扩展检测与响应则是全域安全的 “协同指挥平台”它打破了传统安全工具的边界覆盖终端、网络、云端、应用等多个安全域能够实现跨域的威胁检测、关联分析和自动化响应。如果说 SIEM 是 “收集和分析安全线索的中枢”XDR 就是 “能够跨场景协同处置威胁的指挥中心”两者结合可以实现从 “被动告警” 到 “主动响应” 的安全运营升级。Wazuh 选型核心优势对于甲方企业而言Wazuh 作为开源的 SIEMXDR 一体化平台具备以下核心优势开源免费成本可控Wazuh 采用开源协议企业无需支付高昂的 license 费用同时可以根据自身需求对源码进行定制化修改大幅降低了安全建设的成本投入。全场景适配能力Wazuh 支持终端、服务器、容器、云环境、网络设备等多类型资产的监控和防护能够适配甲方企业复杂的 IT 环境实现全资产的安全覆盖。强大的定制化能力Wazuh 提供灵活的规则配置和自定义脚本能力甲方企业可以根据自身的业务场景和安全需求定制专属的检测规则和响应策略满足个性化的安全运营需求。内置合规能力Wazuh 内置了等保 2.0、PCI DSS、GDPR、NIST 800-53 等多种合规框架的基线模板能够帮助企业快速满足合规要求自动生成合规审计报告减轻合规审计的负担。轻量易部署Wazuh 的部署架构灵活支持小型企业的单机一体化部署和中大型企业的分布式集群部署同时轻量化的 Agent 对系统资源占用较低不会影响业务系统的正常运行。一、前期筹备筑牢 Wazuh 落地基础1.1 建设目标锚定1.1.1 核心目标威胁精准检测实现对暴力破解、异常登录、恶意软件、漏洞利用等常见威胁的精准检测同时能够发现针对企业业务场景的高级威胁降低误报率和漏报率。快速响应处置建立自动化的应急响应机制实现威胁的快速隔离和处置将应急响应时间从小时级缩短至分钟级减少安全事件对业务的影响。合规达标满足等保 2.0、PCI DSS 等合规要求通过 Wazuh 的合规能力实现合规基线的监控和审计报告的自动生成通过合规测评。1.1.2 辅助目标降低运维成本通过 Wazuh 的一体化平台整合现有安全工具减少多工具运维的人力投入同时利用自动化能力提升安全运营效率降低运维成本。适配业务扩容Wazuh 的架构具备良好的扩展性能够适配企业业务的快速发展支持新增资产的快速接入和安全覆盖。简化安全管理通过可视化的 Dashboard 实现安全态势的集中展示让安全管理人员能够直观掌握企业的安全状态简化安全管理流程。1.2 甲方现有环境全面梳理1.2.1 全资产盘点四类资产用四种手段采采完统一落到「资产名 / IP / 责任人 / 归属业务」四个字段上否则盘完还是一堆散数据。资产类型采集手段关键字段终端Wazuh Agent 自动发现 IT 资产系统校验主机名、操作系统、使用人、所属部门服务器Nmap 扫描 Agent inventory 采集软件配置IP、操作系统、承载业务、开放端口容器与云Kubernetes API 云厂商 API同步到 CMDB集群、命名空间、云账号、资源 ID网络设备SNMP 采集同时备份配置文件型号、固件版本、管理 IP、配置文件版本在 Wazuh 部署前需要对企业的全资产进行全面盘点可结合以下工具和方法完成终端资产使用 Wazuh Agent 的自动发现功能扫描员工办公电脑、移动设备等终端统计终端的操作系统类型、数量和分布情况同时结合企业的 IT 资产管理系统完成信息校验。服务器资产使用 Nmap 进行网络扫描识别物理服务器、虚拟服务器统计服务器的操作系统、部署的业务系统、网络位置等信息通过 Wazuh Agent 的 inventory 功能获取服务器的软件配置信息。容器与云资产通过 Kubernetes API 获取集群中的容器实例信息通过云厂商的 API 获取云服务器、云数据库、云存储等云资产信息梳理云环境的账号权限和资源分布将信息同步至企业的 CMDB 系统。网络设备通过 SNMP 协议采集防火墙、路由器、交换机、WAF 等网络设备的信息统计设备的型号、版本和配置情况同时备份设备的配置文件为后续的合规审计提供基础。1.2.2 现有安全工具整合对企业现有的安全工具进行梳理包括 EDR、防火墙、漏洞扫描器、WAF 等明确各工具的日志输出格式和接口能力规划与 Wazuh 的集成方案实现数据互通避免重复建设。例如将防火墙的访问日志接入 Wazuh 进行关联分析将 EDR 的终端数据与 Wazuh 的 Agent 数据进行互补提升威胁检测的全面性。1.2.3 合规需求明确梳理企业需要满足的合规要求包括等保 2.0 的安全计算环境、安全区域边界等要求PCI DSS 的支付卡数据安全要求GDPR 的数据隐私保护要求等将这些合规要求转化为 Wazuh 的配置规则和审计指标确保 Wazuh 的部署能够满足企业的合规需求。1.3 团队与资源筹备1.3.1 人员配置明确安全运营团队的分工安全运维人员负责 Wazuh Agent 的部署和日常管理系统的运行监控和维护以及日志的清理和备份。规则配置人员负责 Wazuh 检测规则的配置和定制根据企业的业务场景和威胁情况开发自定义的检测规则优化规则以降低误报率。应急响应人员负责安全告警的处置和应急响应根据 Wazuh 的告警信息进行威胁的分析、溯源和处置联动现有安全工具进行隔离和修复。1.3.2 资源规划服务器配置对于小型企业单机一体化部署需要至少 4 核 CPU、8GB 内存、100GB 磁盘空间对于中大型企业分布式集群部署中 Wazuh Server 需要 4 核 CPU、8GB 内存Indexer 需要 4 核 CPU、16GB 内存Dashboard 需要 2 核 CPU、4GB 内存。存储需求根据企业的日志量计算存储需求一般按照每台终端每天产生 100MB 日志服务器每天产生 500MB 日志进行估算预留至少 90 天的日志存储容量。网络带宽预留确保 Wazuh Agent 与 Server 之间的网络带宽充足对于大规模部署的企业预留至少 100Mbps 的带宽用于 Agent 与 Server 的通信。二、架构设计Wazuh 适配甲方 SIEMXDR 体系2.1 整体架构选型两种架构的差别不只是配置高低是「能不能抗住单点故障」。先按这张表定规模再看后面的部署细节。规模架构推荐配置成本量级风险点终端 100 台Server Agent 单机一体化4 核 8G / 100G SSDUbuntu 22.04 LTS单机年成本约 3000 元单点故障机器挂了就看不到告警终端 100 台Agent Server Indexer Dashboard 分布式Server 2 台主备、Indexer 3 节点、独立 Dashboard按节点数线性增长部署与运维复杂度上升需要专人维护2.1.1 小型甲方ServerAgent 单机一体化部署对于小型甲方企业终端数量少于 100 台采用 ServerAgent 单机一体化部署方案推荐使用 阿里云 ECS 或腾讯云 CVM 服务器配置为 4 核 8GB 内存、100GB SSD 存储操作系统选择 Ubuntu 22.04 LTS将 Wazuh Server、Indexer 和 Dashboard 部署在同一台服务器上。这种方案成本低、易运维单服务器年成本约 3000 元能够满足小型企业的基础安全监控需求实现日志的收集、分析和告警同时支持后续平滑扩容至集群架构。2.1.2 中大型甲方AgentServerIndexerDashboard 分布式 集群部署对于中大型甲方企业终端数量大于 100 台采用分布式集群部署方案推荐配置如下Wazuh Server部署 2 台服务器采用 Keepalived 实现主备切换每台服务器配置为 4 核 8GB 内存、200GB SSD 存储确保服务的高可用性。Wazuh Indexer部署 3 台服务器组成 Elasticsearch 集群采用 Elastic Load Balancer 实现负载均衡每台服务器配置为 4 核 16GB 内存、500GB SSD 存储满足大规模日志的索引和存储需求。Wazuh Dashboard部署 2 台服务器采用 Nginx 实现负载均衡每台服务器配置为 2 核 4GB 内存、100GB SSD 存储保障可视化界面的稳定访问。 这种方案具备高可用性和可扩展性能够处理日均超过 100GB 的日志数据满足中大型企业的安全运营需求同时通过集群部署可以实现负载均衡和故障冗余保障系统的稳定运行。2.2 核心组件部署与甲方场景适配2.2.1 Wazuh Agent全资产覆盖策略终端覆盖在员工办公电脑、移动设备上部署 Wazuh Agent监控终端的进程行为、文件变更、登录事件等实现终端的安全监控。服务器覆盖在物理服务器和虚拟服务器上部署 Agent监控服务器的系统日志、应用日志、文件完整性同时进行漏洞检测和配置评估。容器与云覆盖在容器实例中部署轻量级 Agent监控容器的运行状态和镜像安全在云服务器上部署 Agent同时通过云 API 获取云资产的配置信息和日志数据实现云环境的安全监控。网络设备覆盖通过 syslog 协议将网络设备的日志接入 Wazuh Server实现网络设备的日志分析和威胁检测。2.2.2 Wazuh Server规则引擎、事件关联、告警策略定制Wazuh Server 作为核心组件负责日志的接收、解析和分析根据甲方企业的威胁场景定制告警策略规则引擎定制针对企业的业务场景开发自定义的检测规则例如针对财务服务器的敏感文件变更检测、针对电商系统的订单异常检测等。事件关联分析配置事件关联规则将分散的日志事件进行关联例如将异常登录事件与文件变更事件关联发现潜在的入侵行为。告警分级策略根据威胁的严重程度将告警分为高、中、低三个等级针对不同等级的告警配置不同的响应策略例如高危告警直接触发自动响应中低危告警进行人工审核。2.2.3 IndexerDashboard可视化大屏、日志索引Wazuh Indexer 负责日志的索引和存储Wazuh Dashboard 提供可视化的安全态势展示可视化大屏定制根据甲方企业的运营需求定制安全态势大屏展示威胁告警统计、资产安全状态、合规达标情况等关键指标让安全管理人员能够直观掌握企业的安全状态。日志索引与检索通过 Indexer 实现日志的快速索引和检索支持安全人员通过关键词、时间范围等条件查询日志数据进行威胁溯源和分析。2.3 数据流转全流程设计2.3.1 数据采集范围Wazuh 的数据采集覆盖以下类型系统日志包括操作系统的安全日志、系统日志、应用日志等例如 Linux 的 syslog、Windows 的事件日志。应用日志包括业务系统的访问日志、交易日志、数据库日志等例如电商系统的订单日志、金融系统的交易日志。网络日志包括防火墙的访问日志、WAF 的攻击日志、路由器的流量日志等。资产数据包括资产的配置信息、漏洞信息、补丁状态等通过 Agent 的资产盘点功能获取。2.3.2 数据处理流程Wazuh 的数据处理流程形成闭环采集通过 Agent 或 syslog 协议采集多源数据发送至 Wazuh Server。解析Wazuh Server 对采集到的日志进行解析提取关键字段和信息。关联通过规则引擎和事件关联算法将解析后的日志进行关联分析识别潜在的威胁。告警当检测到威胁时生成告警信息发送至 Dashboard 进行展示同时触发相应的响应策略。存储将解析后的日志和告警信息存储至 Indexer用于后续的检索和审计。三、核心能力落地基于 Wazuh 实现甲方安全需求3.1 威胁检测能力搭建3.1.1 基础检测Wazuh 的基础检测能力覆盖以下常见威胁暴力破解检测监控 SSH、RDP 等远程登录服务的登录行为检测多次失败的登录尝试识别暴力破解攻击。异常登录检测通过分析登录的 IP 地址、时间、用户等信息检测异常的登录行为例如异地登录、非工作时间登录。恶意软件检测联动 VirusTotal 等恶意文件检测平台对终端和服务器上的文件进行扫描检测恶意软件和病毒。漏洞扫描通过 Agent 采集软件 inventory 数据与 CVE 数据库进行关联识别系统中的已知漏洞。3.1.2 定制化检测结合甲方企业的业务场景开发自定义的检测规则以下是具体示例财务系统场景监控财务服务器的数据库日志检测异常的数据库查询操作例如批量导出数据的行为对应的规则配置如下rule id100002 level12 decoded_asjson/decoded_as field nameevent.modulemysql/field field nameevent.actionquery/field field namequeryLIKE %SELECT * FROM financial%/field field namerows_affected1000/field descriptionDetect abnormal bulk data export from financial database/description /rule电商系统场景监控订单系统的日志检测异常的订单操作例如批量修改订单金额、异常的退款申请对应的规则配置如下rule id100001 level12 decoded_asjson/decoded_as field nameevent.moduleecommerce/field field nameevent.actionorder_modify/field field nameorder.amount_change5000/field descriptionDetect abnormal order amount modification/description /rule研发场景监控研发工作站的代码仓库日志检测异常的代码提交和下载行为防止代码泄露对应的规则配置如下rule id100003 level10 decoded_asjson/decoded_as field nameevent.modulegit/field field nameevent.actionclone/field field namerepo.urlNOT IN (internal-gitlab.com/*)/field descriptionDetect code clone from external repository/description /rule3.1.3 威胁狩猎利用 Wazuh 的日志检索能力主动进行威胁狩猎通过关键词检索查找潜在的威胁线索例如查找包含 “恶意脚本”、“未授权访问” 等关键词的日志。通过关联分析发现隐藏的威胁例如将异常网络连接与进程行为关联发现潜在的后门程序。3.2 快速响应能力落地3.2.1 自动响应配置配置 Wazuh 的自动响应规则实现威胁的自动化处置阻断异常 IP当检测到暴力破解攻击时自动在防火墙中添加 IP 黑名单阻断异常 IP 的访问。隔离主机当检测到主机感染恶意软件时自动将主机隔离至安全区域防止恶意软件的传播。终止恶意进程当检测到恶意进程运行时自动终止该进程减少威胁的扩散。3.2.2 应急响应流程联动甲方企业现有的应急响应制度实现告警的闭环处置告警接收Wazuh Dashboard 接收告警信息根据告警等级进行分级展示。告警分析应急响应人员对告警信息进行分析判断威胁的严重程度和影响范围。威胁处置根据威胁的类型触发相应的处置策略例如自动响应或手动处置。复盘总结安全事件处置完成后对事件进行复盘总结优化 Wazuh 的检测规则和响应策略。3.3 合规审计能力实现3.3.1 合规模板配置结合 Wazuh 内置的合规模板和企业的自定义需求配置合规基线等保 2.0 基线配置等保 2.0 要求的安全配置基线例如账户策略、密码策略、文件权限策略等。PCI DSS 基线配置 PCI DSS 要求的支付卡数据安全基线例如数据加密、访问控制、日志审计等。自定义基线根据企业的业务需求配置自定义的合规基线例如针对财务系统的敏感文件访问控制基线。3.3.2 审计报告生成利用 Wazuh 的报告生成功能自动生成合规审计报告定期报告按照合规要求的周期自动生成合规审计报告例如月度、季度、年度报告。自定义报告根据审计需求生成自定义的合规报告例如针对特定系统的合规审计报告。报告导出支持将报告导出为 PDF、CSV 等格式方便进行审计提交和存档。3.4 资产安全管控3.4.1 资产自动盘点通过 Wazuh Agent 的资产盘点功能实现资产信息的自动更新Agent 定期采集终端和服务器的硬件信息、软件信息、配置信息等发送至 Wazuh Server。Wazuh Server 对资产信息进行整合和存储形成企业的资产清单实时更新资产的变更情况。3.4.2 资产风险分级根据资产的漏洞情况、配置情况、业务重要性对资产进行风险分级高危资产包含严重漏洞、涉及核心业务的资产例如财务服务器、交易系统服务器。中危资产包含一般漏洞、涉及重要业务的资产例如研发服务器、办公系统服务器。低危资产包含轻微漏洞、涉及非核心业务的资产例如员工办公电脑、测试服务器。根据资产的风险等级配置不同的检测和响应策略例如对高危资产进行更频繁的漏洞扫描和更严格的访问控制。四、部署实施甲方 Wazuh 落地全步骤4.1 前期准备环境测试在测试环境中搭建 Wazuh 系统进行功能测试和性能测试验证系统的稳定性和兼容性。权限配置配置 Wazuh 系统的访问权限明确不同人员的操作权限例如安全运维人员具备 Agent 管理权限规则配置人员具备规则编辑权限。人员培训对安全运营团队进行 Wazuh 系统的培训包括系统的使用方法、规则配置方法、应急响应流程等提升团队的操作能力。4.2 核心组件部署这一章按企业规模分两条路原则是「先核心后辅助、先测试后落地」。下面每一步都基于 Wazuh 官方部署规范重点补了甲方环境里容易踩的地方——端口没通、主机名解析没配、SELinux 没关这三类问题占了首次部署失败的多数。4.2.1 部署前提所有场景通用端口没通后面所有步骤都会卡在「组件之间连不上」上。开工前先把这张表核一遍。端口协议用途方向1514TCP / UDPAgent 上报事件到 ServerAgent → Server1515TCPAgent 自动注册enrollmentAgent → Server55000TCPServer API供 Dashboard 与外部调用Dashboard → Server9200TCPIndexer 的 REST 接口Server / Dashboard → Indexer5601TCPDashboard 网页访问用户 → Dashboard9300TCPIndexer 节点间通信Indexer 节点互访环境校验所有部署节点均为 64 位 x86_64/AMD64/AARCH64 架构操作系统适配 Amazon Linux 2/2023、CentOS 7/8、Ubuntu 20.04/22.04 等官方推荐版本关闭防火墙/SELINUX或开放 1514/UDP/TCP、9200/TCP、5601/TCP、55000/TCP 核心端口。权限配置所有节点拥有 root/sudo 权限配置节点间主机名解析编辑/etc/hosts 文件确保集群节点间可通过主机名或 IP 互通。工具准备提前下载 Wazuh 官方安装助手脚本中大型集群必备小型甲方 OVA 部署无需额外下载脚本下载命令 curl -sO https://packages.wazuh.com/4.12/wazuh-install.sh chmod x wazuh-install.sh4.2.2 小型甲方终端≤100 台OVA 虚拟设备单机一体化部署适配小型甲方低成本、易运维需求采用 OVA 虚拟设备部署集成 Wazuh Server、Indexer、Dashboard 三大核心组件无需手动配置组件通信具体步骤宿主机环境准备启用宿主机硬件虚拟化功能安装 VirtualBox/VMware 等 OVA 兼容虚拟化平台宿主机预留至少 4 核 CPU、8GB RAM、50GB SSD 存储满足 Wazuh 官方 OVA 镜像wazuh-4.14.3.ova运行需求。OVA 镜像导入下载 Wazuh 官方最新版 OVA 镜像wazuh-4.14.3.ova导入至虚拟化平台若使用 VirtualBox需将图形控制器设为「VMSVGA」避免窗口卡死开启「Hardware Clock in UTC Time」解决虚拟机时间同步偏差问题。虚拟机初始化启动 OVA 虚拟机使用官方默认账号「wazuh-user/wazuh」登录执行「sudo -i」切换至 root 权限执行「ip a」命令获取虚拟机 IP通过「https://WAZUH_SERVER_IP」访问 Wazuh Dashboard默认登录账号「admin/admin」初始化需 3-5 分钟耐心等待。基础配置优化虚拟机默认通过 DHCP 获取 IP可根据甲方内网规划修改网络配置文件设置静态 IP核心配置文件路径按需自定义 Wazuh manager/var/ossec/etc/ossec.confWazuh indexer/etc/wazuh-indexer/opensearch.ymlWazuh dashboard/etc/wazuh-dashboard/opensearch_dashboards.yml兼容性处置若在 AMD 处理器的 VMware 环境中启动失败找到虚拟机「.vmx」配置文件末尾添加「featureCompat.enable FALSE」及官方指定 cpuid 配置保存后重启虚拟机即可恢复。4.2.3 中大型甲方终端100 台官方安装助手分布式集群部署适配中大型甲方高可用、高扩展性需求采用「Indexer 集群→Server 集群→Dashboard 集群→Agent」的顺序部署通过官方安装助手简化配置具体步骤Wazuh Indexer 集群部署至少 3 节点日志索引/存储核心 环境初始化所有 Indexer 节点执行环境配置关闭防火墙、SELINUX配置时间同步命令如下# 关闭防火墙CentOS示例Ubuntu用ufw disable systemctl stop firewalld systemctl disable firewalld # 关闭SELINUX setenforce 0 sed -i s/^SELINUX.*/SELINUXdisabled/ /etc/selinux/config # 配置时间同步 yum install -y ntp systemctl start ntpd systemctl enable ntpd集群安装在主 Indexer 节点执行安装命令指定所有 Indexer 节点 IP脚本自动生成证书并同步至所有节点完成集群初始化sudo bash wazuh-install.sh --wazuh-indexer 节点1IP,节点2IP,节点3IP \ --indexer-cluster-name wazuh-indexer-cluster \ --indexer-node-name master-node状态验证安装完成后记录终端输出的 Indexer admin 密码后续配置必备在任意 Indexer 节点执行以下命令返回「green」即表示集群正常curl -k https://localhost:9200/_cat/health?vWazuh Server 集群部署至少 2 节点主备模式日志解析/规则引擎核心 环境初始化所有 Server 节点执行与 Indexer 节点相同的环境初始化命令关闭防火墙、SELINUX配置时间同步。集群安装执行安装命令指定 Server 节点 IP、Indexer 集群 IP 及 Indexer admin 密码脚本自动完成 Server 与 Indexer 的通信配置sudo bash wazuh-install.sh --wazuh-manager 节点1IP,节点2IP \ --wazuh-indexer 节点1IP,节点2IP,节点3IP \ --indexer-admin-password 上述Indexer admin密码主备切换配置在两台 Server 节点安装 Keepalived配置虚拟 IPVIP实现故障自动切换Agent 后续统一指向该 VIP# 安装Keepalived yum install -y keepalived # 主节点配置/etc/keepalived/keepalived.conf备节点修改state为BACKUP、priority为90 ! Configuration File for keepalived global_defs { router_id WAZUH_SERVER_MASTER } vrrp_instance VI_1 { state MASTER interface eth0 # 替换为实际网卡名称 virtual_router_id 51 priority 100 advert_int 1 authentication { auth_type PASS auth_pass 123456 } virtual_ipaddress { 192.168.1.100/24 # 替换为甲方内网虚拟VIP } } # 启动并设置开机自启 systemctl start keepalived systemctl enable keepalivedWazuh Dashboard 集群部署至少 2 节点负载均衡可视化核心 集群安装所有 Dashboard 节点执行安装命令指定 Indexer 集群 IP 及 admin 密码自动完成连接配置sudo bash wazuh-install.sh --wazuh-dashboard 节点1IP,节点2IP \ --wazuh-indexer 节点1IP,节点2IP,节点3IP \ --indexer-admin-password 上述Indexer admin密码负载均衡配置在独立节点安装 Nginx配置反向代理至所有 Dashboard 节点实现访问负载均衡# 安装Nginx yum install -y nginx # 编辑配置文件/etc/nginx/nginx.conf http { upstream wazuh-dashboard { server 节点1IP:5601; # Dashboard节点1 server 节点2IP:5601; # Dashboard节点2 } server { listen 80; server_name wazuh-dashboard.example.com; # 替换为甲方实际域名/IP location / { proxy_pass https://wazuh-dashboard; proxy_ssl_verify off; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } } } # 启动并设置开机自启 systemctl start nginx systemctl enable nginx访问验证通过 Nginx 的 IP/域名访问 Wazuh Dashboard使用默认账号「admin」及安装时输出的密码登录确认界面正常加载。4.2.4 Wazuh Agent 全资产部署通用步骤Agent 为轻量化客户端覆盖所有终端、服务器、容器等资产小型甲方指向 OVA 虚拟机 IP中大型甲方指向 Server 集群 VIP确保日志采集正常具体部署命令Ubuntu/Debian 系统curl -so wazuh-agent.deb https://packages.wazuh.com/4.x/apt/pool/main/w/wazuh-agent/wazuh-agent_4.7.3-1_amd64.deb sudo dpkg -i ./wazuh-agent.deb sudo sed -i s/server_ip/替换为OVA IP或Server VIP/g /var/ossec/etc/ossec.conf sudo systemctl enable wazuh-agent sudo systemctl start wazuh-agentCentOS/RHEL 系统curl -so wazuh-agent.rpm https://packages.wazuh.com/4.x/yum/wazuh-agent-4.7.3-1.x86_64.rpm sudo rpm -ivh ./wazuh-agent.rpm sudo sed -i s/server_ip/替换为OVA IP或Server VIP/g /var/ossec/etc/ossec.conf sudo systemctl enable wazuh-agent sudo systemctl start wazuh-agentWindows 系统下载官方安装包https://packages.wazuh.com/4.x/windows/wazuh-agent-4.7.3-1.msi运行安装向导在「Server address」中填写 OVA IP 或 Server VIP完成安装后启动 Wazuh Agent 服务。部署验证在 Wazuh Dashboard 的「Agents」页面查看所有 Agent 在线状态确保均显示「Active」无离线节点若存在离线节点排查网络连通性、配置文件及端口开放情况。4.3 规则与策略配置启用基础规则启用 Wazuh 内置的基础检测规则包括暴力破解检测、异常登录检测、恶意软件检测等规则。开发定制化规则根据企业的业务场景和安全需求开发自定义的检测规则例如针对财务系统的敏感文件变更检测规则、针对电商系统的订单异常检测规则。配置响应策略配置自动响应策略例如针对高危告警的自动阻断、隔离策略针对中低危告警的通知策略。4.4 测试验证威胁模拟通过模拟常见的威胁场景例如暴力破解攻击、恶意软件感染、异常登录等验证 Wazuh 的检测能力和响应能力。告警测试模拟不同类型的告警验证告警的展示和通知功能是否正常确保安全管理人员能够及时接收告警信息。响应测试触发自动响应策略验证自动响应的执行效果例如异常 IP 的阻断、恶意进程的终止等功能是否正常。优化调整根据测试结果对 Wazuh 的规则和策略进行优化调整降低误报率和漏报率提升系统的性能和稳定性。4.5 灰度上线采用分区域、分资产的方式进行灰度上线降低落地风险第一阶段选择非核心业务区域的资产进行 Wazuh Agent 的部署和上线例如办公区域的终端和测试服务器。第二阶段在第一阶段验证系统稳定后扩展至重要业务区域的资产例如研发服务器、办公系统服务器。第三阶段在第二阶段运行稳定后逐步覆盖至核心业务区域的资产例如财务服务器、交易系统服务器。4.6 全面推广完成灰度上线后进行全资产的覆盖完成 Wazuh SIEMXDR 体系的落地对所有资产部署 Wazuh Agent实现全资产的安全监控。优化 Wazuh 的规则和策略适配全资产的安全需求。建立常态化的安全运营流程利用 Wazuh 系统进行日常的安全监控、威胁检测和应急响应。五、运维优化保障体系长期稳定运行5.1 日常运维Agent 管理定期检查 Agent 的在线状态处理离线 Agent 的问题例如检查网络连接、配置文件等。同时根据资产的变更情况及时新增或删除 Agent。日志清理定期清理过期的日志数据释放存储资源同时配置日志的自动清理策略确保系统的存储容量充足。系统运行监控监控 Wazuh Server、Indexer 和 Dashboard 的运行状态包括 CPU、内存、磁盘、网络等资源的使用情况及时发现并处理系统的性能问题。5.2 规则优化误报处理分析误报告警的原因调整规则的阈值和条件降低误报率。例如针对非工作时间的登录告警根据企业的实际业务情况调整告警的时间阈值。漏报分析针对未被检测到的安全事件分析漏报的原因优化检测规则提升威胁检测的全面性。例如针对新型的攻击手段开发新的检测规则。规则迭代根据威胁环境的变化和企业的业务需求定期迭代检测规则确保规则能够覆盖最新的威胁场景。5.3 故障排查先按这张表定位方向再往下看具体命令。列在最前面的三项占了实际工单的绝大多数。现象先查什么判断标准Agent 显示离线Agent 服务状态、1514/1515 端口连通性服务 running 且端口通仍离线就往 Server 侧查告警量大但都是误报Top 规则 ID 的命中量单一规则占一半以上先调这条规则而不是全量调阈值Dashboard 打不开Indexer 健康状态_cluster/healthstatus 不是 green 就先修 Indexer日志进不来采集端配置的日志路径、解码器是否匹配decoder 不匹配时事件会被丢弃不会报错磁盘占用飙升索引生命周期策略、每日新增索引大小没有 ILM 策略时索引会一直增长针对 Wazuh 系统的常见问题制定快速处置方案Agent 离线检查 Agent 服务状态执行 systemctl status wazuh-agentLinux 系统或在服务管理器中查看 Wazuh Agent 服务状态Windows 系统如果服务未运行执行 systemctl start wazuh-agent 启动服务。检查网络连通性在 Agent 主机上执行 ping wazuh-server-ip如果无法连通检查防火墙规则和网络配置确保 Agent 与 Server 之间的 1514 端口UDP/TCP和 55000 端口API开放。检查 Agent 配置文件执行 cat /var/ossec/etc/ossec.conf | grep -A 5 serverLinux 系统确认服务器地址配置正确。检查 Agent 日志执行 tail -f /var/ossec/logs/ossec.logLinux 系统查找错误信息根据日志提示进行修复。告警误报分析误报告警的规则在 Wazuh Dashboard 中查看告警对应的规则 ID找到对应的规则配置文件。调整规则参数例如调整登录失败次数的阈值、时间范围增加规则的过滤条件降低误报率。测试规则修改规则后模拟对应的场景验证规则的有效性确保误报率降低的同时不影响威胁检测的准确性。性能瓶颈检查服务器资源使用情况执行 topLinux 系统查看 CPU 和内存使用情况执行 df -h 查看磁盘使用情况。优化 Indexer 配置调整 Indexer 的堆内存大小优化索引策略例如增加分片数量、设置索引生命周期管理。扩容服务器资源如果服务器资源不足增加服务器的 CPU 和内存资源或者扩展集群节点数量。5.4 版本升级定期进行 Wazuh 版本的更新保障系统的兼容性和功能迭代版本评估在新版本发布后评估新版本的功能和兼容性确定是否进行升级。测试升级在测试环境中进行版本升级的测试验证升级后的系统功能是否正常是否存在兼容性问题。正式升级在测试验证通过后在生产环境中进行版本升级升级过程中确保业务系统的正常运行避免影响企业的正常业务。六、实践复盘甲方案例参考与经验总结6.1 案例背景某金融甲方企业拥有员工 500 人终端 300 台服务器 50 台业务涵盖网上银行、手机银行等金融服务。该企业原有安全痛点安全工具分散包括防火墙、EDR、漏洞扫描器等告警信息不统一安全团队需要在多个平台之间切换处理告警的效率低下。缺乏统一的资产管控能力无法全面掌握服务器和终端的安全状态存在资产遗漏的情况。等保 2.0 合规压力大需要投入大量人力梳理合规基线和生成审计报告合规成本高。应急响应能力不足当发生安全事件时需要手动在多个平台下发处置指令响应时间长无法快速遏制威胁的扩散。该企业的建设诉求是搭建一体化的 SIEMXDR 平台整合现有安全工具实现威胁的精准检测和快速响应满足等保 2.0 合规要求降低安全运营成本。6.2 部署方案该企业采用 Wazuh 分布式集群部署方案架构部署部署 2 台 Wazuh Server主备模式、3 台 Wazuh Indexer集群模式、1 台 Wazuh Dashboard在所有终端和服务器上部署 Wazuh Agent。规则配置启用 Wazuh 内置的基础检测规则同时开发针对金融业务的定制化规则例如针对网上银行系统的异常交易检测规则、针对数据库的敏感数据访问检测规则。合规配置配置等保 2.0 合规基线包括账户策略、密码策略、文件权限策略等同时配置自动合规审计报告生成功能。响应配置配置自动响应策略例如针对暴力破解攻击的 IP 阻断策略、针对恶意软件的主机隔离策略同时联动现有防火墙和 EDR 工具实现跨平台的协同响应。6.3 建设效果通过 Wazuh SIEMXDR 体系的建设该企业取得了以下显著效果威胁检测效率提升威胁检测的准确率提升至 92% 以上误报率从原来的 85% 降低至 25%安全团队处理告警的时间从原来的日均 4 小时缩短至日均 1 小时处理告警的效率提升了 75%。响应速度提升应急响应时间从原来的 2 小时级缩短至 5 分钟级当发生安全事件时能够在 5 分钟内触发自动响应快速遏制威胁的扩散恶意软件的处置时间从原来的 24 小时缩短至 1 小时。合规达标通过 Wazuh 的合规能力顺利通过等保 2.0 三级测评合规审计报告的生成时间从原来的 1 周缩短至 1 天合规审计的人力投入从原来的每周 10 人天降低至每周 1 人天合规成本降低了 65%。资产管控能力提升实现了全资产的可视化管控资产覆盖率从原来的 70% 提升至 100%能够实时掌握终端和服务器的安全状态资产遗漏的问题得到彻底解决资产的风险分级管理能够帮助安全团队聚焦核心资产的安全防护核心资产的安全事件发生率降低了 80%。6.4 经验总结落地难点与解决方法规则定制难点针对金融业务的定制化规则开发难度大解决方法是组织安全团队和业务团队进行深入沟通梳理业务场景中的风险点结合 Wazuh 的规则语法逐步开发和迭代定制化规则同时通过威胁模拟测试规则的有效性。多工具协同难点现有安全工具与 Wazuh 的协同配置复杂解决方法是对现有安全工具的接口和日志格式进行梳理制定详细的集成方案通过 Wazuh 的 API 和脚本能力实现与现有工具的数据互通和协同响应。人员培训难点安全团队对 Wazuh 系统的操作不熟悉解决方法是制定分阶段的培训计划包括系统的基础操作、规则配置、应急响应等内容同时通过实操演练和案例分析提升团队的操作能力。可复用经验灰度上线策略采用分区域、分资产的灰度上线策略能够有效降低系统部署的风险在灰度上线过程中及时发现和解决问题确保系统的稳定运行。业务场景结合Wazuh 的规则配置必须与企业的业务场景相结合才能实现精准的威胁检测安全团队需要深入了解业务流程梳理业务中的风险点开发针对性的检测规则。常态化运维建立常态化的运维和优化机制定期对 Wazuh 系统进行监控和优化根据威胁环境的变化和业务的发展迭代检测规则和响应策略保障系统的长期稳定运行。结语在当前复杂的网络安全环境下甲方企业面临着日益严峻的安全挑战高级持续性威胁APT、勒索软件等新型攻击手段不断涌现传统的安全工具已经无法满足企业的安全需求。Wazuh 作为开源的 SIEMXDR 一体化平台为甲方企业提供了一种低成本、高定制化的安全建设方案能够帮助企业实现全资产的安全管控提升威胁检测和响应能力降低安全运营成本。通过前期筹备、架构设计、核心能力落地、部署实施和运维优化的全流程建设甲方企业能够基于 Wazuh 搭建起覆盖全资产、具备威胁精准检测和快速响应能力的安全运营体系同时满足等保 2.0、PCI DSS 等合规要求为企业的业务发展提供坚实的安全保障。未来随着网络威胁的不断演变和企业业务的发展甲方企业需要持续优化 Wazuh 系统结合 人工智能 、威胁情报等新技术提升威胁检测的智能化水平AI 驱动的威胁狩猎将人工智能算法集成到 Wazuh 的规则引擎中实现威胁的自动识别和狩猎提升威胁检测的准确性和效率。威胁情报自动集成将第三方威胁情报平台的数据自动集成到 Wazuh 中提升对新型威胁的检测能力。零信任架构融合将 Wazuh 与零信任架构结合实现基于身份的安全访问控制进一步提升企业的安全防护能力。通过持续的优化和升级Wazuh 将能够更好地适配甲方企业的安全需求为企业的数字化转型提供更加坚实的安全保障。整套体系落地之后最有价值的不是那份架构图而是「出事时几分钟内能答上来」的能力。这条从采集到响应再到合规的链路在这个号里还有几篇是接得上的资产怎么盘干净、拓扑怎么维护可以看 企业网络拓扑图怎么画才不过期基线核查怎么真正落到主机上看 安全基线落不了地真出了事怎么按顺序处置、别把证据烧掉看 一次挖矿入侵处置复盘。
