Сервер с Counter Wazuh

Сервер с Wazuh - аренда VPS и выделенных серверов с предустановленной SIEM/XDR-платформой

Коммерческие SIEM-системы стоят как крыло от самолёта: лицензии, поддержка, железо - бюджет улетает в шестизначные числа еще до того, как вы написали первое правило корреляции. Wazuh - open-source платформа, которая закрывает задачи SIEM, XDR и vulnerability management без лицензионных платежей. В HOSTKEY можно арендовать VPS или выделенный сервер с предустановленным Wazuh и получить работающую систему мониторинга безопасности через 15 минут после оплаты.

Что такое Wazuh и зачем он нужен?

Wazuh - платформа мониторинга безопасности с открытым исходным кодом (лицензия GPL v2). Она объединяет функции SIEM (сбор и анализ событий безопасности), XDR (обнаружение и реагирование на угрозы на конечных точках и в облаке) и управления уязвимостями - в одном решении.

Проект вырос из OSSEC - одной из старейших систем обнаружения вторжений с открытым кодом. Сегодня Wazuh это самостоятельная экосистема: собственный индексатор для хранения данных, дашборд для визуализации, агенты под все основные ОС и готовые интеграции с облачными провайдерами.

Зачем это нужно? Если у вас есть серверы, виртуальные машины, контейнеры или облачная инфраструктура - вы генерируете тысячи событий безопасности в час. Без системы, которая собирает, анализирует и коррелирует эти события, вы узнаете о взломе из новостей, а не из собственного мониторинга.

Wazuh подходит, если:

• вам нужна SIEM, но бюджет не позволяет закупить Splunk, QRadar или MaxPatrol;
• вы строите SOC (Security Operations Center) и ищете ядро для мониторинга;
• нужно привести инфраструктуру в соответствие PCI DSS, HIPAA, GDPR или NIST 800-53;
• хотите мониторить не только серверы, но и AWS, Azure, GCP, Docker, Kubernetes;
• команде безопасности нужен инструмент для threat hunting с привязкой к MITRE ATT&CK.

Архитектура и компоненты Wazuh

Wazuh состоит из четырёх компонентов, и понимание их ролей помогает правильно спланировать сервер.

Wazuh Agent - лёгкий агент, который устанавливается на контролируемые хосты (Linux, Windows, macOS). Собирает логи, отслеживает изменения файлов, проверяет конфигурации, сканирует уязвимости и отправляет данные на сервер. Для сетевых устройств (брандмауэры, коммутаторы), которые не поддерживают агентов, используется безагентный мониторинг через syslog или API.

Wazuh Server - центральный узел. Получает данные от агентов, декодирует их, применяет правила корреляции, генерирует алерты. Именно здесь работают декодеры (парсеры) и правила (rules), которые превращают поток сырых логов в осмысленные события безопасности.

Wazuh Indexer - хранилище данных на базе OpenSearch. Индексирует события и алерты, обеспечивает полнотекстовый поиск по ним. Может работать в кластерном режиме для обеспечения высокой доступности.

Wazuh Dashboard - веб-интерфейс для визуализации. Дашборды по угрозам, уязвимостям, комплаенсу, MITRE ATT&CK. Позволяет искать по событиям, настраивать алерты, управлять агентами.

Для небольших инсталляций (до 50–100 агентов) все компоненты разворачиваются на одном сервере (all-in-one). Для крупных - каждый компонент выносится на отдельный хост, а сервер и индексатор масштабируются в кластер.

Возможности Wazuh

Анализ логов и корреляция событий

Wazuh собирает логи из системных журналов, файлов, syslog, journald и API. Встроенная библиотека декодеров парсит сотни форматов: Windows Event Log, Apache, Nginx, SSH, sudo, PostgreSQL, AWS CloudTrail и многие другие. Правила корреляции генерируют алерты при обнаружении подозрительных паттернов - например, серия неудачных SSH-логинов с одного IP за короткий интервал.

Обнаружение вторжений

Агент отслеживает системные вызовы, сетевые подключения, запуск процессов. Правила обнаружения покрывают brute-force атаки, эскалацию привилегий, подозрительные запуски скриптов, изменения в cron, попытки эксплуатации известных уязвимостей. Каждое правило привязано к конкретной тактике и технике по фреймворку MITRE ATT&CK.

Мониторинг целостности файлов (FIM)

Wazuh отслеживает изменения в файловой системе: создание, удаление, изменение файлов и их атрибутов. Если кто-то изменил /etc/passwd, подменил бинарник или добавил SSH-ключ - вы получите алерт. Это один из базовых механизмов обнаружения компрометации.

Обнаружение уязвимостей

Агент сканирует установленные пакеты и сопоставляет их с базами данных известных уязвимостей (CVE). Дашборд показывает, какие хосты подвержены каким уязвимостям, с указанием критичности. Не полноценный сканер уязвимостей (не заменит Nessus для сетевого сканирования), но для мониторинга пакетной базы - работает.

Соответствие стандартам

Wazuh проверяет конфигурации хостов на соответствие стандартам безопасности: CIS Benchmarks, PCI DSS, HIPAA, GDPR, NIST 800-53, TSC. Политики описаны в YAML, каждая проверка возвращает результат passed/failed. На дашборде - итоговый процент соответствия по каждому хосту.

MITRE ATT&CK

Все алерты Wazuh привязаны к тактикам и техникам MITRE ATT&CK. Это помогает команде безопасности понимать, на каком этапе атаки находится инцидент, и выстраивать приоритеты реагирования.

Active Response

Wazuh умеет не только обнаруживать, но и реагировать. Автоматические ответные действия при срабатывании правил: блокировка IP через iptables, отключение учётной записи, запуск произвольного скрипта. Правила реагирования настраиваются гибко - можно задать порог срабатывания, таймаут, область применения.

Мониторинг облаков и контейнеров

Wazuh подключается к AWS CloudTrail, Azure Activity Logs, Google Cloud Audit Logs, Office 365 и GitHub через API. Для контейнерных сред - мониторинг Docker-событий (запуск/остановка контейнеров, изменение образов) и Kubernetes (поды, ноды, привилегированные контейнеры).

VPS или выделенный сервер - что выбрать для Wazuh

Wazuh - не самое лёгкое приложение. Сервер Wazuh + Indexer + Dashboard в all-in-one режиме потребляют от 4 ГБ RAM в idle, и это без учёта реальной нагрузки. Индексатор особенно прожорлив: чем больше событий вы храните, тем больше он ест оперативной памяти и диска.

VPS для Wazuh подойдёт, если:

• агентов не больше 20–50;
• объём событий умеренный (до нескольких сотен EPS);
• срок хранения логов - 30–90 дней;
• это тестовый стенд, домашний SOC или мониторинг небольшой инфраструктуры.

Выделенный сервер нужен, когда:

• агентов сотни или тысячи;
• события генерируются со скоростью 500+ EPS;
• нужно хранить данные месяцами;
• Wazuh - часть продакшн-SOC с высокими требованиями к доступности.

Рекомендации по конфигурации (all-in-one):

• Минимум (до 25 агентов, 90 дней хранения): 4 vCPU, 8 ГБ RAM, 50 ГБ SSD.
• Средняя нагрузка (до 100 агентов): 8 vCPU, 16 ГБ RAM, 200 ГБ SSD.
• Продакшн (100+ агентов, длительное хранение): 16+ vCPU, 32+ ГБ RAM, 500+ ГБ SSD (NVMe предпочтительно).

Индексатор (OpenSearch) любит быструю дисковую подсистему. Если бюджет позволяет - берите NVMe. На HDD при высокой нагрузке поиск по логам будет ощутимо тормозить.

Аренда сервера с Wazuh в HOSTKEY

HOSTKEY предлагает VPS и выделенные серверы с предустановленным Wazuh в дата-центрах Европы, США, Турции и России.

Процесс:

1. Выбираете VPS или выделенный сервер.
2. Во вкладке «Маркетплейс приложений» отмечаете Wazuh.
3. Оплачиваете.
4. Через 15 минут получаете данные доступа. Wazuh уже развёрнут - открываете Dashboard в браузере, подключаете первый агент.

Что входит:

• Предустановленный Wazuh (all-in-one: Server + Indexer + Dashboard) - бесплатно, лицензия GPL v2.
• Бесплатная базовая DDoS-защита.
• Дата-центры уровня TIER III, аптайм 99,982%.
• Техподдержка 24/7, время ответа - до 15 минут.
• Полный root-доступ: настраивайте правила корреляции, подключайте агентов, интегрируйте с внешними системами.

Wazuh - серьёзная система, и самостоятельная установка (Server + Indexer + Dashboard + сертификаты + конфиги) занимает время. Предустановка на серверах HOSTKEY избавляет от этого: вы получаете рабочую SIEM, а не инструкцию на 40 шагов.

Арендуйте VPS или выделенный сервер с предустановленным Wazuh в HOSTKEY. Бесплатная SIEM/XDR-платформа, установленная и готовая к работе через 15 минут. Подключайте агентов и начинайте мониторинг.