WAZUHエージェントのインストール

ワズエージェント

Wazuhエージェントはマルチプラットフォームであり、ユーザーが監視したいホスト上で実行されます。 Wazuhマネージャーと通信し、暗号化および認証されたチャネルを介してほぼリアルタイムでデータを送信します。

エージェントは、パフォーマンスに影響を与えることなく、さまざまなエンドポイントを監視する必要性を考慮して開発されました。したがって、最も一般的なオペレーティングシステムでサポートされており、必要なRAMは約0.1GBのみです

LinuxシステムへのWazuhエージェントの導入

そのため、エージェントは監視するホスト上で実行され、Wazuhマネージャーと通信し、暗号化および認証されたチャネルを介してほぼリアルタイムでデータを送信します。

LinuxシステムでのWazuhエージェントのデプロイメントでは、エージェントのインストール、登録、および構成のタスクを容易にするデプロイメント変数を使用します。または、Wazuhエージェントパッケージを直接ダウンロードする場合

Wazuhリポジトリを追加する

Wazuhリポジトリを追加して、公式パッケージをダウンロードします。

GPGキーをインポートします：

rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH

リポジトリを追加します：

cat > /etc/yum.repos.d/wazuh.repo << EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-\$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF

Wazuhエージェントを展開する

Wazuhエージェントをシステムにデプロイするには、パッケージマネージャーを選択し、WAZUH_MANAGERを編集します。 WazuhマネージャーのIPアドレスまたはホスト名を含む変数。

WAZUH_MANAGER="10.0.0.2" 
yum install wazuh-agent

両方のサーバーの/etc/ hostsを、サーバーとエージェントのIPとホスト名で更新することを忘れないでください

Wazuhエージェントサービスを有効にして開始します

systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent

これで展開プロセスが完了し、WazuhエージェントがLinuxシステムで正常に実行されています。

推奨されるアクション –Wazuhの更新を無効にする

sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo

Wazuhエージェントのアンインストール

エージェントをアンインストールするには、パッケージマネージャーを選択し、次のコマンドを実行します。

yum remove wazuh-agent

構成ファイルとしてマークされた一部のファイル。この指定により、パッケージマネージャーはこれらのファイルをファイルシステムから削除しません。すべてのファイルを完全に削除する場合は、/var/ossecを削除しますフォルダ。

マネージャーとの接続を確認しています

エージェントとマネージャの接続を確認する前に、まずエージェントがマネージャのIPアドレスを指していることを確認してください。これはossec.confで設定されます <client>を使用する XMLタグ。詳細については

<ossec_config>
  <client>
    <server>
      <address>10.0.0.10</address>
      <protocol>tcp</protocol>
    </server>
  </client>
</ossec_config>

これにより、Wazuhサーバーとして10.0.0.10が設定されます。これが完了したら、エージェントを再起動する必要があります：

systemctl restart wazuh-agent

エージェントを登録して正常に接続すると、マネージャーに接続されているエージェントのリストが表示されます

/var/ossec/bin/agent_control -lc

マネージャーへのTCP接続が確立されているかどうかを確認することで、エージェントが正しく接続されているかどうかを確認することもできます。

netstat -vatunp|grep wazuh-agentd

または

エージェントが正しく接続されていることを確認します：

# grep ^status /var/ossec/var/run/wazuh-agentd.state

結果は、エージェントとマネージャーのIPアドレスと一致する必要があります。