Wazuh一体化安全运营中心部署与实战指南

1. 项目概述：为什么选择Wazuh构建一体化安全运营中心？

如果你正在为团队或企业的安全监控发愁，既想监控服务器上的风吹草动，又想及时发现系统漏洞，还担心关键文件被恶意篡改，但预算又不足以采购一套成熟的商业安全产品，那么Wazuh绝对值得你花时间深入研究。我最早接触Wazuh（读作“瓦祖”）是在几年前为一个中小型项目搭建低成本安全体系的时候，当时被它“一个平台，多种能力”的特性所吸引。简单来说，Wazuh是一个开源的、基于主机的入侵检测与安全监控平台，它巧妙地将安全信息与事件管理（SIEM）和扩展检测与响应（XDR）的能力融合在了一起。

很多人可能听说过ELK（Elasticsearch, Logstash, Kibana）栈做日志分析很厉害，但Wazuh在此基础上更进一步。它不仅仅是一个日志收集和分析工具，其核心是一个强大的安全代理（Agent），部署在需要监控的终端（服务器、工作站等）上。这个代理能干三件核心大事：第一，实时收集和分析系统日志、应用日志，这就是日志分析；第二，定期扫描系统，比对已知漏洞数据库，这就是漏洞检测；第三，持续监控关键文件和目录（如/etc/passwd, /bin目录）的完整性，一旦发生未授权的更改立即告警，这就是文件完整性监控（FIM）。所有这些数据都会被发送到中央服务器进行关联分析，并通过一个直观的Web界面（通常是Kibana上的Wazuh App）呈现出来。

为什么我推荐从Wazuh入手？对于安全团队资源有限、但又需要建立基本安全可见性的场景，它几乎是“开箱即用”的解决方案。你不需要分别部署日志系统、漏洞扫描器和文件监控工具，Wazuh一站式搞定，而且规则库开源、社区活跃。通过这个项目，你将能部署一套属于自己的企业级安全监控平台，实现从被动响应到主动威胁狩猎的初步转变。

2. 架构设计与核心组件拆解

在动手部署之前，我们必须先理解Wazuh的架构。这能帮助你在部署时做出正确的决策，并在后期排查问题时心中有数。Wazuh采用经典的管理端-代理端（Manager-Agent）架构，并且其管理端与Elastic Stack深度集成，以提供强大的数据存储、搜索和可视化能力。

2.1 核心组件功能与交互流程

整个Wazuh生态系统主要由以下四个核心部分组成，它们协同工作，构成了一个完整的安全监控流水线：

1. Wazuh Agent（代理端）：这是安装在所有需要监控的目标主机（Linux, Windows, macOS, BSD等）上的轻量级客户端。它的职责是执行安全策略，收集日志（通过ossec-logcollector）、监控文件完整性（通过ossec-syscheckd）、检测rootkit、收集清单数据等，并将这些安全事件加密后发送给Wazuh Manager。代理是数据采集的第一线。

2. Wazuh Manager（管理端/服务器端）：这是整个系统的大脑。它接收来自所有Agent的安全事件，并使用解码器（Decoders）和规则（Rules）对这些原始日志进行解析、归一化和关联分析。例如，一条SSH登录失败的日志，经过解码器识别出事件类型、源IP、用户名后，再通过规则判断这是单次失败还是一次暴力破解攻击的一部分。Manager还负责管理所有Agent的配置、下发安全策略，并存储事件到本地（或转发到索引器）。

3. Wazuh Indexer（索引器）：从Wazuh 4.3版本开始，官方引入了基于OpenSearch的Wazuh Indexer，用于替代早期版本中直接使用Elasticsearch的方式。Indexer负责接收来自Manager的事件数据，建立索引，并提供高效的搜索和存储能力。它是海量安全事件数据的“仓库”。

4. Wazuh Dashboard（仪表板）：这是安全分析人员的操作界面。它本质上是运行在Kibana（或OpenSearch Dashboards）之上的一个专用App（Wazuh插件）。通过Dashboard，你可以可视化安全事件、查看代理状态、管理规则、调查告警、生成报告，几乎所有的日常运营工作都在这里完成。

数据流是这样的：Agent -> Manager -> Indexer -> Dashboard。Agent采集数据上报给Manager分析，分析后的事件被索引到Indexer中，最后在Dashboard上展示和交互。在实际生产部署中，为了性能和可靠性，这些组件通常会部署在不同的服务器上。

2.2 部署模式选择：一体机 vs. 分布式

根据你的资源规模和可用性要求，有两种主要的部署模式：

• 一体机（All-in-One）部署：这是最简单、最快速的入门方式。将Wazuh Manager, Indexer, Dashboard全部安装在一台服务器上。这种方式资源消耗集中，适合测试、学习、小规模环境（监控少于100个代理）。优点是部署简单，维护方便；缺点是单点故障，且随着数据量增长，性能可能成为瓶颈。
• 分布式（Distributed）部署：这是生产环境的推荐架构。将各个组件分离部署在多台服务器上：
  • Wazuh Manager集群：部署多个Manager节点组成集群，实现负载均衡和高可用。Agent可以配置多个Manager地址，实现故障转移。
  • Wazuh Indexer集群：部署多个Indexer节点组成集群，确保数据存储的可靠性和查询性能。
  • Wazuh Dashboard节点：可以单独部署，供多个分析师同时访问。
  • 可选：负载均衡器：在Manager集群和Indexer集群前部署负载均衡器，进一步优化流量分发。

对于个人学习或小型团队，我强烈建议从一体机部署开始。它能让你在最短时间内看到完整效果，理解整个工作流程。等到你对各个组件熟悉后，再根据需求向分布式架构演进。本次部署指南将以一体机模式在CentOS 7/8或Ubuntu 20.04/22.04这类主流Linux发行版上进行。

注意：Wazuh对系统资源有一定要求。对于一体机部署，建议最低配置为4核CPU、8GB内存和50GB硬盘空间。如果监控的代理较多或日志量巨大，需要相应提高配置，尤其是内存和磁盘I/O。

3. 一步步部署Wazuh一体机环境

理论清楚了，我们开始动手。以下步骤是我在多次部署中总结出来的，包含了必要的细节和避坑点。请确保你有一台干净的、能够访问互联网的Linux服务器（我这里以Ubuntu 22.04为例）。

3.1 系统准备与依赖安装

首先，我们需要确保系统环境就绪，并安装一些必要的工具。

# 1. 更新系统包列表并升级现有软件 sudo apt update && sudo apt upgrade -y # 2. 安装一些基础工具，如curl、wget、gnupg等 sudo apt install -y curl wget apt-transport-https gnupg2 software-properties-common # 3. 安装Java环境（Wazuh Indexer基于Java运行） # 这里我们安装OpenJDK 11，这是官方兼容的版本 sudo apt install -y openjdk-11-jre-headless # 验证Java安装 java -version # 应该能看到类似“openjdk version 11.0.xx”的输出

3.2 安装Wazuh Indexer（数据存储与搜索核心）

Wazuh Indexer是基于Apache 2.0许可证分支的OpenSearch，我们将使用官方仓库进行安装。

# 1. 导入Wazuh Indexer的GPG密钥 curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && sudo chmod 644 /usr/share/keyrings/wazuh.gpg # 2. 添加Wazuh Indexer的APT仓库 echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/indexer/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh-indexer.list # 3. 更新包列表并安装Wazuh Indexer sudo apt update sudo apt install -y wazuh-indexer # 4. 启动Indexer服务并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-indexer sudo systemctl start wazuh-indexer # 5. 检查服务状态 sudo systemctl status wazuh-indexer # 看到“active (running)”表示服务启动成功

关键一步：初始化Indexer证书。Wazuh组件间使用TLS证书进行安全通信。我们需要生成一个根证书（CA）并为Indexer节点签发证书。

# 运行安装助手脚本，它会引导你完成证书生成 sudo /usr/share/wazuh-indexer/bin/indexer-security-init.sh

脚本会询问几个问题，对于一体机部署，大部分可以直接回车使用默认值。它会为你的节点生成一个默认的用户名（admin）和密码，务必记下这个密码，后续登录Dashboard和配置Manager都会用到。

3.3 安装Wazuh Manager（安全事件处理大脑）

接下来安装核心的分析引擎——Wazuh Manager。

# 1. 添加Wazuh Manager的APT仓库 echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list # 2. 更新并安装Wazuh Manager sudo apt update sudo apt install -y wazuh-manager # 3. 启动Manager服务并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-manager sudo systemctl start wazuh-manager # 4. 检查服务状态和日志 sudo systemctl status wazuh-manager # 查看实时日志，确认没有报错 sudo tail -f /var/ossec/logs/ossec.log

安装完成后，Manager需要配置以将事件发送到我们刚才安装的Indexer。

# 编辑Manager的配置文件 sudo vim /var/ossec/etc/ossec.conf

找到<ossec_config>块下的<integration>部分，确保存在或添加以下配置（根据你的Indexer安装信息调整）：

<integration> <name>wazuh</name> <hook_url>https://localhost:9200</hook_url> <!-- Indexer的地址和端口 --> <password>你在上一步中设置的Indexer管理员密码</password> <!-- 替换为你的密码 --> <username>admin</username> <api_port>55000</api_port> <alert_format>json</alert_format> </integration>

保存后，重启Wazuh Manager服务以使配置生效：

sudo systemctl restart wazuh-manager

3.4 安装Wazuh Dashboard（可视化控制台）

最后，我们安装用户界面。

# 1. 添加Wazuh Dashboard的APT仓库 echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh-dashboard.list # 2. 更新并安装Wazuh Dashboard sudo apt update sudo apt install -y wazuh-dashboard # 3. 配置Dashboard连接Indexer # 编辑Dashboard配置文件 sudo vim /etc/wazuh-dashboard/opensearch_dashboards.yml

需要修改或确认以下几个关键配置：

server.host: "0.0.0.0" # 允许所有IP访问，生产环境建议设置为具体IP opensearch.hosts: ["https://localhost:9200"] # Indexer地址 opensearch.username: "admin" # Indexer用户名 opensearch.password: "你的Indexer管理员密码" # 替换为你的密码 opensearch.ssl.verificationMode: none # 对于自签名证书，初次可设为none以跳过验证，生产环境应配置正确证书

# 4. 启动Dashboard服务并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-dashboard sudo systemctl start wazuh-dashboard # 5. 检查服务状态 sudo systemctl status wazuh-dashboard

现在，打开你的浏览器，访问https://你的服务器IP:5601。首次访问可能会因为自签名证书出现安全警告，选择“继续前往”即可。使用用户名admin和你在初始化Indexer时设置的密码登录。恭喜，你已经成功进入了Wazuh Dashboard！

实操心得：部署过程中最容易出错的环节是证书和组件间的网络连通性。务必确保localhost或你配置的IP地址在各自服务的配置文件中一致。如果Dashboard无法连接Indexer，首先检查Indexer服务是否在运行（sudo systemctl status wazuh-indexer），然后检查防火墙是否放行了9200端口（sudo ufw allow 9200/tcp）。日志是你的好朋友，多使用sudo tail -f /var/log/wazuh-indexer/*.log和 Dashboard的日志来排查问题。

4. 核心功能实战配置与深度解析

登录Dashboard后，你会看到一个概览界面。但要让Wazuh真正发挥作用，我们需要在目标机器上安装Agent，并深入配置三大核心功能。

4.1 部署与管理Wazuh Agent

Agent是数据的源头。在Wazuh Dashboard的“管理” -> “代理部署”页面，你可以找到添加代理的指引。通常，对于Linux系统，最方便的方式是通过Wazuh的仓库安装。

在目标Linux服务器（被监控端）上执行：

# 1. 添加Wazuh Agent仓库（以Ubuntu为例） curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && sudo chmod 644 /usr/share/keyrings/wazuh.gpg echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list # 2. 安装Agent sudo apt update sudo apt install -y wazuh-agent # 3. 配置Agent，指向你的Wazuh Manager服务器地址 sudo vim /var/ossec/etc/ossec.conf

找到<client>部分的<server-ip>标签，将其值修改为你的Wazuh Manager服务器的IP地址。

<client> <server-ip>你的_Wazuh_Manager_IP</server-ip> ... </client>

# 4. 启动Agent并设置开机自启 sudo systemctl daemon-reload sudo systemctl enable wazuh-agent sudo systemctl start wazuh-agent

在Wazuh Manager服务器上，你需要批准这个新Agent的加入。在Agent启动后，它会在Manager上生成一个认证请求。

# 在Wazuh Manager服务器上执行 # 列出所有待批准的Agent sudo /var/ossec/bin/agent_control -l # 你会看到新Agent的ID和名称，状态是“Pending” # 批准指定ID的Agent（假设ID为001） sudo /var/ossec/bin/agent_control -a -i 001

批准后，回到Dashboard的“代理”页面，你应该能看到新添加的Agent状态变为“Active”。现在，这台服务器的数据已经开始上报了。

4.2 日志分析（Log Analysis）实战：从收集到告警

Wazuh的日志分析能力是其SIEM功能的基石。Agent默认会收集系统关键日志（如/var/log/auth.log,/var/log/syslog）。但真正的威力在于自定义日志收集和规则编写。

场景：我们想监控Nginx的访问日志，并针对特定的攻击路径（如/wp-admin或/phpmyadmin的扫描尝试）产生告警。

步骤1：在Agent端配置日志收集编辑Agent的配置文件/var/ossec/etc/ossec.conf：

<localfile> <log_format>apache</log_format> <!-- Nginx日志格式与Apache通用格式兼容 --> <location>/var/log/nginx/access.log</location> <!-- 你的Nginx访问日志路径 --> </localfile>

保存并重启Agent：sudo systemctl restart wazuh-agent

步骤2：在Manager端创建解码器和规则（可选，Wazuh已有大量内置规则）Wazuh内置了许多常见应用（包括Nginx）的解码器和规则。但如果你想为非常规日志或特定模式创建告警，就需要自定义。规则文件通常放在/var/ossec/etc/rules/目录下。

例如，创建一个自定义规则文件nginx_custom_rules.xml：

<group name="nginx,attack,”> <!-- 规则ID从100000开始，避免与内置规则冲突 --> <rule id="100001" level="5"> <decoded_as>nginx_access</decoded_as> <match>phpmyadmin|wp-admin|wp-login</match> <!-- 匹配攻击常见Web管理后台的请求 --> <description>Web attack probe detected on Nginx.</description> <group>web,attack,</group> </rule> </group>

然后，在Manager的ossec.conf中引入这个规则文件：

<ruleset> ... <include>rules/nginx_custom_rules.xml</include> </ruleset>

重启Manager：sudo systemctl restart wazuh-manager

现在，当有请求访问包含phpmyadmin等路径的URL时，Wazuh就会在Dashboard上生成一条级别为5（通知）的告警。你可以根据严重程度调整level（0-16，数字越大越严重），并配置更复杂的匹配条件。

4.3 漏洞检测（Vulnerability Detection）配置与解读

Wazuh的漏洞检测功能是通过集成国家漏洞数据库（NVD）以及软件供应商（如Red Hat, Ubuntu, Microsoft）的安全公告来实现的。Agent会定期（默认每天一次）收集系统上已安装软件包（RPM, DEB, Windows MSI等）的清单及其版本号，上报给Manager。Manager将这些信息与漏洞数据库进行比对，发现存在已知漏洞的软件版本。

关键配置： 在Agent的ossec.conf中，确保以下模块是启用的：

<wodle name="syscollector"> <disabled>no</disabled> <interval>1h</interval> <!-- 硬件和进程信息收集间隔 --> </wodle> <wodle name="vulnerability-detector"> <disabled>no</disabled> <interval>12h</interval> <!-- 漏洞检测扫描间隔 --> <run_on_start>yes</run_on-start> </wodle>

在Dashboard的“安全事件”模块下，选择“漏洞”视图，你就可以看到所有代理上检测到的漏洞，按严重性（CVSS评分）排序。点击某个漏洞，可以查看详细信息，包括受影响的代理、CVE编号、描述、解决方案（如升级到哪个版本）等。

注意事项：漏洞检测的准确性高度依赖于漏洞数据库的更新。Wazuh Manager会定期从官方源同步数据。你需要确保Manager服务器能正常访问互联网以下载这些更新。首次同步可能需要一些时间。此外，对于Windows系统，可能需要额外配置才能正确获取已安装软件列表。

4.4 文件完整性监控（FIM）深度配置

FIM是防御勒索软件和内部威胁的利器。它监控指定文件或目录的权限、所有者、内容（MD5/SHA1/SHA256哈希值）等属性的变化。

基础配置： 在Agent的ossec.conf中，找到<syscheck>模块进行配置。

<syscheck> <disabled>no</disabled> <!-- 扫描频率，默认12小时一次 --> <frequency>43200</frequency> <!-- 需要监控的目录，使用‘check_all’属性监控所有变化 --> <directories check_all="yes" realtime="yes">/etc,/usr/bin,/usr/sbin</directories> <directories check_all="yes" realtime="yes">/bin,/sbin</directories> <!-- 排除一些不需要监控的目录或文件类型 --> <ignore>/etc/mtab</ignore> <ignore type="sregex">.log$|.tmp$</ignore> </syscheck>

• realtime="yes"是核心！它启用内核的inotify机制，在文件被修改的瞬间就触发告警，而不是等到定期扫描。
• check_all="yes"表示监控文件的所有属性：大小、权限、所有者、内容哈希等。

高级技巧：忽略已知的、良性的变更FIM最大的挑战是告警噪音。系统更新、配置文件的标准修改都会触发告警。Wazuh提供了“忽略列表”和“差异报告”功能。

1. 使用<ignore>标签：如上例，可以忽略特定文件或通过正则表达式忽略一类文件。
2. 在Dashboard上处理告警：当发生一个预期的变更（比如你手动升级了一个软件包）时，你可以在该告警上选择“忽略”，并设置一个时间范围或永久忽略此文件/目录的此类变更。这个“忽略”策略会被同步到Agent配置中。
3. 查看差异：对于文本文件（如配置文件），Wazuh会记录变更前后的内容差异。在告警详情中点击“查看差异”，可以清晰地看到具体是哪几行被添加、删除或修改，这对于判断变更意图至关重要。

5. 告警响应、自动化与日常运维

部署和配置只是开始，让Wazuh融入你的安全运营流程才是价值所在。

5.1 告警分级与响应流程

Wazuh的告警级别从0到16。通常可以这样划分：

• 0-3： 信息- 正常的系统状态变更。
• 4-6： 低风险- 值得注意的事件，如单次登录失败。
• 7-10： 中风险- 可能的安全事件，如多次登录失败（暴力破解迹象）。
• 11-16： 高风险/严重- 明确的攻击行为或严重违规，如rootkit检测、关键系统文件被篡改。

在Dashboard的“安全事件”模块，你可以根据级别、规则ID、代理、时间等进行筛选。对于中高风险告警，应建立响应流程：

1. 确认（Triage）：查看告警详情，判断是误报、预期行为还是真实威胁。
2. 调查（Investigate）：利用Wazuh的上下文信息（同一源IP的其他活动、同一代理的其他告警）进行关联分析。
3. 遏制与修复（Contain & Remediate）：如果是真实威胁，采取行动，如封锁IP（可与防火墙联动）、隔离主机、修复漏洞。
4. 报告与优化（Report & Optimize）：记录事件，并考虑是否需要调整规则以减少误报或提高检测率。

5.2 集成与自动化：使用Wazuh API和主动响应

Wazuh提供了强大的RESTful API（默认端口55000），你可以用它来集成外部工单系统、SOAR平台或编写自定义脚本。

示例：当检测到来自某个IP的多次SSH暴力破解尝试（规则ID 5710, 5712等）时，自动调用API在服务器防火墙（如iptables）上封锁该IP。

这需要配置主动响应（Active Response）。

1. 在Manager端创建响应脚本：脚本放在/var/ossec/active-response/bin/下，例如firewall-drop.sh。这个脚本接收攻击者IP作为参数，执行iptables -I INPUT -s $1 -j DROP。
2. 在Manager配置中定义主动响应命令和规则：编辑ossec.conf。

   <command> <name>firewall-drop</name> <executable>firewall-drop.sh</executable> <expect>srcip</expect> <!-- 期望传入的参数是源IP --> <timeout_allowed>yes</timeout_allowed> </command> <active-response> <command>firewall-drop</command> <location>local</location> <!-- 在产生告警的Agent本地执行 --> <level>7</level> <!-- 告警级别>=7时触发 --> <rules_id>5710,5712,5715</rules_id> <!-- 关联SSH暴力破解相关规则 --> </active-response>

3. 配置超时移除规则（可选）：可以设置一段时间后自动解除封锁，避免永久封禁。

   <active-response> ... <timeout>600</timeout> <!-- 600秒后自动移除封锁 --> </active-response>

5.3 性能调优与日常维护清单

随着监控节点和日志量的增加，性能优化至关重要。

• Indexer性能：这是最常见的瓶颈。确保Indexer节点有足够的内存（至少8GB，推荐16GB+）。调整JVM堆大小（/etc/wazuh-indexer/jvm.options），通常设置为物理内存的一半。根据数据保留策略，合理设置索引生命周期管理（ILM），定期删除或归档旧数据。
• Manager性能：规则匹配是CPU密集型操作。优化规则集，禁用不需要的规则（在ossec.conf中使用<rule_exclude>），或降低某些低风险规则的检查频率。将解码器和规则文件放在SSD上能提升读取速度。
• Agent性能：对于高负载的生产服务器，注意Agent的资源占用。调整syscheck（FIM）的扫描频率，避免在业务高峰时段进行全量扫描。精简日志收集路径，只监控真正关键的文件。
• 日常维护：
  • 定期更新：关注Wazuh官方发布，及时更新Manager、Indexer、Dashboard和Agent的版本，以获取新功能和漏洞修复。
  • 备份配置：定期备份/var/ossec/etc/目录下的所有配置文件。
  • 监控Wazuh自身：为你部署Wazuh的服务器也安装一个Agent，监控其系统资源和Wazuh相关服务的日志与进程状态。
  • 规则库更新：Wazuh规则库会更新。确保Manager能连接到互联网以下载更新，或搭建内部更新镜像。

部署和磨合Wazuh的过程，就是一个不断优化检测规则、调整响应流程、降低运维噪音的过程。它不会一开始就完美，但通过持续的调优，它能成为你安全体系中非常可靠的一环。从看到第一条自定义告警开始，到成功自动阻断一次攻击尝试，这种对基础设施安全可见性和控制力的提升，是任何商业产品简介都无法替代的实操体验。