Wazuh部署实战：Ubuntu 22.04上构建开源SIEM/XDR平台

1. 为什么现在部署Wazuh需要一份“超详细”指南如果你最近在搜索Wazuh的安装教程可能会发现一个现象很多一两年前的“保姆级”教程照着做大概率会卡在某个环节不是依赖包版本冲突就是配置文件格式对不上。这不是你的问题而是Wazuh生态本身就在快速迭代。作为一个集成了SIEM安全信息与事件管理和XDR扩展检测与响应能力的开源安全平台Wazuh的版本更新、组件集成比如和Elastic Stack的深度绑定以及部署方式从传统包管理到容器化都在持续演进。因此一份“最新”的指南其价值不仅在于步骤的罗列更在于它必须基于当前稳定版本的官方文档和社区实践预判并解决那些新旧教程交替期特有的“坑”。我最近刚在一台全新的Ubuntu 22.04 LTS服务器上完整部署了Wazuh的最新稳定版并集成了Elastic Stack用于可视化。整个过程下来最大的感触是部署的“骨架”没变但“肌肉”和“神经”的细节已经大不相同。比如旧教程里大量手动修改的配置文件现在很多可以通过安装脚本或管理工具自动生成以前需要四处寻找的兼容性参数现在官方文档给出了更明确的指引。这份指南就是这次实战的完整记录我会把重点放在那些容易导致安装失败的关键验证点、版本匹配的细节以及部署完成后“开箱即用”的第一步配置上。无论你是安全运维的新手还是想将现有HIDS主机入侵检测系统升级为更完整解决方案的工程师这份从头到尾的流程都能让你少走弯路。2. 部署架构规划与基础环境准备在动手敲命令之前清晰的架构规划能避免后续很多混乱。一个典型的Wazuh生产环境包含三个核心组件Wazuh服务器、Elastic Stack服务器和被监控的代理。对于学习和测试我们可以采用“All-in-One”的单服务器部署将Wazuh管理端、Elastic StackElasticsearch, Kibana都装在同一台机器上。2.1 服务器规格与系统要求我选择的测试环境是一台运行Ubuntu 22.04 LTS的云服务器配置为4核CPU、8GB内存、100GB SSD存储。这是运行Wazuh服务器和Elastic Stack的最低推荐配置。内存是关键Elasticsearch本身比较“吃”内存如果内存低于4GB很可能在安装或运行过程中因内存不足而失败。注意虽然官方文档可能列出更低的要求但为了获得流畅的体验特别是使用Kibana进行仪表盘操作时8GB内存是更稳妥的起点。如果资源实在有限可以考虑将Elasticsearch的堆内存调小但这会影响性能。首先确保系统是最新的sudo apt update sudo apt upgrade -y升级完成后建议重启一次。接下来我们需要安装一些基础工具这些在后续的安装和排查中都会用到sudo apt install -y curl wget apt-transport-https software-properties-common gnupg lsb-release2.2 关键依赖Java与Docker的抉择Wazuh服务器本身对Java没有强制要求但Elasticsearch 8.x版本需要JDK 17或以上。这是第一个版本匹配的坑。Ubuntu 22.04的默认仓库可能不包含合适的JDK版本。我的选择是直接安装OpenJDK 17sudo apt install -y openjdk-17-jre-headless安装后验证版本java -version输出应显示openjdk version 17.x.x。关于Docker这是另一个常见选择。网络热词中“怎么用docker部署wazuh”热度很高。Docker部署确实能实现环境隔离和快速部署特别适合快速搭建测试环境。但对于生产环境或需要深度定制、性能调优的场景直接安装在宿主机上能提供更直接的资源控制和更少的抽象层开销。本篇指南将聚焦于宿主机直接安装这是理解其组件交互和进行深度故障排查的基础。如果你后续需要转向容器化有了这次基础部署的经验理解Docker Compose文件里的配置也会容易得多。3. 分步安装Wazuh服务器组件Wazuh的安装已经提供了极大的便利性通过官方仓库和安装脚本大部分工作可以自动化完成。但自动化背后理解每一步在做什么是出问题时能自救的关键。3.1 添加Wazuh官方仓库并安装首先导入Wazuh的GPG密钥用于验证软件包的完整性curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import sudo chmod 644 /usr/share/keyrings/wazuh.gpg这条命令做了三件事下载密钥、导入到系统密钥环、设置正确的权限。接着添加Wazuh的APT仓库。这里务必注意要添加与你操作系统版本匹配的仓库。对于Ubuntu 22.04 (Jammy Jellyfish)echo deb [signed-by/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main | sudo tee -a /etc/apt/sources.list.d/wazuh.list添加仓库后更新本地软件包列表并安装Wazuh管理器sudo apt update sudo apt install -y wazuh-manager安装过程会自动创建wazuh用户和用户组并设置必要的系统服务。3.2 验证Wazuh管理器运行状态安装完成后Wazuh管理器服务会自动启动。但我们必须进行主动验证而不是假设它成功了。sudo systemctl status wazuh-manager你应该看到状态为active (running)。更深入的验证是检查Wazuh的日志看是否有启动错误sudo tail -f /var/ossec/logs/ossec.log在日志中你应该看到类似Started和Connected to remoted这样的成功信息而没有连续的ERROR输出。Wazuh管理器默认监听在1514TCP用于接收代理数据、1515TCP用于管理器间通信和55000TCP用于与Kibana的集成等端口。可以用ss -tlnp | grep -E (1514|1515|55000)命令来确认端口监听状态。4. 安装与配置Elastic StackElasticsearch KibanaWazuh的强大分析能力需要前端可视化来呈现这就是Elastic Stack的用武之地。我们必须安装与Wazuh版本严格匹配的Elasticsearch和Kibana并安装Wazuh提供的集成插件。4.1 安装Elasticsearch首先导入Elasticsearch的GPG密钥并添加仓库curl -s https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/elasticsearch.gpg --import sudo chmod 644 /usr/share/keyrings/elasticsearch.gpg echo deb [signed-by/usr/share/keyrings/elasticsearch.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main | sudo tee /etc/apt/sources.list.d/elastic-8.x.list更新并安装Elasticsearchsudo apt update sudo apt install -y elasticsearch安装完成后不要立即启动。我们需要先进行关键配置。编辑配置文件/etc/elasticsearch/elasticsearch.yml找到并修改以下几项# 设置集群名称单机部署可随意 cluster.name: wazuh-cluster # 设置节点名称 node.name: wazuh-node-1 # 绑定地址允许本地访问 network.host: 0.0.0.0 # 设置初始主节点 cluster.initial_master_nodes: [wazuh-node-1] # 对于测试环境可以关闭安全特性以简化配置生产环境务必开启 xpack.security.enabled: false这里有一个大坑network.host设置为0.0.0.0意味着允许所有IP连接这在测试环境方便但在生产环境是极不安全的。同时关闭xpack.security.enabled也是为了快速搭建省去配置SSL和用户认证的步骤。请务必记住这只是为了教程通顺实际生产部署必须启用安全配置。接下来调整Elasticsearch的JVM堆内存大小。对于我们8GB内存的服务器分配2GB是合理的。编辑/etc/elasticsearch/jvm.options-Xms2g -Xmx2g现在可以启动并启用Elasticsearch服务了sudo systemctl daemon-reload sudo systemctl enable elasticsearch sudo systemctl start elasticsearch使用sudo systemctl status elasticsearch检查状态并用curl -X GET localhost:9200/测试。如果返回一串包含you Know, for Search的JSON信息说明Elasticsearch启动成功。4.2 安装Kibana并集成Wazuh插件Kibana是可视化界面。同样先添加仓库并安装echo deb [signed-by/usr/share/keyrings/elasticsearch.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main | sudo tee /etc/apt/sources.list.d/kibana-8.x.list sudo apt update sudo apt install -y kibana编辑Kibana配置文件/etc/kibana/kibana.ymlserver.port: 5601 server.host: 0.0.0.0 # 允许远程访问 elasticsearch.hosts: [http://localhost:9200] # 指向本地Elasticsearch # 由于我们禁用了Elasticsearch安全特性这里也无需配置用户名密码启动Kibanasudo systemctl enable kibana sudo systemctl start kibana访问http://你的服务器IP:5601你应该能看到Kibana的欢迎界面。最关键的一步来了安装Wazuh Kibana插件。这个插件提供了Wazuh的专属应用界面。首先从Wazuh官网下载与你的Wazuh管理器版本完全一致的插件包。假设版本是4.7.0sudo -u kibana /usr/share/kibana/bin/kibana-plugin install https://packages.wazuh.com/4.x/ui/kibana/wazuh_kibana-4.7.0_8.11.0-1.zip注意插件版本号4.7.0必须与Wazuh管理器版本一致后面的8.11.0-1表示其兼容的Kibana版本。务必去Wazuh官方文档核对最新的下载链接。安装完成后必须重启Kibana服务sudo systemctl restart kibana重启后在Kibana左侧导航栏你应该能看到一个灰色的“Wazuh”图标。先别急我们还需要配置Wazuh管理器与Kibana的连接。5. 配置Wazuh与Kibana通信及安装代理组件都跑起来了但现在它们还是各自为政。我们需要让Wazuh管理器知道如何把数据存到Elasticsearch并让Kibana知道如何连接Wazuh管理器。5.1 配置Wazuh输出到Elasticsearch编辑Wazuh管理器的配置文件/var/ossec/etc/ossec.conf。找到ossec_config块在末尾/ossec_config标签前添加以下配置ossec_config !-- 其他原有配置 -- integration namewazuh/name hook_urlhttp://localhost:9200/hook_url !-- Elasticsearch地址 -- level5/level alert_formatjson/alert_format /integration /ossec_config这个配置告诉Wazuh将告警事件以JSON格式发送到本地的Elasticsearch。为了让Wazuh能解析原始日志并生成这些告警事件我们需要启用wazuh-integratord服务它是负责与外部系统如Elasticsearch通信的守护进程。sudo systemctl enable wazuh-integratord sudo systemctl start wazuh-integratord现在重启Wazuh管理器以加载新配置sudo systemctl restart wazuh-manager检查wazuh-integratord的日志确认它已成功连接Elasticsearchsudo tail -f /var/ossec/logs/integrations.log你应该看到类似“Connected to Elasticsearch”的成功消息。5.2 在Kibana中初始化Wazuh应用回到浏览器打开Kibana (http://IP:5601)。点击左侧的“Wazuh”图标。第一次进入时它会提示你配置Wazuh API的连接。Wazuh API URL: 填写http://你的Wazuh服务器IP:55000Username:wazuh-wuiPassword:wazuh-wui注意wazuh-wui是Wazuh API的默认用户用于Kibana插件连接。它的密码默认与用户名相同。在生产环境中你必须立即修改这个默认密码可以通过Wazuh管理器的authd程序进行修改。填写后点击“Save”。如果配置正确页面会跳转到Wazuh的主仪表盘你会看到“Security events”、“Agents”等模块。但目前“Agents”里应该是空的因为我们还没有安装任何代理。5.3 在目标主机上安装Wazuh代理代理是安装在被监控服务器如Web服务器、数据库服务器上的轻量级程序。假设我们要监控另一台Ubuntu 22.04的服务器IP:192.168.1.100。在目标服务器上重复第3.1节的步骤添加Wazuh仓库并更新。但这次我们安装的是wazuh-agentsudo apt install -y wazuh-agent安装后需要配置代理告诉它管理器的地址。编辑代理配置文件/var/ossec/etc/ossec.confossec_config client server-ip你的Wazuh服务器IP/server-ip !-- 例如 192.168.1.99 -- port1514/port protocoltcp/protocol /client ... !-- 其他配置保持默认 -- /ossec_config保存后启动代理服务sudo systemctl enable wazuh-agent sudo systemctl start wazuh-agent在Wazuh服务器上管理器需要“接受”这个新代理的注册。默认情况下Wazuh配置为自动接受来自预设IP段的代理。为了简化我们可以手动在Wazuh服务器上导入代理的认证密钥。更简单的方法是确保网络连通后代理会自动尝试注册并在管理器的/var/ossec/logs/ossec.log中看到相关日志。等待几分钟后刷新Kibana的Wazuh应用中的“Agents”界面你应该能看到新注册的代理状态为“Active”。6. 核心配置调优与初步安全加固安装完成只是开始要让Wazuh发挥价值必须进行一些关键配置。直接使用默认配置可能会产生大量无关紧要的告警淹没真正重要的信息。6.1 调整解码器和规则以适应你的环境Wazuh通过解码器Decoders来解析不同格式的日志通过规则Rules来定义什么情况算作安全事件。默认规则集非常全面但可能不适合你的具体服务。例如如果你运行的是Nginx而不是Apache那么Apache相关的规则就会产生大量“找不到日志文件”的警告。我们可以禁用它们。规则文件位于/var/ossec/etc/rules/和/var/ossec/etc/decoders/。更安全、更易于管理的方式不是直接修改默认规则文件而是在/var/ossec/etc/rules/local_rules.xml和/var/ossec/etc/decoders/local_decoder.xml中添加自定义规则或覆盖默认规则。例如在local_rules.xml中添加group namesyslog, !-- 禁用特定规则ID的告警 -- rule id1002 level0 decoded_assyslogd/decoded_as descriptionIgnored syslog rule./description /rule /group将规则等级level设置为0即可禁用该规则。你需要先通过Kibana查看告警找到频繁出现且无关紧要的告警对应的规则ID。6.2 配置关键安全策略文件完整性监控与漏洞检测Wazuh代理的核心功能之一是文件完整性监控FIM。我们需要指定监控哪些重要的目录和文件。编辑代理的/var/ossec/etc/ossec.conf或者在管理器中统一配置并推送给代理syscheck directories check_allyes realtimeyes/etc,/usr/bin,/usr/sbin/directories directories check_allyes realtimeyes/home/directories !-- 排除一些频繁变化的目录减少噪音 -- ignore/etc/ssl/certs/ignore ignore/home/*/.cache/ignore /syscheckrealtimeyes表示实时监控任何变化会立即产生告警。另一个强大功能是漏洞检测。Wazuh代理可以读取系统已安装的软件包列表并与CVE公共漏洞暴露数据库进行比对。要启用此功能需要在管理器的ossec.conf中配置vulnerability-detector enabledyes/enabled interval5m/interval provider namecanonical enabledyes/enabled ostrusty/os !-- 根据实际系统调整如ubuntu bionic, focal, jammy -- /provider /vulnerability-detector配置完成后记得重启wazuh-manager服务。之后在Kibana的“Security events”仪表盘中你就可以看到文件变更告警和潜在的漏洞信息了。6.3 修改默认密码与限制API访问如前所述默认的wazuh-wui用户密码必须修改。在Wazuh服务器上执行sudo /var/ossec/framework/python/bin/python3 /var/ossec/api/scripts/change_api_password.py根据提示输入新密码。之后需要在Kibana的Wazuh插件设置中更新密码。此外Wazuh API端口55000默认监听在所有接口上。生产环境中应该通过防火墙如UFW限制只有Kibana服务器或特定管理IP可以访问此端口sudo ufw allow from Kibana_IP to any port 55000 proto tcp sudo ufw enable7. 日常维护、故障排查与数据解读部署稳定后日常的关注点就转向了运维和告警分析。7.1 监控服务健康状态建立一个简单的监控习惯定期检查核心服务的状态# 一键检查所有相关服务状态 sudo systemctl status wazuh-manager wazuh-integratord elasticsearch kibana重点关注日志中的错误信息Wazuh管理器日志sudo tail -f /var/ossec/logs/ossec.log集成日志sudo tail -f /var/ossec/logs/integrations.logElasticsearch日志sudo journalctl -u elasticsearch -fKibana日志sudo journalctl -u kibana -f7.2 常见故障排查场景场景一Kibana中Wazuh插件页面空白或报错“Unable to fetch data”这通常意味着Kibana插件无法连接到Wazuh API。检查网络连通性从Kibana服务器curl -k http://Wazuh_IP:55000应返回API版本信息。检查认证确认在Kibana中配置的API用户名和密码正确特别是修改后是否更新。检查Wazuh API服务确保wazuh-apid进程在运行 (ps aux | grep wazuh-apid)并检查其日志/var/ossec/logs/api.log。场景二代理状态显示为“Disconnected”检查网络和端口在代理上执行telnet Wazuh_Manager_IP 1514看端口是否通畅。检查代理配置确认代理的ossec.conf中server-ip配置正确。检查管理器日志查看Wazuh管理器的ossec.log搜索代理的IP或名称看是否有拒绝连接或认证失败的记录。场景三Elasticsearch磁盘空间告急Wazuh事件数据会持续写入Elasticsearch。需要设置索引生命周期管理ILM策略自动删除旧数据。对于测试环境也可以使用Elasticsearch的API定期删除旧索引# 删除所有超过30天的wazuh告警索引谨慎操作 curl -X DELETE localhost:9200/wazuh-alerts-4.x-$(date -d -30 days %Y.%m.%d)7.3 在Kibana中解读你的第一批安全事件登录Kibana的Wazuh应用进入“Security events”仪表盘。一开始你可能会看到很多事件大部分可能是系统正常活动或信息类消息。过滤噪音在搜索栏尝试添加过滤器例如rule.level: 7只显示中级及以上7-15级的告警过滤掉信息级0-6级的事件。理解告警字段rule.description: 告警的具体描述。agent.name: 来自哪台主机。data.title: 相关日志的原始信息。rule.groups: 告警所属的类别如“authentication_failed”, “syslog”等。创建自定义视图根据你的关注点可以保存当前的搜索和过滤条件形成一个固定的“视图”。例如创建一个只显示“认证失败”和“文件完整性改变”的视图用于每日巡检。部署Wazuh不是一劳永逸的事情它是一个持续调优的过程。最初的几周你的主要工作可能就是观察告警、分析哪些是误报、然后相应地调整规则阈值或禁用无关规则。随着你对正常行为基线越来越了解Wazuh才能真正成为你发现真实威胁的利器。这套系统功能强大社区活跃一旦跑顺它能为你提供的安全可见性远超过投入的运维成本。