Тег: SIEM
Все статьи с тегом "SIEM".
Wazuh Active Response: автоматически банить, изолировать и реагировать на инциденты (часть 4/6)
Четвёртая часть цикла про Wazuh: как превратить сработавший детект в автоматическую реакцию — анатомия Active Response, встроенный firewall-drop, свой скрипт бана через nftables с таймаутом и safety-исключением для admin-подсетей, и как не забанить самого себя.
Wazuh: пишем свои правила и decoders, чтобы SIEM не захлебнулся шумом (часть 3/6)
Третья часть цикла про Wazuh: анатомия правил и decoders, свой детект на брутфорс SSH с жёстким порогом, decoder для JSON-логов приложения, override дефолтных правил вместо правки файлов и тестирование через wazuh-logtest без рестарта manager.
Wazuh: подключаем агентов, включаем FIM и rootcheck на Linux и Windows (часть 2/6)
Вторая часть цикла про Wazuh: регистрируем агентов на Ubuntu и Windows — автоматически через authd и вручную ключами, включаем syscheck (FIM) с realtime и whodata, подключаем rootcheck, SCA-политику CIS и группы агентов. Главный вопрос — как получить сигнал, а не поток алертов о легитимных изменениях.
Wazuh с нуля: разворачиваем open-source SIEM/XDR за один вечер (часть 1/6)
Открываем цикл про Wazuh — бесплатный open-source SIEM/XDR. В первой части только установка: manager, indexer, dashboard через Docker Compose, TLS-сертификаты, первый вход и честный разговор о том, чем single-node отличается от production.