Wazuh

Supported OS Linux Windows Mac OS

インテグレーションバージョン1.0.0

To find out if this integration is available in your organization, see your Datadog Integrations page or ask your organization administrator.

To initiate an exception request to enable this integration for your organization, email [email protected].

Wazuh - Cloud Security
Wazuh - File Integrity Monitoring
Wazuh - Malware Detection
Wazuh - MITRE ATT&CK
Wazuh - Overview
Wazuh - Security Operations
Wazuh - System
Wazuh - Vulnerability Detection

概要

Wazuh は、複数の IT インフラストラクチャ レイヤーにわたる脅威を検出・分析し、対応する包括的なセキュリティ ソリューションを提供します。Wazuh は、エンドポイント、ネットワーク デバイス、クラウド ワークロード、サード パーティ API、その他のソースからテレメトリを収集し、統合されたセキュリティ監視と保護を実現します。

このインテグレーションは、次の種類のログを解析します:

  • vulnerability-detector : Wazuh によって生成される脆弱性イベント。
  • malware-detector : システム内のマルウェアを検出するために Wazuh によって生成される Rootcheck イベント。
  • file-integrity-monitoring : 権限、コンテンツ、所有権、属性などのファイル変更に関連するイベント。
  • docker : docker コンテナのアクティビティ イベント。
  • github : GitHub 組織の監査ログ由来のイベント。
  • google-cloud : Google Cloud Platform サービスに関連するセキュリティ イベント。
  • amazon : Amazon AWS サービスからのセキュリティ イベント。
  • office365 : Office 365 に関連するセキュリティ イベント。
  • system : FTPD、PAM、SSHD、syslog、Windows、dpkg、yum、sudo、su、wazuh、ossec などのサービスからのイベントおよび内部イベント。

これらのログを、すぐに利用できるダッシュボードで詳細に可視化できます。

セットアップ

インストール

Wazuh インテグレーションをインストールするには、次の Agent インストール コマンドを実行し、以降の手順に従ってください。詳細は インテグレーション 管理 ドキュメントを参照してください。

注: このステップは Agent のバージョンが 7.58.0 以上の場合は不要です。

Linux コマンド

sudo -u dd-agent -- datadog-agent integration install datadog-wazuh==1.0.0

設定

ログの収集

  1. Datadog Agent で、ログの収集はデフォルトで無効になっています。datadog.yaml で有効にします。

    logs_enabled: true

  2. ログ収集を開始するには、この構成ブロックを wazuh.d/conf.yaml ファイルに追加します。

    Wazuh アラート データの収集には UDP メソッドを使用します。 利用可能な構成オプションは、サンプルの wazuh.d/conf.yaml を参照してください。

      logs:
  - type: udp
    port: <PORT>
    source: wazuh
    service: wazuh

    注: パイプラインの動作に不可欠なため、service と sourceの値は変更しないことを推奨します。

  3. Agent を再起動します。

Wazuh からの syslog メッセージ転送を構成する

  1. Wazuh UI にログインします。左側の Menu に移動します。

  2. Server management > Settings に移動します。

  3. Edit configuration をクリックします。

  4. 次の構成ブロックを追加します:

    この例では、すべてのアラートがポート 8080 の 1.1.1.1 に JSON 形式で送信されます。

      <syslog_output>
    <server>1.1.1.1</server>
    <port>8080</port>
    <format>json</format>
  </syslog_output>

    • server タグには Datadog Agent が稼働しているホストの IP アドレスを指定してください。

    • port タグには、Datadog Agent が待ち受けているポート番号を設定します。

    注: JSON 形式の使用は必須です。Wazuh パイプラインは JSON 形式のログのみを解析します。

  5. Save ボタンをクリックします。

  6. 保存後、Restart Manager ボタンをクリックします。

検証

Agent の status サブコマンドを実行 し、Checks セクションで wazuh を探します。

収集データ

ログ

形式イベントタイプ
JSONvulnerability-detector、file-integrity-monitoring、malware-detector、github、docker、amazon、office365、google-cloud、system など

メトリクス

Wazuh インテグレーションにはメトリクスは含まれません。

イベント

Wazuh インテグレーションにはイベントは含まれません。

サービスチェック

Wazuh インテグレーションにはサービス チェックは含まれません。

トラブルシューティング

ポートバインド時に Permission denied エラーが発生する場合:

Agent のログにポートバインド時の Permission denied エラーが表示される場合。

  1. 1024 未満のポートにバインドするには高い権限が必要です。setcap コマンドを使用してポートへのアクセスを許可してください。

    sudo setcap CAP_NET_BIND_SERVICE=+ep /opt/datadog-agent/bin/agent/agent

  2. getcap コマンドを実行し、設定を確認します。

    sudo getcap /opt/datadog-agent/bin/agent/agent

    正しければ、次のように出力されます。

    /opt/datadog-agent/bin/agent/agent = cap_net_bind_service+ep

    注: Agent をアップグレードするたびに、この setcap コマンドを再実行する必要があります。

  3. Agent を再起動します。

想定される問題のトラブルシューティング方法は次のとおりです。

データが収集されない場合:

ファイアウォールが有効な場合は、設定したポートへのトラフィックをファイアウォール ルールで許可してください。

すでに使用されているポートの場合:

Port <PORT_NUMBER> Already in Use エラーが発生したら、以下の手順を参照してください。次の例はポート 514 を想定しています。

  • Syslog を使用しているシステムで、Agent がポート 514 で Wazuh ログをリッスンしている場合、Agent ログに次のエラーが表示されることがあります: Can't start UDP forwarder on port 514: listen udp :514: bind: address already in use。このエラーは、デフォルトで Syslog がポート 514 をリッスンしているために発生します。解決するには、次の いずれか 1 つ の手順を実行してください:
    • Syslog を無効にする。
    • Agent を他の利用可能なポートで待ち受けるよう設定する。

さらに支援が必要な場合は、Datadog サポート にお問い合わせください。