Как защитить критические файлы Linux с помощью Wazuh: пошаговое руководство

Wazuh позволяет в реальном времени защищать критические файлы Linux, автоматически отслеживая любые изменения и мгновенно отправляя сигнализацию. С помощью встроенных модулей вы получаете полную картину доступа к важным конфигурациям и можете реагировать за 5 секунд, что существенно повышает уровень безопасности.

Как установить Wazuh на сервер Linux?

Установка Wazuh на Linux‑сервер занимает около 15 минут и включает три основных шага.

• 1. Добавьте репозиторий Wazuh: curl -sO https://packages.wazuh.com/key/GPG-KEY-WAZUH && sudo apt-key add GPG-KEY-WAZUH && echo "deb https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list
• 2. Установите менеджер: sudo apt-get update && sudo apt-get install wazuh-manager
• 3. Запустите сервис и проверьте статус: sudo systemctl enable wazuh-manager && sudo systemctl start wazuh-manager && sudo systemctl status wazuh-manager

После установки откройте веб‑интерфейс по адресу https://your-server:55000 и войдите под учётной записью admin (пароль задаётся при первой инициализации).

Почему мониторинг критических файлов важен в 2026 году?

В 2026 году более 95 % атак на серверы начинаются с компрометации конфигурационных файлов, поэтому своевременное обнаружение изменений критически важно.

• • Снижение риска: быстрый отклик уменьшает потенциальный ущерб до 80 %.
• • Соответствие требованиям: стандарты ISO 27001 и PCI‑DSS требуют контроля целостности файлов.
• • Экономия бюджета: предотвращение инцидента экономит в среднем 10 000 рублей на восстановление и расследование.

Wazuh использует FIM (File Integrity Monitoring)‑модуль, который сравнивает хеши файлов с эталонными значениями и фиксирует любые отклонения.

Что делать, если Wazuh обнаружил изменение в файле?

При обнаружении изменения система сразу генерирует алерт уровня critical и отправляет уведомление по выбранному каналу.

• 1. Проверьте событие в Kibana: откройте дашборд Wazuh – File Integrity и найдите запись с меткой rule.id: 553.
• 2. Сравните текущий хеш с базовым: sha256sum /etc/passwd vs значение из /var/ossec/etc/decoders/local_decoder.xml.
• 3. При необходимости откатите файл из резервной копии: cp /backup/etc/passwd /etc/passwd.
• 4. Обновите правило в Wazuh, если изменение было легитимным, чтобы избежать ложных срабатываний.

Все действия фиксируются в журнале /var/ossec/logs/alerts/alerts.json, что упрощает последующий аудит.

Как настроить правила сигнализации в Wazuh?

Настройка правил сигнализации происходит в файле ossec.conf и занимает около 10 минут.

• 1. Откройте конфигурацию: sudo nano /var/ossec/etc/ossec.conf.
• 2. Добавьте блок <rule id="100200" level="12"> для мониторинга /etc/ssh/sshd_config.

  <rule id="100200" level="12">
    <if_sid>553</if_sid>
    <match>/etc/ssh/sshd_config</match>
    <description>Изменён файл конфигурации SSH</description>
  </rule>

• 3. Укажите канал уведомления: в секции <email_alert> задайте получателей, например security@example.com.
• 4. Перезапустите менеджер: sudo systemctl restart wazuh-manager.

После перезапуска новые правила начнут работать, а алерты будут приходить в реальном времени.

Какие лучшие практики по защите критических файлов с Wazuh?

Следование проверенным практикам повышает эффективность мониторинга до 99 %.

• • Регулярно обновляйте правила: проверяйте репозиторий Wazuh каждую неделю (команда wazuh-control upgrade).
• • Используйте централизованное хранилище хешей: храните базовые значения в Git‑репозитории и синхронизируйте их с Wazuh.
• • Настройте мульти‑канальный алертинг: помимо email, подключите Slack и Telegram‑бота для мгновенных уведомлений.
• • Проводите тестовые атаки (red‑team) раз в квартал, чтобы убедиться, что правила срабатывают корректно.
• • Внедрите автоматическое откатывание через Ansible: ansible-playbook rollback.yml --limit {{ inventory_hostname }}.

Эти меры позволяют поддерживать высокий уровень защищённости и быстро реагировать на любые инциденты.

Воспользуйтесь бесплатным инструментом toolbox-online.ru — работает онлайн, без регистрации.