Wazuh: Open-Source-Sicherheitsplattform und SIEM

• Tag 1: Einordnung, Aufbau und Grundkonzepte
• 1. Einführung in Wazuh
  
  • Kombination aus host-basierter Erkennung, Protokollverwaltung und SIEM-Funktionen
  • Überwachung von Systemen und Anwendungen in Echtzeit
  • Alarmierung und Integrationen, um Vorfälle früh zu erkennen
  
  
• 2. Vergleich mit ähnlichen Systemen
  
  • Wazuh und OSSEC: Abspaltung mit erweitertem Funktionsumfang gegenüber dem klassischen Ansatz
  • Wazuh gegenüber kommerziellen SIEM-Lösungen: offenes Modell gegenüber Lizenzkosten
  • Wazuh gegenüber anderen offenen Sicherheitsplattformen
  • Wann Wazuh die richtige Wahl ist und wann nicht
  
  
• 3. Plattformübersicht und Installation
  
  • Die Komponenten: Wazuh Server, Wazuh Indexer, Wazuh Dashboard und Agenten
  • Verwaltung über Dashboard, Agenten auf den Zielsystemen und die Schnittstelle
  • Systemanforderungen sowie Installation auf Linux, über Container oder in der Cloud
  • Schrittweiser Aufbau einer Pilotumgebung mit Agenten
  
  
• 4. Grundkonzepte und Datenhaltung
  
  • Protokollüberwachung, Dateiintegrität und Korrelationsregeln
  • Alarmverwaltung, Eskalationsstufen und Anbindung an Ticket- oder Benachrichtigungssysteme
  • Speicherung großer Protokollmengen im Indexer-Verbund
  • Anbindung externer Datenquellen wie Windows-Ereignisse, Syslog und Cloud-Protokolle
  
  
• Praxis-Übung 1: Eine Pilotumgebung wird aufgesetzt, zwei Agenten angebunden und die ersten Alarme im Dashboard ausgewertet; anschließend wird eine Dateiüberwachung eingerichtet und eine Änderung nachvollzogen.
• Tag 2: Einsatzfelder, Verantwortung und Ausblick
• 5. Wazuh in verschiedenen Anwendungsfeldern
  
  • Server und Arbeitsplätze: Dateiintegrität, Überwachung kritischer Konfigurationen, Frühwarnungen
  • Cloud- und Containerumgebungen: Agenten in Kubernetes, Anbindung der großen Anbieter
  • Auslieferungsketten: Schwachstellen in Bauvorgängen erkennen, Meldungen an Entwicklungsteams
  • Typische Einsatzbereiche in Behörden, Finanzwesen, Gesundheitswesen und Bildung
  
  
• 6. Sicherheit, Datenschutz und Verantwortung
  
  • Datenschutzanforderungen, wenn personenbezogene Daten in Protokollen auftauchen
  • Gesicherte Verbindung zwischen Agent und Server, abgesicherte Schnittstelle
  • Rollen- und Rechteverwaltung im Dashboard sowie Nachvollziehbarkeit von Änderungen
  • Wo die Grenze zur Leistungs- und Verhaltenskontrolle verläuft und was das für die Mitbestimmung bedeutet
  
  
• 7. Betriebspraxis und Ausblick
  
  • Erfahrungswerte zu Agentenverteilung, Protokollqualität und Alarmabstimmung
  • Anomalieerkennung über das Maschinenlernmodul des Indexers als Ergänzung zu Regeln
  • Abfrage der Plattform über die Schnittstelle, auch durch Assistenzwerkzeuge
  • Ausblick auf die kommende Hauptversion mit neuem Kommunikationsprotokoll und neuem Indexer
  
  
• Praxis-Übung 2: Für ein vorgegebenes Unternehmensszenario wird entschieden, welche Systeme überwacht werden, welche Protokollquellen angebunden werden und welche Alarme eskalieren - das Ergebnis wird als kurzes Einführungskonzept festgehalten.
  
  
  
  

• IT-Sicherheitsfachkräfte, die eine offene SIEM-Lösung einführen oder bewerten
• Systemadministration und Betriebsteams mit Überwachungsverantwortung
• DevOps-Teams, die Sicherheitsüberwachung in ihre Umgebungen aufnehmen
• Technische Entscheider, die Wazuh gegen kommerzielle Lösungen abwägen

Voraussetzungen: Grundkenntnisse zu Linux-Servern, Protokollverwaltung und den gängigen Netzwerkprotokollen. Vorkenntnisse zu Wazuh oder anderen SIEM-Lösungen werden nicht vorausgesetzt.

Abgrenzung


Dieses Seminar ist der Einstieg: Es vermittelt Aufbau, Installation und Grundkonzepte und beantwortet die Frage, ob Wazuh für das eigene Haus die richtige Wahl ist. Der produktive Ausbau mit Detection Engineering, Datenaufnahme, Schnittstellen, Skalierung und Governance folgt in S6501, vertiefte Betriebsthemen in S6500. Host-basierte Erkennung ohne Wazuh behandelt S4930 (OSSEC), Netzwerküberwachung S4405 (Suricata) und S3819 (Snort), die Protokollseite S3931 (Graylog) sowie S2444 und S6822 (OpenSearch).