Wazuh: Open-Source-Sicherheitsplattform und SIEM

• Tag 1: Einordnung, Aufbau und Grundkonzepte
• 1. Einführung in Wazuh
  
  • Kombination aus host-basierter Erkennung, Protokollverwaltung und SIEM-Funktionen
  • Überwachung von Systemen und Anwendungen in Echtzeit
  • Alarmierung und Integrationen, um Vorfälle früh zu erkennen
  
  
• 2. Vergleich mit ähnlichen Systemen
  
  • Wazuh und OSSEC: Abspaltung mit erweitertem Funktionsumfang gegenüber dem klassischen Ansatz
  • Wazuh gegenüber kommerziellen SIEM-Lösungen: offenes Modell gegenüber Lizenzkosten
  • Wazuh gegenüber anderen offenen Sicherheitsplattformen
  • Wann Wazuh die richtige Wahl ist und wann nicht
  
  
• 3. Plattformübersicht und Installation
  
  • Die Komponenten: Wazuh Server, Wazuh Indexer, Wazuh Dashboard und Agenten
  • Verwaltung über Dashboard, Agenten auf den Zielsystemen und die Schnittstelle
  • Systemanforderungen sowie Installation auf Linux, über Container oder in der Cloud
  • Schrittweiser Aufbau einer Pilotumgebung mit Agenten
  
  
• 4. Grundkonzepte und Datenhaltung
  
  • Protokollüberwachung, Dateiintegrität und Korrelationsregeln
  • Alarmverwaltung, Eskalationsstufen und Anbindung an Ticket- oder Benachrichtigungssysteme
  • Speicherung großer Protokollmengen im Indexer-Verbund
  • Anbindung externer Datenquellen wie Windows-Ereignisse, Syslog und Cloud-Protokolle
  
  
• Praxis-Übung 1: Eine Pilotumgebung wird aufgesetzt, zwei Agenten angebunden und die ersten Alarme im Dashboard ausgewertet; anschließend wird eine Dateiüberwachung eingerichtet und eine Änderung nachvollzogen.
• Tag 2: Einsatzfelder, Verantwortung und Ausblick
• 5. Wazuh in verschiedenen Anwendungsfeldern
  
  • Server und Arbeitsplätze: Dateiintegrität, Überwachung kritischer Konfigurationen, Frühwarnungen
  • Cloud- und Containerumgebungen: Agenten in Kubernetes, Anbindung der großen Anbieter
  • Auslieferungsketten: Schwachstellen in Bauvorgängen erkennen, Meldungen an Entwicklungsteams
  • Typische Einsatzbereiche in Behörden, Finanzwesen, Gesundheitswesen und Bildung
  
  
• 6. Sicherheit, Datenschutz und Verantwortung
  
  • Datenschutzanforderungen, wenn personenbezogene Daten in Protokollen auftauchen
  • Gesicherte Verbindung zwischen Agent und Server, abgesicherte Schnittstelle
  • Rollen- und Rechteverwaltung im Dashboard sowie Nachvollziehbarkeit von Änderungen
  • Wo die Grenze zur Leistungs- und Verhaltenskontrolle verläuft und was das für die Mitbestimmung bedeutet
  
  
• 7. Betriebspraxis und Ausblick
  
  • Erfahrungswerte zu Agentenverteilung, Protokollqualität und Alarmabstimmung
  • Anomalieerkennung über das Maschinenlernmodul des Indexers als Ergänzung zu Regeln
  • Abfrage der Plattform über die Schnittstelle, auch durch Assistenzwerkzeuge
  • Ausblick auf die kommende Hauptversion mit neuem Kommunikationsprotokoll und neuem Indexer
  
  
• Praxis-Übung 2: Für ein vorgegebenes Unternehmensszenario wird entschieden, welche Systeme überwacht werden, welche Protokollquellen angebunden werden und welche Alarme eskalieren - das Ergebnis wird als kurzes Einführungskonzept festgehalten.
  
  
  
  

• IT-Sicherheitsfachkräfte, die eine offene SIEM-Lösung einführen oder bewerten
• Systemadministration und Betriebsteams mit Überwachungsverantwortung
• DevOps-Teams, die Sicherheitsüberwachung in ihre Umgebungen aufnehmen
• Technische Entscheider, die Wazuh gegen kommerzielle Lösungen abwägen

Voraussetzungen: Grundkenntnisse zu Linux-Servern, Protokollverwaltung und den gängigen Netzwerkprotokollen. Vorkenntnisse zu Wazuh oder anderen SIEM-Lösungen werden nicht vorausgesetzt.