Agente Wazuh
L'agente Wazuh è multipiattaforma e viene eseguito sugli host che l'utente desidera monitorare. Comunica con il gestore Wazuh, inviando dati quasi in tempo reale attraverso un canale crittografato e autenticato.
L'agente è stato sviluppato considerando la necessità di monitorare un'ampia varietà di endpoint diversi senza influire sulle loro prestazioni. Pertanto, è supportato sui sistemi operativi più diffusi e richiede solo circa 0,1 GB di RAM
Distribuzione di agenti Wazuh su sistemi Linux
Quindi, l'agente viene eseguito sull'host che desideri monitorare e comunica con il gestore Wazuh, inviando dati quasi in tempo reale attraverso un canale crittografato e autenticato.
La distribuzione di un agente Wazuh su un sistema Linux utilizza variabili di distribuzione che facilitano l'attività di installazione, registrazione e configurazione dell'agente. In alternativa, se vuoi scaricare direttamente il pacchetto dell'agente Wazuh
Aggiungi il repository Wazuh
Aggiungi il repository Wazuh per scaricare i pacchetti ufficiali.
Importa la chiave GPG:
rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
Aggiungi il repository:
cat > /etc/yum.repos.d/wazuh.repo << EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-\$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF

Distribuisci un agente Wazuh
Per distribuire l'agente Wazuh sul tuo sistema, seleziona il tuo gestore di pacchetti e modifica il WAZUH_MANAGER
per contenere l'indirizzo IP o il nome host del gestore Wazuh.
WAZUH_MANAGER="10.0.0.2"
yum install wazuh-agent
Non dimenticare di aggiornare /etc/hosts su entrambi i server con IP e nome host del server e dell'agente
Abilita e avvia il servizio dell'agente Wazuh
systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent

Il processo di distribuzione è ora completo e l'agente Wazuh viene eseguito correttamente sul tuo sistema Linux.
Azione consigliata – Disattiva gli aggiornamenti Wazuh
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo
Disinstalla un agente Wazuh
Per disinstallare l'agente, seleziona il tuo gestore di pacchetti ed esegui il comando seguente.
yum remove wazuh-agent
Alcuni file contrassegnati come file di configurazione. A causa di questa designazione, il gestore pacchetti non rimuove questi file dal filesystem. Se desideri rimuovere completamente tutti i file, elimina /var/ossec
cartella.
Verifica connessione con Manager
Prima di controllare la connessione dell'agente con il gestore, assicurati innanzitutto che l'agente punti all'indirizzo IP del gestore. Questo è impostato in ossec.conf
utilizzando il <client>
tag XML. Per ulteriori informazioni su questo
<ossec_config>
<client>
<server>
<address>10.0.0.10</address>
<protocol>tcp</protocol>
</server>
</client>
</ossec_config>
Questo imposterà 10.0.0.10 come server Wazuh. Fatto ciò, dovrai riavviare l'Agente:
systemctl restart wazuh-agent
Dopo aver registrato l'agente e averlo connesso con successo, puoi vedere un elenco di agenti che sono_ collegati al gestore con
/var/ossec/bin/agent_control -lc
Puoi anche verificare se un agente si è connesso correttamente verificando se è stata stabilita la connessione TCP al gestore:
netstat -vatunp|grep wazuh-agentd

Oppure
Verifica che l'agente si sia connesso correttamente:
# grep ^status /var/ossec/var/run/wazuh-agentd.state

Il risultato deve corrispondere agli indirizzi IP dell'agente e del gestore.

