在 Windows Server 中安装 Wazuh Server

编程问答 2022-06-01

问题描述

我们确实有一台服务器 [Windows Server 2016]，我想通过安装 Wazuh 工具来监控该服务器。

我看到了文档，但我仍然感到困惑。我是否需要安装，

Wazuh Server
Wazuh Agent
Kibana

在服务器中。？我没有看到任何关于在 Windows 机器上安装 Wazuh 服务器的文章。

跟进 wazuh 文档后，我可以达到一定的限制。

  1. 在 Windows Server 中安装了 Virtual Box。
  2. 下载 Wazuh OVA 文件并将其导入到虚拟盒中。
  3. 现在我可以使用默认凭据连接到 Wazuh 服务器。

现在我停留在一个地方。我需要获取IP。我尝试使用“Ip addr”命令。但是，它仍然显示 127.0.0.1/8

据我检查，它正在创建一些动态 IP。有没有办法设置静态IP。这样，我就可以访问 Wazuh Web 控制台 通过该 IP。

我的一些发现：

VM 的 eth0 网络接口似乎没有分配 IPv4 地址。

在运行“ip addr”时文档中的视频中，它显示了动态 IPv4 地址和 IPv6 地址，因此我怀疑这就是您无法访问 Web 控制台的原因。这可能是由您在虚拟机中为 VM 创建的网络接口类型引起的。

-------- 已编辑----------

根据您的指导，我做了以下事情。

Wazuh 服务器：

  1. Virtual Box -> Adapter 1 -> Bridged Adapter
  2. Virtual Box -> Adapter 2 -> Host-only Adapter
  3. 启动 Virtual Box 并检查“Ip addr”命令。得到以下 IP，eth0 [192.168..] 和 eth1 [10.0..]
  4. 在浏览器中，我尝试了 https://192.168.. 并且我可以登录到 kibana。

Wazuh 代理：

我要监控的服务器，我安装了 Wazuh Agent。在Wazuh Config文件中，我需要指定

在这里我有点困惑。我是否需要提供实际的服务器 IP [wazuh 服务器所在的位置] 或者我需要指定我在“Ip Addr”命令中获得的 IP。？

我已经尝试了所有的 IP。当我检查日志时，它显示为，

start_agent.c:100 at connect_server(): ERROR: (1216): Unable to connect to 'xx.xx.xx.xxx': 'Bad file descriptor'。

解决方法

我建议您阅读 the Architecture guide 以更好地了解 Wazuh 的工作原理。它的架构是基于代理的，这意味着你需要在你想要监控的那些端点（例如你的 Windows 服务器）上安装 Wazuh 代理，然后将这些代理连接到 Wazuh Manager 服务器（需要安装在 Linux机器，所以你需要另一台服务器）。

Kibana/Splunk 是可选且有用的工具，用于索引管理器生成的数据以实现更好的可视化。我建议使用 Kibana 和 Elasticsearch Stack。

对于 Linux Wazuh Manager 服务器，我建议尝试使用 all in one deployment，或者，如果您连接的代理很少并且不想从头部署任何实例，您可以尝试使用 pre-built Virtual Machine appliance (OVA)

希望对你有帮助。开始使用 Wazuh 的最佳点是 Getting started 指南。我建议您首先阅读该内容。

------------------------ 编辑-------------------->

你好

如果我不够清楚，我很抱歉。 Wazuh 有两个主要组件：Manager（文档中的服务器）和 Agent。

管理器也被称为服务器，因为它服务于 Wazuh 服务本身。这意味着 Wazuh 分析安全事件并生成警报的部分。

但 Wazuh 代理（尽管它的名字）也安装在您要监控的服务器上，它用于将安全事件发送到 Wazuh 管理器（服务器）以便对其进行分析。

也就是说，如果您想正确监控 Windows 服务器，您需要在其上安装 Wazuh Windows 代理，因为它旨在监控 Windows 服务器。并且您需要将此代理连接到 Wazuh 服务器。在这里，您有不同的选择：

  • 您可以在另一台 (Linux) 服务器上安装 Wazuh Manager。
  • 您可以在 Windows 服务器上安装 docker 和 docker-compose，并使用 wazuh-docker GitHub 存储库部署 Wazuh 管理器堆栈（使用 Wazuh、Elasticsearch 和 Kibana）以将您、代理连接到。
  • 您可以在 Virtualbox 或类似软件上安装 Wazuh OVA（VM 设备）（此虚拟机默认安装了 Wazuh Manager、Elasticsearch 和 Kibana）。

我看到您正在尝试第四个，在 Virtualbox 上部署 Wazuh OVA。不过，请记住，您还必须安装 Windows 代理并将其连接到 Wazuh 管理器。

关于 IP 问题。我的建议是输入机器的 VirtualBox 配置并设置两个网络接口（或适配器）。一个仅主机适配器（它将具有一个静态 IP，您可以使用它从本地浏览器连接）和另一个带有桥接适配器（连接到互联网）。然后，我建议使用 nmtui（网络管理器的控制台用户界面）来设置您的静态 IP，如附加的捕获。应该够了。

enter image description here

kibanawazuh