Wazuh: 실제 팀이 실행하는 오픈 소스 SIEM

핵심 내용

• 아키텍처는 에이전트 관리자 인덱서 대시보드입니다. 크로스 플랫폼 에이전트(Windows, Linux, macOS)는 로그를 수집하고 FIM(무결성 검사)을 실행하며 보안 기준 스캔을 실행합니다. 관리자는 상관 관계를 맺고 OpenSearch 기반 인덱서/대시보드는 검색 및 시각적 기능을 제공합니다. 올인원 설치를 통해 첫 번째 배포를 쉽게 수행할 수 있습니다.
• 규칙 엔진은 확장 가능합니다. 수천 개의 내장 기능(SSH fuzz, sudo 남용, 웹 셸 패턴)을 넘어서는 디코더 + 규칙 XML, 자신의 앱 로그에 대한 사용자 정의 규칙 및 타당성 검사(관심 있는 이벤트 필드를 참조하는 사용자 정의 규칙, 프로덕션 전에 테스트에서 모든 사용자 정의 규칙을 감사).
• 규정 준수 모듈은 감사자가 웃게 만드는 이유입니다. 내장된 SCA(보안 구성 평가)는 에이전트에서 직접 CIS 벤치마크를 스캔합니다(Linux-보안 감사 기사와 관련). 설치된 소프트웨어와 CVE 데이터의 상관 관계를 분석하는 취약점 감지, 프로젝트에서 구성까지 증거 수집을 전환하는 즉시 사용 가능한 PCI/GDPR/HIPAA/ISO 대시보드.
• 능동 응답은 선택적 날카로운 장점입니다. Wazuh는 경고 시 스크립트 응답(IP 차단, 에이전트 격리, 프로세스 종료)을 트리거할 수 있으며 강력하고 부주의한 자동화는 자체 중단을 생성하므로 대부분의 자산에서는 활성 응답을 신뢰도가 높은 창에서 좁은 범위의 검토된 작업으로 제한합니다.
• 현실 확장: 하나의 관리자에 수천 명의 에이전트가 있고, 더 큰 자산 샤드를 사용하거나 클러스터 모드를 사용하며, 인덱서(OpenSearch)는 일반적인 리소스 호그입니다. CPU/RAM 크기 조정 및 인덱스 수명 주기 관리(보존 기간)는 설계에 포함됩니다. 6개월 간의 엔드포인트 로그는 나중에 고려하는 것이 아니라 스토리지 이야기이기 때문입니다.
• 다른 보안 도구와 비교하여 Suricata는 네트워크 회선을 다루고, Wazuh는 엔드포인트 및 규정 준수 보고를 다루고, Falco는 컨테이너 런타임 감지(우리 기사)를 추가하고, Trivy/OpenVAS는 취약성 검색을 처리합니다. Wazuh는 예산에 맞춰 SOC를 구축하는 소규모 팀에 가장 먼저 권장되는 우산 레이어입니다.

현장 노트

프로덕션이 된 준비 전용 Wazuh 피치: FIM 트립와이어는 전혀 손상되지 않고 손상 후 40분 후에 잊혀진 WordPress 사이트에 떨어진 웹쉘을 포착했습니다. 클라이언트는 그 주에 전체 제품군 출시를 승인했습니다. 감지 도구는 실제 무언가를 처음 포착할 때 자동으로 판매됩니다.

자주 묻는 질문