开源安全工具
Wazuh：实际团队运行的开源 SIEM
Wazuh 是基于 OSSEC 谱系构建的开源 SIEM/XDR 平台：收集日志和指标的端点上的代理、应用规则的管理器以及将其转变为工作 SOC 控制台的索引器和仪表板（基于 OpenSearch）。它提供 PCI/GDPR/HIPAA 合规性模块，并与现代检测堆栈集成，它是小团队实际完成部署的少数开源 SIEM 选项之一。
要点
- 架构是代理-管理器-索引器-仪表板：跨平台代理（Windows、Linux、macOS）收集日志、运行完整性检查（FIM）并执行安全基线扫描；管理器进行关联，基于 OpenSearch 的索引器/仪表板提供搜索和视觉效果；一体式安装使首次部署变得易于处理。
- 规则引擎是可扩展的：解码器 + 规则 XML 超出数千种内置功能（SSH 模糊、sudo 滥用、Web shell 模式）、您自己的应用程序日志的自定义规则以及合理性检查（引用您关心的事件字段的自定义规则；在生产之前审核测试中的每个自定义规则）。
- 合规性模块是审计员微笑的原因：内置 SCA（安全配置评估）直接扫描代理上的 CIS 基准（与我们的 linux 安全审计文章相关）、将 CVE 数据与已安装软件相关联的漏洞检测，以及开箱即用的 PCI/GDPR/HIPAA/ISO 仪表板，将证据收集从项目转变为配置。
- 主动响应是可选的锋利优势：Wazuh 可以在收到警报时触发脚本化响应（阻止 IP、隔离代理、终止进程），而强大但粗心的自动化会造成自己的中断，因此大多数资产将主动响应限制在高可信度窗口上的范围狭窄、经过审查的操作。
- 扩展现实：一个管理器上的代理数量达到数千个，较大的资产分片或使用集群模式，并且索引器（OpenSearch）是通常的资源消耗者； CPU/RAM 大小和索引生命周期管理（保留窗口）属于设计范围，因为六个月的端点日志是一个存储故事，而不是事后的想法。
- 它与我们其他安全工具的对比：Suricata 涵盖网络线路，Wazuh 涵盖端点和合规性报告，Falco 添加容器运行时检测（我们的文章），Trivy/OpenVAS 处理漏洞扫描； Wazuh 是最常首先推荐给按预算构建 SOC 的小团队的保护伞层。
一线手记
一个仅用于演示的 Wazuh 宣传已变成生产：FIM tripwire 在妥协后 40 分钟捕获到了一个被遗忘的 WordPress 网站上掉落的 Webshell，而不是从未捕获过。客户在那周批准了整个机队的部署。检测工具在第一次捕捉到真实的东西时就会自我推销。
常见问题
Wazuh 还是商业 SIEM？
对于中小型团队，Wazuh 的成本曲线和功能覆盖范围（FIM、SCA、漏洞检测、仪表板）往往承载着 SOC 工作负载；商业平台购买规模和支持关系，其中监管状况需要供应商问责。
是否可以在不安装代理的情况下提取日志？
是：系统日志、Windows 事件转发和 API 日志源也为管理器提供信息；代理为您提供更丰富的本地检查（FIM、库存、SCA），因此在代理无法发货的地方使用无代理来源。
什么是 FIM？它为何如此重要？
文件完整性监控：Wazuh 校验关键路径（二进制文件、配置）并发出更改警报；对于托管资产来说，这是捕获 webshell 丢失和扫描仪遗漏的未经授权的配置编辑的绊线。
我们如何保持警报音量正常？
像任何 IDS 一样调整规则：对噪声触发器进行逐条审查、每个环境的严重性评分、事件警报阈值以及每季度规则停用；未经调整的 SIEM 会导致分析师忽视它，这比没有 SIEM 更糟糕。
Kinetikatech 如何在开源安全工具方面为您提供帮助
这类问题我们已处理过数百次：测试工具箱专业人员实际上一直在加载：扫描仪、嗅探器、破解器和网络代理解释了它们在实际操作中的使用方式 - 命令、标志、输出以及每个工具在方法中的位置。通过渗透测试和Linux 服务器安全，您将获得完整闭环：我们评估、实施、全天候值守，并在关键时刻 30 分钟内响应。