Как обнаруживать угрозы в инфраструктуре, где сотни рабочих станций и серверов работают на разных операционных системах? Мы внедрили SIEM Wazuh, чтобы централизованно собирать события безопасности, выявлять подозрительную активность и быстрее реагировать на инциденты. В статье рассказываем, как выбрали решение, настроили мониторинг для разнородной инфраструктуры и проверили работу системы на реальных сценариях атак.
Предпосылки внедрения
В любой IT-инфраструктуре каждый день происходят сотни и тысячи событий: сотрудники входят в рабочие аккаунты, серверы обрабатывают запросы, программы меняют файлы. Иногда за обычными на первый взгляд действиями скрываются попытки взлома или кражи данных. Чтобы вовремя их заметить, нужно собирать информацию со всех устройств и анализировать ее в одном месте.
Для этого используют SIEM (Security Information and Event Management) — систему мониторинга информационной безопасности. Она собирает журналы событий (логи) с компьютеров и серверов, анализирует их и помогает выявлять подозрительную активность. Например, SIEM может обнаружить множество неудачных попыток входа в аккаунт или заметить изменения важных системных файлов. Это помогает специалистам быстрее находить угрозы и разбираться в причинах инцидентов.
При выборе системы мы рассматривали как коммерческие продукты, так и решения с открытым исходным кодом (open-source), которые можно использовать без покупки лицензии. Нам было важно, чтобы система поддерживала разные операционные системы, справлялась с нагрузкой, могла расти вместе с инфраструктурой и не требовала чрезмерных затрат на внедрение и обслуживание.
В итоге мы остановились на Wazuh — open-source-платформе для мониторинга безопасности. Она позволяет собирать и анализировать события с компьютеров и серверов, отслеживать известные уязвимости и контролировать изменения важных файлов.
При этом Wazuh требует адаптации под конкретную инфраструктуру и не готов к полноценной работе сразу после установки. Необходимо настроить систему, проверить, насколько точно она выявляет угрозы, и отфильтровать лишние оповещения. Иначе специалисты будут тратить время на обработку безобидных событий и могут пропустить действительно опасные инциденты.
Поэтому значительная часть нашей работы была связана не столько с установкой Wazuh, сколько с его настройкой, тестированием и проверкой качества обнаружения угроз.
Масштаб задачи
Наша инфраструктура устроена по гибридной модели: часть оборудования находится в офисе и на собственных площадках, а часть ресурсов размещена в облаке. Поэтому систему мониторинга нужно было настроить так, чтобы она собирала события безопасности из разных сред и показывала их в одном месте.
На старте проекта под мониторинг требовалось подключить:
- сотни рабочих станций под управлением Windows, macOS и Linux;
- десятки физических серверов – отдельных компьютеров, на которых работают корпоративные сервисы;
- сотни виртуальных машин – программных серверов, которые работают на физическом оборудовании, но функционируют как отдельные компьютеры.
В сумме порядка 500 устройств и виртуальных машин.
Сложность была не только в количестве. У каждой операционной системы свой формат журналов событий, свои настройки безопасности и особенности сбора данных. При этом нужно было учитывать и различия между локальными ресурсами и облачной инфраструктурой.
Поэтому подключить все устройства к Wazuh по одной инструкции не получилось бы. Требовалось настроить сбор событий для разных систем, проверить корректность работы программных компонентов, которые передают данные в Wazuh, и убедиться, что мониторинг не мешает работе пользователей и сервисов.
Как проходило внедрение
Над проектом работали инфраструктурные инженеры и специалисты по информационной безопасности.
Самой трудоемкой частью стала настройка операционных систем по стандартам безопасности. Это наборы рекомендаций, которые помогают защитить операционные системы от типичных угроз. Мы использовали стандарты CIS Benchmarks, baseline политики от Microsoft и завершали настройку встроенными в Wazuh политиками SCA (System Configuration Assessment).
Мы работали с разными версиями Windows, macOS и Red Hat Enterprise Linux, поэтому для каждой системы требовался свой подход к распространению агентов и настройке.
Каждую рекомендацию нужно было проверить, применить и протестировать. Важно было не только повысить уровень безопасности, но и сохранить работоспособность приложений и сервисов. Слишком строгие настройки могли нарушить привычные рабочие процессы, поэтому мы проверяли, как изменения влияют на работу систем.
После этого мы перешли к тестированию Wazuh. Имитировали разные сценарии атак: от перебора паролей (brute force) до Golden Ticket – атаки, при которой злоумышленник подделывает билет аутентификации Kerberos, чтобы получить доступ к ресурсам домена.
Для каждого сценария проверяли, обнаруживает ли Wazuh подозрительную активность и какие оповещения создает. По результатам тестов настраивали правила обнаружения и добавляли свои правила и исключения, чтобы сократить количество ложных срабатываний и не пропускать реальные угрозы.
Результаты внедрения
Внедрение Wazuh позволило вывести мониторинг безопасности на новый уровень. Теперь события с рабочих станций и серверов собираются в одном месте. Это помогает команде видеть общую картину происходящего в инфраструктуре, быстрее находить подозрительную активность и разбирать события, которые требуют внимания.
При этом внедрение SIEM — не разовый проект, который можно завершить после установки и настройки системы. Инфраструктура меняется, появляются новые сценарии атак, поэтому мы продолжаем проверять правила, уточнять исключения и адаптировать настройки Wazuh к новым условиям.
- Переработали политики SCA. Это набор проверок, который помогает находить потенциально уязвимые места в конфигурациях операционных систем. Мы адаптировали эти проверки под нашу инфраструктуру и исправили обнаруженные ошибки. Изначальная конфигурация этого модуля в 40% проверок работала неправильно.
- Сделали GPO для Windows и плейбуки Ansible для Linux, которые помогают массово устранять уязвимости, найденные модулем SCA.
- Добавили правила для интеграции с Kaspersky Security Center. Настроили обмен данными с нашим сервером управления защитными решениями «Лаборатории Касперского», чтобы Wazuh мог учитывать события безопасности из него и использовать их при мониторинге.
- Настроили обнаружение подключений с использованием Windows Remote Management. Добавили правила, которые помогают отслеживать удалённое управление компьютерами и серверами. Это позволяет замечать такие подключения и проверять, насколько они соответствуют обычной работе администраторов.
- Настроили исключения для легитимного ПО. Добавили в систему программы и процессы, которые используются в работе и не представляют угрозы. Благодаря этому Wazuh реже выдаёт ложные оповещения и не отвлекает специалистов на безопасные действия.
- Проверили обнаружение атак на практике. Воспроизвели несколько сценариев атак в контролируемых условиях и посмотрели, какие из них Wazuh смог обнаружить. Это помогло оценить, насколько хорошо работают настроенные правила, и найти места, которые требуют доработки.
- Подготовили несколько способов установки агентов Wazuh. Агенты собирают логи и конфигурацию с компьютеров и серверов и передают её в систему мониторинга. Мы подготовили три способа их массового развёртывания: Ansible, групповые политики Windows (GPO) и Kaspersky Security Center (KSC). Это позволяет выбирать удобный способ в зависимости от типа устройств и особенностей инфраструктуры.
Так система остаётся актуальным инструментом мониторинга: обнаруживает подозрительную активность, не перегружает команду лишними оповещениями и помогает своевременно реагировать на изменения в инфраструктуре и новые угрозы.
