Настройка OSSEC и Wazuh HIDS: обнаружение вторжений на хосте

Настройка OSSEC и Wazuh HIDS для обнаружения вторжений на хосте

На одном из проектов злоумышленник через SQL-инъекцию в веб-приложении получил доступ к хосту и модифицировал /usr/bin/ssh. Сетевые защитные системы молчали, так как трафик оставался легитимным. Только HIDS в режиме реального времени зафиксировал изменение хеша и мгновенно оповестил инженера. Host-based Intrusion Detection System — это последний рубеж, который способен заметить аномалии на уровне операционной системы, недоступные NIDS. Мынастраиваем OSSEC и его форк Wazuh для клиентов из финтеха и ритейла. За 5+ лет развернули HIDS на более чем 5000 хостов — знаем типовые грабли и как их быстро обойти. Wazuh — бесплатный, что экономит бюджет на лицензиях по сравнению с коммерческими аналогами, такими как CrowdStrike.

Почему HIDS, а не только NIDS?

NIDS ловит аномалии в трафике, но бессилен, когда атакующий уже проник внутрь. Например, быстрый руткит (подмена ls) не создаёт сетевых пакетов, но HIDS обнаружит расхождение в хеше файла. File Integrity Monitoring (FIM) — одна из ключевых функций: baseline + проверка каждые 2 часа (настраивается в frequency). Для критичных директорий (/etc, /usr/bin, /var/www) включаем realtime="yes" — inotify мгновенно генерирует событие при изменении. В алерте — diff изменённого файла, сразу видно что именно поменяли. При грамотной настройке FIM удаётся снизить количество ложных срабатываний до 1-2% за счёт исключения временных файлов и каталогов с частыми изменениями. Мы используем белые списки и регулярные выражения для фильтрации.

Как работает детекция руткитов?

OSSEC проверяет признаки скрытых процессов: разница между выводом /bin/ps и чтением /proc, скрытые файлы в /dev, подозрительные модули ядра. База известных руткитов — rootkit_files.txt, плюс проверка по спискам целостности троянов. Конфигурация rootcheck (по умолчанию достаточно):

<rootcheck>
  <frequency>36000</frequency>
  <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
  <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
</rootcheck>

Для compliance (PCI DSS, SOX) добавляем проверки CIS — system_audit_cis_rcl.txt. В одном из проектов rootcheck обнаружил руткит, маскирующийся под драйвер звуковой карты — это позволило предотвратить утечку данных клиентов.

Как настроить rootcheck для максимальной эффективности?

Для достижения наилучших результатов мы выбираем директории для проверки целостности (все системные бинарники, библиотеки, конфиги), настраиваем частоту: для критичных файлов — realtime, для остальных — 2-4 часа. Затем интегрируем с SIEM: все алерты отправляются в Elasticsearch или Splunk для централизованного анализа. Регулярно обновляем базы rootkit и правила обнаружения — используем автоматические обновления от Wazuh. Проводим пентесты для верификации детекта. Наши инженеры помогут вам настроить rootcheck с учётом специфики вашей инфраструктуры.

Как настроить активное реагирование на инциденты?

Одно дело — задетектировать, другое — автоматически отреагировать. Active response связывает правило с действием: блокировка IP через host-deny, остановка процесса, выполнение скрипта. Пример: brute force на SSH — правило 5720 (8 ошибок пароля) → добавление IP в /etc/hosts.deny на час. Блокировка IP позволяет предотвратить ущерб от атаки, который может измеряться миллионами.

<active-response>
  <command>host-deny</command>
  <location>local</location>
  <rules_id>5720</rules_id>
  <timeout>3600</timeout>
</active-response>

Агент выполняет команду локально — не ждёт ответа сервера. Время блокировки настраивается, можно заменить на firewall rule (iptables). Для крупных инфраструктур используем автоматическую блокировку на фаерволе через API.

Почему стоит выбрать Wazuh вместо оригинального OSSEC?

Для новых проектов выбираем Wazuh — он быстрее обрабатывает события (в 3 раза по сравнению с оригиналом) и даёт готовую панель мониторинга. Также Wazuh поддерживает контейнеры и Kubernetes, что критично для современных DevOps-практик. Wazuh — бесплатный, что экономит бюджет на лицензиях по сравнению с коммерческими HIDS, стоимость которых может достигать сотен тысяч долларов в год.

Какие типичные ошибки допускают при настройке HIDS?

• Слишком частое сканирование всех директорий — создаёт нагрузку и много ложных срабатываний. Настройте realtime только для /etc, /usr/bin и веб-корня.
• Игнорирование белых списков: временные файлы логов и кэша должны быть исключены.
• Отсутствие тестирования active response: блокировка собственного IP может парализовать работу.
• Не обновляются базы rootkit — пропускаются новые угрозы.

Что входит в настройку HIDS под ключ?

• Аудит текущей инфраструктуры: какие хосты, какие ОС, нагрузка.
• Выбор форка и архитектуры (сервер / агенты / централизованный сбор).
• Установка и конфигурация: FIM, rootcheck, Log analysis, active response.
• Интеграция с вашим SIEM (ELK, Splunk, CloudWatch).
• Документация по правилам и процедурам реагирования.
• Обучение команды (2 часа) и гарантия корректной настройки (7 дней теста).

Мы сертифицированы на Wazuh и OSSEC — инженеры с опытом 5+ лет. Поддерживаем как небольшие кластеры (10 хостов), так и крупные (2000+).

Свяжитесь с нами для аудита вашей инфраструктуры — подберём оптимальную HIDS и настроим с учётом ваших compliance-требований. Закажите настройку OSSEC под ключ: мы гарантируем, что система будет ловить инциденты, а не генерировать флуд ложных срабатываний. Получите консультацию инженера уже сегодня.