Налаштування OSSEC та Wazuh HIDS для виявлення вторгнень на хості

Налаштування OSSEC та Wazuh HIDS для виявлення вторгнень на хості

На одному з проєктів зловмисник через SQL-ін'єкцію у веб-додатку отримав доступ до хосту та модифікував /usr/bin/ssh. Мережеві захисні системи мовчали, оскільки трафік залишався легітимним. Тільки HIDS у режимі реального часу зафіксував зміну хешу та миттєво сповістив інженера. Host-based Intrusion Detection System — це останній рубіж, який здатний помітити аномалії на рівні операційної системи, недоступні для NIDS. Ми налаштовуємо OSSEC та його форк Wazuh для клієнтів із фінтеху та ритейлу. За 5+ років розгорнули HIDS на понад 5000 хостів — знаємо типові граблі та як їх швидко обійти. Wazuh — безкоштовний, що економить бюджет на ліцензіях порівняно з комерційними аналогами, такими як CrowdStrike.

Чому HIDS, а не тільки NIDS?

NIDS ловить аномалії в трафіку, але безсилий, коли атакуючий уже проник всередину. Наприклад, швидкий руткіт (підміна ls) не створює мережевих пакетів, але HIDS виявить розбіжність у хеші файлу. File Integrity Monitoring (FIM) — одна з ключових функцій: baseline + перевірка кожні 2 години (налаштовується в frequency). Для критичних директорій (/etc, /usr/bin, /var/www) вмикаємо realtime="yes" — inotify миттєво генерує подію при зміні. В алерті — diff зміненого файлу, одразу видно, що саме змінили. При грамотному налаштуванні FIM вдається знизити кількість хибних спрацьовувань до 1-2% за рахунок виключення тимчасових файлів та каталогів із частими змінами. Ми використовуємо білі списки та регулярні вирази для фільтрації.

Як працює детекція руткітів?

OSSEC перевіряє ознаки прихованих процесів: різниця між виводом /bin/ps та читанням /proc, приховані файли в /dev, підозрілі модулі ядра. База відомих руткітів — rootkit_files.txt, плюс перевірка за списками цілісності троянів. Конфігурація rootcheck (за замовчуванням достатньо):

<rootcheck>
  <frequency>36000</frequency>
  <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
  <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
</rootcheck>

Для compliance (PCI DSS, SOX) додаємо перевірки CIS — system_audit_cis_rcl.txt. В одному з проєктів rootcheck виявив руткіт, що маскувався під драйвер звукової карти — це дозволило запобігти витоку даних клієнтів.

Як налаштувати rootcheck для максимальної ефективності?

Для досягнення найкращих результатів ми обираємо директорії для перевірки цілісності (всі системні бінарники, бібліотеки, конфіги), налаштовуємо частоту: для критичних файлів — realtime, для інших — 2-4 години. Потім інтегруємо з SIEM: всі алерти надсилаються в Elasticsearch або Splunk для централізованого аналізу. Регулярно оновлюємо бази rootkit та правила виявлення — використовуємо автоматичні оновлення від Wazuh. Проводимо пентести для верифікації детекту. Наші інженери допоможуть вам налаштувати rootcheck з урахуванням специфіки вашої інфраструктури.

Як налаштувати активне реагування на інциденти?

Одна справа — задетектувати, інша — автоматично відреагувати. Active response пов'язує правило з дією: блокування IP через host-deny, зупинка процесу, виконання скрипта. Приклад: brute force на SSH — правило 5720 (8 помилок пароля) → додавання IP у /etc/hosts.deny на годину. Блокування IP дозволяє запобігти шкоді від атаки, яка може вимірюватися мільйонами.

<active-response>
  <command>host-deny</command>
  <location>local</location>
  <rules_id>5720</rules_id>
  <timeout>3600</timeout>
</active-response>

Агент виконує команду локально — не чекає відповіді сервера. Час блокування налаштовується, можна замінити на firewall rule (iptables). Для великих інфраструктур використовуємо автоматичне блокування на фаєрволі через API.

Чому варто обрати Wazuh замість оригінального OSSEC?

Для нових проєктів обираємо Wazuh — він швидше обробляє події (в 3 рази порівняно з оригіналом) і дає готову панель моніторингу. Wazuh також підтримує контейнери та Kubernetes, що критично для сучасних DevOps-практик. Wazuh — безкоштовний, що економить бюджет на ліцензіях порівняно з комерційними HIDS, вартість яких може сягати сотень тисяч гривень на рік.

Які типові помилки допускають при налаштуванні HIDS?

• Занадто часте сканування всіх директорій — створює навантаження та багато хибних спрацьовувань. Налаштуйте realtime тільки для /etc, /usr/bin та веб-кореня.
• Ігнорування білих списків: тимчасові файли логів та кешу мають бути виключені.
• Відсутність тестування active response: блокування власної IP може паралізувати роботу.
• Не оновлюються бази rootkit — пропускаються нові загрози.

Що входить у налаштування HIDS під ключ?

• Аудит поточної інфраструктури: які хости, які ОС, навантаження.
• Вибір форку та архітектури (сервер / агенти / централізований збір).
• Встановлення та конфігурація: FIM, rootcheck, Log analysis, active response.
• Інтеграція з вашим SIEM (ELK, Splunk, CloudWatch).
• Документація щодо правил та процедур реагування.
• Навчання команди (2 години) та гарантія коректного налаштування (7 днів тесту).

Ми сертифіковані на Wazuh та OSSEC — інженери з досвідом 5+ років. Підтримуємо як невеликі кластери (10 хостів), так і великі (2000+).

Зв'яжіться з нами для аудиту вашої інфраструктури — підберемо оптимальну HIDS та налаштуємо з урахуванням ваших compliance-вимог. Замовте налаштування OSSEC під ключ: ми гарантуємо, що система буде ловити інциденти, а не генерувати флуд хибних спрацьовувань. Отримайте консультацію інженера вже сьогодні.