# Módulo 01

### <mark style="background-color:yellow;">Módulo 01: Wazuh: Visão Geral, Estrutura e Componentes</mark>

### <mark style="color:orange;">**Objetivos**</mark>

* [x] Apresentar uma visão geral do sistema **Wazuh**, contemplando seu histórico e classificação como sistema **SIEM** e **XDR**;
* [x] Descrever as principais funcionalidades da ferramenta;
* [x] Detalhar a sua estrutura padrão;
* [x] Apresentar os componentes de um sistema **Wazuh**

### <mark style="color:orange;">**Visão Geral**</mark>

O **Wazuh** é um sistema **Open Source** de gerenciamento e monitoramento de ***endpoints*** (*hosts* e ativos de rede) em ambiente local ou em nuvem com foco em segurança, classificado como sendo uma solução que abrange dois grupos de funcionalidades distintas e interdependentes ao mesmo tempo **SIEM e XDR**:

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FH8T0GSSfhdqXuo70Rvnp%2F001.png?alt=media&#x26;token=25accc66-da07-42c1-848a-541c82cac847" alt=""><figcaption></figcaption></figure>

#### <mark style="color:blue;">**SIEM (**</mark>*<mark style="color:blue;">**Security Information and Event Management**</mark>*<mark style="color:blue;">**)**</mark>

O **Wazuh** tem a maior parte de suas funcionalidades voltadas para sua caracterização como um **SIEM** **(*****Security Information and Event Management*****)** ou, seja, um **Gerenciador de Eventos e Informações de Segurança** de ativos de TI, em função de abranger todas as principais funcionalidades desse tipo de sistema, como a coleta, análise, correlação e visualização de uma vasta gama de dados de segurança, gerando alertas, notificações ou apresentando resultados em *dashboards* personalizados proporcionando uma visão abrangente da postura de segurança de uma organização.

Esse tipo de sistema é fundamental em ambientes onde se precisa monitorar diversos equipamentos ligados em rede, coletando eventos básicos e/ou avançados, tarefa humanamente impossível diante do número de *hosts*, diversidade e complexidade dos sistemas atuais.

**Um SIEM, portanto, oferece uma visão unificada do funcionamento de uma rede sob o prisma da segurança da informação, facilitando o acompanhamento do funcionamento de cada equipamentos de forma individual e/ou correlacionada aos demais, analisando e auxiliando a tomada de decisões relacionadas a segurança.**

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FF6ruxq96yWyGbKnwDZy8%2F002.png?alt=media&#x26;token=2acf5952-439b-42a4-89b8-c45b4441eff1" alt=""><figcaption></figcaption></figure>

***Coleta e Análise de Logs***

A ingestão de *logs* no **Wazuh** é realizada, principalmente, através da instalação e configuração de agentes nos *endpoints*, porém a ferramenta também suporta *logs* enviados diretamente dos *endpoints* ao **SIEM** utilizando diversos formatos, como o padrão **Syslog**, permitindo após a coleta sua normalização e submissão a regras pré configuradas ou personalizadas de análise.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FWAwsmO9il8CNkdvhE3Z8%2F003.png?alt=media&#x26;token=55f08abc-aee0-41dd-89f0-427946c1e845" alt=""><figcaption></figcaption></figure>

***Correlação de eventos***

A partir de um mecanismo otimizado de indexação dos *logs*, o **Wazuh** pode fazer a correlação dos eventos de diferentes fontes para auxiliar na identificação de incidentes de segurança multi-vetores e na análise da cadeia de ataque completa.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FPfkEkcyGlZfzRYV9Rovd%2F004.png?alt=media&#x26;token=b2b80eb0-806a-42d3-b998-4cf3bbb1e598" alt=""><figcaption></figcaption></figure>

#### <mark style="color:blue;">XDR (</mark>*<mark style="color:blue;">eXtended Detection and Response</mark>*<mark style="color:blue;">)</mark>

Adicionalmente considera-se um **Wazuh** um **XDR** em função da ferramenta oferecer uma abordagem mais ampla e integrada à segurança, combinando as capacidades de detecção de um **SIEM** com a capacidade de resposta de um **EDR (*****Endpoint Detection and Response*****).**

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2Fc52rNM7SJoYF3cdWR4eq%2F005.png?alt=media&#x26;token=465e77a1-6369-488c-9e34-5a6ffd8122da" alt=""><figcaption></figcaption></figure>

***Detecção Ampliada***

O **Wazuh** não se limita a monitorar apenas os *endpoints*. Ele suporta a coleta de dados de uma ampla gama de fontes, incluindo redes, nuvens, *contêiners* e outras infraestruturas, proporcionando uma visão mais completa do ambiente.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FbcUJB0xdQuPwhFTA3mLG%2F006.png?alt=media&#x26;token=69482c25-5521-4a78-a8ad-73bdd2c8d6c6" alt=""><figcaption></figcaption></figure>

***Análise comportamental***

O **Wazuh** utiliza técnicas de análise comportamental para identificar atividades suspeitas, mesmo que não correspondam a assinaturas conhecidas de ameaças.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2F6lVQvrB1fNXquubYcwkG%2F007.png?alt=media&#x26;token=756a6664-af31-4572-a2c1-e546200eb38a" alt=""><figcaption></figcaption></figure>

***Integração com outras ferramentas***

O **Wazuh** pode ser integrado a outras ferramentas de segurança, como soluções do tipo **SOAR** **(*****Security Orchestration, Automation and Response*****)** e ferramentas de orquestração de nuvem, para uma resposta ainda mais eficiente.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FPqpSPVD8nsWFQo3RWt44%2F008.png?alt=media&#x26;token=ef609feb-552b-4c53-be35-61d0a47f57fd" alt=""><figcaption></figcaption></figure>

### <mark style="color:orange;">Componentes Centrais</mark>

Um sistema **Wazuh** é composto de **três** componentes principais (central components):

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FucQGt5iyJGYvwmNlqjU9%2F009.png?alt=media&#x26;token=27c3b20d-6fff-40b8-8933-6fe392c79504" alt=""><figcaption></figcaption></figure>

* **Wazuh Indexer (indexador Wazuh);**
* **Wazuh Server (servidor Wazuh); e**
* **Wazuh Dashboard (painel Wazuh)**

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FNiszm5RAXLouMkD6P8Kf%2Fwazuh_central_components.png?alt=media&#x26;token=1d92a444-dbd4-49ac-a931-073cbfeb0f8a" alt=""><figcaption></figcaption></figure>

#### <mark style="color:blue;">Wazuh Indexer</mark>

Responsável por indexar e armazenar alertas gerados pelo servidor **Wazuh** permitindo uma busca/recuperação rápida e eficaz usando critérios ou padrões específicos.

É um sistema projetado para lidar com grandes volumes de alertas de segurança, buscando garantir que os processos de armazenamento, indexação e busca pelas informações armazenadas/indexadas mantenham-se estáveis e funcionais mesmo diante do natural crescimento do número de alertas gerenciados.

O indexador **Wazuh** usa quatro padrões de índices para armazenar os dados:

* **wazuh-alerts-\*:** Padrão de índice para alertas gerados pelo servidor Wazuh;
* **wazuh-archives-\*:** Padrão de índice para todos os eventos enviados ao servidor Wazuh;
* **wazuh-monitoring-**\*: Padrão para monitorar o status dos agentes Wazuh;
* **wazuh-statistics-\*:** Padrão para registro de informações estatísticas sobre o servidor Wazuh.

#### <mark style="color:blue;">Wazuh Server</mark>

Responsável por coletar os logs de várias fontes, como hosts, eventos de sistemas **MS-Windows**, **Windows/Linux Sysmon**, ***logs*****&#x20;de&#x20;*****firewalls*** e outros ativos que podem registrar e enviar logs no formato **Syslog** (sem a instalação de um agente).

Utiliza um módulo chamado decodificador **Wazuh** (explicado adiante) para normalizar, padronizar e analisar *logs* coletados e disponibilizá-los em um formato uniforme.

O servidor **Wazuh** também fornece uma **API** para interação, permitindo que servidores ou sistemas remotos interajam e consultem, informações coletadas/processadas de agentes **Wazuh**, informações de vulnerabilidades e conformidade, etc.

#### <mark style="color:blue;">Wazuh Dashboard</mark>

***

Este é o componente central mais "visual", uma vez que disponibiliza uma interface *web* flexível e intuitiva para que o usuário execute buscas, análises e visualização dos dados de segurança coletados e processados pela ferramenta. o **Wazuh Dashboard** fornece ***dashboards*** (painéis) prontos para uso, permitindo que o usuário navegue dentre as funcionalidades do Wazuh utilizando a interface de usuário.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2FHJIAWW5vtlQZkKNKrrxi%2Fwazuh_dashboard.png?alt=media&#x26;token=7b9e36b6-59d8-402a-b3ea-790fb0f90bda" alt=""><figcaption></figcaption></figure>

Através do **Wazuh Dashboard**, os usuários podem visualizar eventos de segurança, vulnerabilidades detectadas, monitoramento de integridade de arquivos, resultados de avaliação de configuração, eventos de monitoramento de infraestrutura de nuvem, padrões de conformidade regulatória, dentre outras funcionalidades adicionais do **Wazuh**.

### <mark style="color:orange;">Componentes Universais (Agentes)</mark>

#### <mark style="color:blue;">Wazuh Agents</mark>

***

Um componente que, efetivamente, não faz parte do ***core*** do **Wazuh** mas é considerado uma ‘quarta parte principal’ é o **Wazuh Agent** (agente **Wazuh**), instalado nos *endpoints* que precisam ser monitorados pelo sistema.

<figure><img src="https://3888273859-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FtdvmlTR7J4BwyO7gZrpg%2Fuploads%2F6OyHrPlXuEk5li8S7FGw%2Fwazuh_universal_agents.png?alt=media&#x26;token=0a851bfd-f893-4571-9038-e098bedf624b" alt=""><figcaption></figcaption></figure>

### <mark style="color:orange;">Principais Funcionalidades (Resumo)</mark>

* Coleta, normalização, análise e correlacionamento de *logs*;
* Detecção de intrusões/anomalias em *hosts*;
* Análise de vulnerabilidades em *hosts*;
* Análise de configurações e conformidade (*compliance*);
* Notificações/alertas + Integração com outras ferramentas
