Wazuh Docker Compose (Cómo funciona para desarrolladores)

Implementación en contenedores

Wazuh Docker utiliza la tecnología Docker para empaquetar todos sus componentes, como Wazuh Manager, Elasticsearch y Kibana, en contenedores preconstruidos y listos para usar. Esta arquitectura en contenedor hace que sea sencillo desplegar Wazuh en cualquier lugar, asegurando consistencia a través de entornos y reduciendo la complejidad de configurar y mantener la plataforma.

Escalabilidad

Wazuh Docker está diseñado para entornos dinámicos y permite que los componentes individuales se escalen de manera independiente. Por ejemplo, con un aumento en el volumen de datos monitoreados, los usuarios pueden escalar los nodos de Elasticsearch para manejar la carga de trabajo y asegurar un rendimiento eficiente en un despliegue a gran escala.

Portabilidad

La arquitectura Docker de Wazuh asegura que pueda ser desplegada en máquinas locales, servicios en la nube o plataformas de orquestación de contenedores como Kubernetes. Su portabilidad asegura compatibilidad con múltiples infraestructuras, permitiendo a las organizaciones adaptarlo a sus necesidades operativas únicas.

Simplificación de la gestión

Wazuh Docker simplifica la orquestación de componentes aprovechando Docker Compose. La compleja tarea de iniciar, detener y gestionar la pila de Wazuh se vuelve más sencilla; la carga administrativa se aligera, permitiendo incluso a usuarios menos expertos manejar tareas con mínima complicación.

Análisis de registros

Wazuh Docker agrega y correlaciona registros de cualquier fuente, ya sean servidores, aplicaciones o dispositivos. Ayuda a las organizaciones a detectar y responder a incidentes de seguridad ofreciendo correlación de registros en tiempo real.

Detección de amenazas

Wazuh Docker identifica amenazas, vulnerabilidades y actividades sospechosas en los puntos finales monitoreados utilizando reglas incorporadas y configuraciones personalizables. Esto fortalece la protección proactiva de una organización contra los riesgos de seguridad.

Monitoreo del cumplimiento

Wazuh Docker automatiza verificaciones contra estándares de la industria como GDPR, HIPAA y PCI DSS. También entrega informes completos, haciendo las auditorías más fáciles y asegurando la conformidad de una organización con los estándares regulatorios.

Reglas personalizables

Wazuh Docker permite a las organizaciones definir reglas de seguridad personalizadas, permitiendo políticas de detección de amenazas y cumplimiento adaptadas a sus necesidades específicas. Esta flexibilidad asegura que la plataforma se pueda adaptar a desafíos operativos únicos y objetivos de seguridad.

Panel de control basado en la web

Kibana está integrada con Wazuh Docker, proporcionando un potente panel basado en la web para ver alertas, registros y tendencias. Con una interfaz intuitiva, permite a los usuarios analizar datos, monitorear eventos de seguridad y crear vistas personalizadas con facilidad.

Integración perfecta

Wazuh Docker se integra sin problemas con herramientas de terceros y servicios en la nube, permitiendo flujos de trabajo elaborados y datos compartidos. Así, la interoperabilidad aumenta su utilidad como parte de un sistema de seguridad global.

Integrar IronSecureDoc con Wazuh refuerza la postura de seguridad general, combinando el monitoreo de seguridad de documentos con capacidades robustas de detección de amenazas y gestión de cumplimiento. Como resultado, puedes monitorear actividades relacionadas con documentos, establecer reglas de detección de anomalías para el manejo de documentos y hacer cumplir reglas de cumplimiento. Aquí está cómo integrar IronSecureDoc con un manager de Wazuh en tu implementación.

Configurar la monitorización de registros

El monitoreo de registros implica la configuración del sistema para recoger y analizar datos de registros de varias fuentes. Este proceso ayuda a identificar anomalías y revela amenazas potenciales mientras se asegura el cumplimiento. Primero, identifica los archivos de registros o directorios que deseas monitorear, como un registro de aplicación, registro del sistema o cualquier registro de herramienta de terceros como IronSecureDoc.

<localfile>
  <log_format>syslog</log_format>
  <location>/path/to/ironsecuredoc/logs</location>
</localfile>

<localfile>
  <log_format>syslog</log_format>
  <location>/path/to/ironsecuredoc/logs</location>
</localfile>

Luego, edita el archivo de configuración de Wazuh, ossec.conf, en los nodos agente o manager de Wazuh. Agrega una entrada <localfile> para la fuente del registro. Define el formato del registro, como syslog, y especifica la ruta del archivo o la ubicación donde se almacenan los registros. Después de editar, reinicia el agente o manager de Wazuh para aplicar los cambios. Wazuh luego monitoreará los registros, correlacionando eventos con sus reglas incorporadas o definidas por el usuario y enviando alertas para actividades sospechosas o violaciones de cumplimiento.

Reinicia el agente de Wazuh para aplicar los cambios:

systemctl restart wazuh-agent

systemctl restart wazuh-agent

Esta configuración asegura que Wazuh capture y procese todos los eventos de registro relevantes. A continuación se muestra una captura de pantalla capturada por el manager de Wazuh y un registro de la actividad, incluyendo IronSecureDoc.

Integrar la API de IronSecureDoc

Para una integración avanzada, usa la API de IronSecureDoc (si es accesible) para que el repositorio de Wazuh extraiga eventos de seguridad a nivel de documento. Escribe un script personalizado para recuperar esos eventos y enviarlos a Wazuh. Aquí hay una implementación en Python de muestra:

import requests

# API URLs for interaction
iron_api_url = "http://localhost:8080/v1/document-services/ping"
wazuh_api_url = "http://wazuh-manager:55000/alerts"

# API authentication headers
headers = {'Authorization': 'Bearer YOUR_API_KEY'}

# Fetch events from IronSecureDoc
response = requests.get(iron_api_url, headers=headers)
events = response.json()

# Forward events to Wazuh
for event in events:
    alert = {
        "rule": {
            "id": 100002,
            "level": 5,
            "description": event.get("description", "IronSecureDoc event")
        },
        "data": event
    }
    requests.post(wazuh_api_url, json=alert, headers=headers)

import requests

# API URLs for interaction
iron_api_url = "http://localhost:8080/v1/document-services/ping"
wazuh_api_url = "http://wazuh-manager:55000/alerts"

# API authentication headers
headers = {'Authorization': 'Bearer YOUR_API_KEY'}

# Fetch events from IronSecureDoc
response = requests.get(iron_api_url, headers=headers)
events = response.json()

# Forward events to Wazuh
for event in events:
    alert = {
        "rule": {
            "id": 100002,
            "level": 5,
            "description": event.get("description", "IronSecureDoc event")
        },
        "data": event
    }
    requests.post(wazuh_api_url, json=alert, headers=headers)

Ejecuta este script periódicamente (por ejemplo, como un trabajo cron) para mantener Wazuh actualizado con los últimos eventos de seguridad de documentos. El script utiliza solicitudes HTTP estándar para comunicarse con la API de IronSecureDoc y envía alertas correspondientes a Wazuh. Para aprender más sobre la documentación de la API de Wazuh, consulta la página de la API.