Wazuh Docker Compose (Comment cela fonctionne pour les développeurs)

Déploiement conteneurisé

Wazuh Docker utilise la technologie Docker pour regrouper tous ses composants, tels que Wazuh Manager, Elasticsearch et Kibana, dans des conteneurs préconfigurés et prêts à l'emploi. Cette architecture conteneurisée simplifie le déploiement de Wazuh partout, garantissant la cohérence entre les environnements et réduisant la complexité de la mise en place et de la maintenance de la plateforme.

Scalabilité

Wazuh Docker est conçu pour les environnements dynamiques et permet aux composants individuels de s'adapter indépendamment. Par exemple, face à une augmentation du volume de données surveillées, les nœuds Elasticsearch peuvent être dimensionnés par les utilisateurs pour gérer la charge de travail et garantir des performances efficaces dans un déploiement à grande échelle.

Portabilité

L'architecture Docker de Wazuh garantit qu'il peut être déployé sur des machines locales, des services cloud ou des plateformes d'orchestration de conteneurs telles que Kubernetes. Sa portabilité assure la compatibilité avec de multiples infrastructures, permettant aux organisations de l'adapter à leurs besoins opérationnels spécifiques.

Simplification de la gestion

Wazuh Docker simplifie l'orchestration des composants en tirant parti de Docker Compose. La tâche, autrement complexe, de démarrer, d'arrêter et de gérer la pile Wazuh devient plus simple ; La charge administrative est allégée, permettant même aux utilisateurs les moins experts de gérer les tâches avec un minimum de difficultés.

Analyse des journaux

Wazuh Docker agrège et met en corrélation les journaux provenant de n'importe quelle source, qu'il s'agisse de serveurs, d'applications ou de périphériques. Elle aide les organisations à détecter les incidents de sécurité et à y répondre en offrant une corrélation des journaux en temps réel.

Détection des menaces

Wazuh Docker identifie les menaces, les vulnérabilités et les activités suspectes sur les terminaux surveillés grâce à des règles intégrées et des configurations personnalisables. Cela renforce la protection proactive d'une organisation contre les risques de sécurité.

Surveillance de la conformité

Wazuh Docker automatise les vérifications de conformité aux normes sectorielles telles que le RGPD, l'HIPAA et le PCI DSS. Il fournit également des rapports complets, facilitant ainsi les audits et garantissant la conformité d'une organisation aux normes réglementaires.

Règles personnalisables

Wazuh Docker permet aux organisations de définir des règles de sécurité personnalisées, permettant ainsi la détection des menaces et des politiques de conformité adaptées à leurs besoins spécifiques. Cette flexibilité garantit que la plateforme peut s'adapter aux défis opérationnels et aux objectifs de sécurité spécifiques.

Tableau de bord Web

Kibana est intégré à Wazuh Docker, offrant un tableau de bord web performant pour visualiser les alertes, les journaux et les tendances. Grâce à son interface intuitive, il permet aux utilisateurs d'analyser des données, de surveiller les événements de sécurité et de créer facilement des vues personnalisées.

Intégration transparente

Wazuh Docker s'intègre parfaitement aux outils tiers et services cloud, permettant des flux complexes. L'interopérabilité accroît ainsi son utilité au sein d'un système de sécurité mondial.

L'intégration d'IronSecureDoc à Wazuh renforce la posture de sécurité globale, en combinant la surveillance de la sécurité des documents avec de robustes capacités de détection des menaces et de gestion de la conformité. Par conséquent, vous pouvez surveiller les activités liées aux documents, établir des règles de détection des anomalies pour le traitement des documents et faire respecter les règles de conformité. Voici comment intégrer IronSecureDoc à un gestionnaire Wazuh dans votre déploiement.

Configurer la surveillance des journaux

La surveillance des journaux implique la configuration du système pour collecter et analyser les données de journalisation provenant de diverses sources. Ce processus permet d'identifier les anomalies et de révéler les menaces potentielles tout en garantissant la conformité. Commencez par identifier les fichiers journaux ou les répertoires que vous souhaitez surveiller, tels qu'un journal d'application, un journal système ou tout journal d'outil tiers comme IronSecureDoc.

<localfile>
  <log_format>syslog</log_format>
  <location>/path/to/ironsecuredoc/logs</location>
</localfile>

<localfile>
  <log_format>syslog</log_format>
  <location>/path/to/ironsecuredoc/logs</location>
</localfile>

Ensuite, modifiez le fichier de configuration Wazuh, ossec.conf , sur les nœuds de l'agent ou du gestionnaire Wazuh. Ajouter un<localfile> entrée pour la source du journal. Définissez le format des journaux, tel que syslog, et spécifiez le chemin d'accès ou l'emplacement où les journaux sont stockés. Après modification, redémarrez l'agent ou le gestionnaire Wazuh pour appliquer les changements. Wazuh surveillera ensuite les journaux, en corrélant les événements avec ses règles intégrées ou celles définies par l'utilisateur et en envoyant des alertes en cas d'activités suspectes ou de violations de conformité.

Redémarrez l'agent Wazuh pour appliquer les modifications :

systemctl restart wazuh-agent

systemctl restart wazuh-agent

Cette configuration garantit que Wazuh capture et traite tous les événements de journalisation pertinents. Ci-dessous figure une capture d'écran réalisée par le gestionnaire Wazuh ainsi qu'un journal d'activité, incluant IronSecureDoc.

Wazuh Docker Compose (Fonctionnement pour les développeurs) : Figure 9 - Agent Wazuh

Intégrer l'API d'IronSecureDoc

Pour une intégration avancée, utilisez l'API IronSecureDoc (si elle est accessible) pour que le référentiel Wazuh récupère les événements de sécurité au niveau du document. Écrivez un script personnalisé pour récupérer ces événements et les soumettre à Wazuh. Voici un exemple d'implémentation en Python :

import requests

# API URLs for interaction
iron_api_url = "http://localhost:8080/v1/document-services/ping"
wazuh_api_url = "http://wazuh-manager:55000/alerts"

# API authentication headers
headers = {'Authorization': 'Bearer YOUR_API_KEY'}

# Fetch events from IronSecureDoc
response = requests.get(iron_api_url, headers=headers)
events = response.json()

# Forward events to Wazuh
for event in events:
    alert = {
        "rule": {
            "id": 100002,
            "level": 5,
            "description": event.get("description", "IronSecureDoc event")
        },
        "data": event
    }
    requests.post(wazuh_api_url, json=alert, headers=headers)

import requests

# API URLs for interaction
iron_api_url = "http://localhost:8080/v1/document-services/ping"
wazuh_api_url = "http://wazuh-manager:55000/alerts"

# API authentication headers
headers = {'Authorization': 'Bearer YOUR_API_KEY'}

# Fetch events from IronSecureDoc
response = requests.get(iron_api_url, headers=headers)
events = response.json()

# Forward events to Wazuh
for event in events:
    alert = {
        "rule": {
            "id": 100002,
            "level": 5,
            "description": event.get("description", "IronSecureDoc event")
        },
        "data": event
    }
    requests.post(wazuh_api_url, json=alert, headers=headers)

Exécutez ce script périodiquement (par exemple, en tant que tâche cron) pour maintenir Wazuh à jour avec les derniers événements de sécurité des documents. Le script utilise des requêtes HTTP standard pour communiquer avec l'API IronSecureDoc et envoie des alertes correspondantes à Wazuh. Pour en savoir plus sur la documentation de l'API Wazuh, consultez la page API .

Wazuh Docker Compose (Fonctionnement pour les développeurs) : Figure 10 - Script Wazuh