Wazuh Docker Compose (개발자를 위한 작동 방식)

컨테이너화된 배포

Wazuh Docker는 Docker 기술을 활용하여 Wazuh Manager, Elasticsearch 및 Kibana와 같은 모든 구성 요소를 사전 구축된, 바로 사용 가능한 컨테이너로 패키징합니다. 이 컨테이너화된 아키텍처는 Wazuh를 어디서든 쉽게 배포할 수 있게 하며, 환경 간 일관성을 보장하고 플랫폼 설정 및 유지 관리를 간단하게 줄여줍니다.

확장성

Wazuh Docker는 동적인 환경을 위해 설계되어 개별 구성 요소의 독립적인 확장이 가능합니다. 예를 들어, 모니터링되는 데이터의 양이 증가하면, 사용자가 Elasticsearch 노드를 확장하여 대규모 배포에서 작업 부하를 처리하고 효율적인 성능을 보장할 수 있습니다.

이동성

Wazuh의 Docker 아키텍처는 로컬 머신, 클라우드 서비스 또는 Kubernetes와 같은 컨테이너 오케스트레이션 플랫폼에 배포할 수 있도록 보장합니다. 이동성은 여러 인프라와의 호환성을 보장하여 조직이 고유한 운영 요구에 맞게 쉽게 적응할 수 있게 합니다.

관리 간소화

Wazuh Docker는 Docker Compose를 활용하여 구성 요소의 오케스트레이션을 간소화합니다. Wazuh 스택의 시작, 중지 및 관리는 이전보다 훨씬 간단해집니다. 관리 부담이 줄어들어, 덜 숙련된 사용자라도 최소한의 번거로움으로 작업을 처리할 수 있습니다.

로그 분석

Wazuh Docker는 서버, 애플리케이션 또는 장치 등 어떤 소스에서든 로그를 종합하고 상관 분석합니다. 이는 실시간 로그 상관 분석을 제공하여 보안 사건을 탐지하고 대응하는 데 도움을 줍니다.

위협 탐지

Wazuh Docker는 내장된 규칙과 맞춤형 설정을 사용하여 모니터링된 엔드포인트에서 위협, 취약점, 의심스러운 활동을 식별합니다. 이는 조직의 보안 위험에 대한 적극적인 보호를 강화합니다.

준수 모니터링

Wazuh Docker는 GDPR, HIPAA, PCI DSS와 같은 산업 표준을 기준으로 검사를 자동화합니다. 또한 포괄적인 보고서를 제공하여 감사가 용이하도록 하고 규제 표준과의 조직 일치를 보장합니다.

맞춤형 규칙

Wazuh Docker는 조직이 맞춤형 보안 규칙을 정의하여 특정 필요에 맞게 위협 탐지 및 준수 정책을 가능하게 합니다. 이러한 유연성은 플랫폼이 고유한 운영 과제 및 보안 목표에 적응할 수 있도록 보장합니다.

웹 기반 대시보드

Kibana는 Wazuh Docker와 통합되어 경고, 로그, 추세를 볼 수 있는 강력한 웹 기반 대시보드를 제공합니다. 직관적인 인터페이스로 데이터를 분석하고 보안 이벤트를 모니터링하며, 맞춤형 보기를 쉽게 생성할 수 있습니다.

매끄러운 통합

Wazuh Docker는 서드 파티 도구 및 클라우드 서비스와 원활하게 통합되어 정교한 워크플로우와 데이터 공유를 가능하게 합니다. 따라서 상호 운용성이 증가하여 전 세계적인 보안 시스템의 일부로서 그 활용도가 높아집니다.

Wazuh와의 IronSecureDoc 통합은 문서 보안 모니터링을 강력한 위협 감지 및 규정 준수 관리 기능과 결합하여 전반적인 보안 태세를 강화합니다. 그 결과, 문서 관련 활동을 모니터하고, 문서 처리를 위한 이상 탐지 규칙을 설정하고, 규정 준수 규칙을 시행할 수 있습니다. 여기에서 Wazuh 관리자를 배포하여 IronSecureDoc를 통합하는 방법을 설명합니다.

로그 모니터링 설정

로그 모니터링은 다양한 소스에서 로그 데이터를 수집하고 분석하기 위해 시스템을 구성하는 것을 포함합니다. 이 과정은 이슈를 식별하고 잠재적인 위협을 드러내며 동시에 규정 준수를 보장합니다. 먼저, 애플리케이션 로그, 시스템 로그 또는 IronSecureDoc와 같은 타사 도구 로그 등 모니터링할 로그 파일이나 디렉토리를 식별하세요.

<localfile>
  <log_format>syslog</log_format>
  <location>/path/to/ironsecuredoc/logs</location>
</localfile>

<localfile>
  <log_format>syslog</log_format>
  <location>/path/to/ironsecuredoc/logs</location>
</localfile>

다음으로 Wazuh 에이전트 또는 관리자 노드에 있는 Wazuh 구성 파일, ossec.conf을 편집합니다. 로그 소스를 위한 <localfile> 항목을 추가하세요. 로그 형식(syslog 등)을 정의하고 로그가 저장된 파일 경로 또는 위치를 지정하세요. 편집 후, 변경 사항을 적용하려면 Wazuh 에이전트 또는 관리자를 재시작하세요. 그러면 Wazuh는 기본 제공 규칙 또는 사용자 정의 규칙과 이벤트를 연관시켜 의심스러운 활동 또는 규정 위반에 대한 경고를 전송합니다.

변경 사항을 적용하려면 Wazuh 에이전트를 재시작하세요:

systemctl restart wazuh-agent

systemctl restart wazuh-agent

이 설정은 Wazuh가 모든 관련 로그 이벤트를 캡처하고 처리할 수 있도록 보장합니다. 아래는 Wazuh 관리자가 캡처한 스크린샷과 IronSecureDoc을 포함한 활동 로그입니다.

IronSecureDoc API 통합

고급 통합을 위해 IronSecureDoc API(액세스 가능할 경우)를 사용하면 Wazuh 저장소가 문서 수준의 보안 이벤트를 가져오도록 할 수 있습니다. 해당 이벤트를 검색하고 Wazuh에 제출하는 사용자 정의 스크립트를 작성하세요. 여기 간단한 Python 구현이 있습니다:

import requests

# API URLs for interaction
iron_api_url = "http://localhost:8080/v1/document-services/ping"
wazuh_api_url = "http://wazuh-manager:55000/alerts"

# API authentication headers
headers = {'Authorization': 'Bearer YOUR_API_KEY'}

# Fetch events from IronSecureDoc
response = requests.get(iron_api_url, headers=headers)
events = response.json()

# Forward events to Wazuh
for event in events:
    alert = {
        "rule": {
            "id": 100002,
            "level": 5,
            "description": event.get("description", "IronSecureDoc event")
        },
        "data": event
    }
    requests.post(wazuh_api_url, json=alert, headers=headers)

import requests

# API URLs for interaction
iron_api_url = "http://localhost:8080/v1/document-services/ping"
wazuh_api_url = "http://wazuh-manager:55000/alerts"

# API authentication headers
headers = {'Authorization': 'Bearer YOUR_API_KEY'}

# Fetch events from IronSecureDoc
response = requests.get(iron_api_url, headers=headers)
events = response.json()

# Forward events to Wazuh
for event in events:
    alert = {
        "rule": {
            "id": 100002,
            "level": 5,
            "description": event.get("description", "IronSecureDoc event")
        },
        "data": event
    }
    requests.post(wazuh_api_url, json=alert, headers=headers)

이 스크립트를 주기적으로 실행(예: 크론 작업으로)하여 Wazuh를 최신 문서 보안 이벤트로 업데이트하세요. 스크립트는 IronSecureDoc API와의 통신을 위해 표준 HTTP 요청을 사용하고 해당 경고를 Wazuh에 보냅니다. Wazuh API 문서에 대해 더 알고 싶다면 API 페이지를 참조하세요.