Wazuh监控Docker事件

1.1 功能简介

Docker 在软件容器内自动部署不同的应用程序。适用于 Docker 的 Wazuh 模块可实时识别跨容器的安全事件和警报。在此用例中，将 Wazuh 配置为监视托管 Docker 容器的 Ubuntu 端点上的 Docker 事件。

1.2 测试环境

2.环境配置

2.1Ubuntu配置

sudo apt install python3 python3-pip
sudo ln -s /usr/bin/python3 /usr/bin/python

pip3 install -i https://pypi.tuna.tsinghua.edu.cn/simple --upgrade pip

sudo apt-get install 
    apt-transport-https 
    ca-certificates 
    curl 
    gnupg-agent 
    software-properties-common
curl -fsSL https://mirrors.ustc.edu.cn/docker-ce/linux/ubuntu/gpg | sudo apt-key add -
sudo add-apt-repository 
   "deb [arch=amd64] https://mirrors.ustc.edu.cn/docker-ce/linux/ubuntu/ 
  $(lsb_release -cs) 
  stable"
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io
sudo systemctl start docker
sudo systemctl enable docker

sudo pip3 install -i https://pypi.tuna.tsinghua.edu.cn/simple docker==4.2.0 urllib3==1.26.18

<ossec_config>
  <wodle name="docker-listener">
    <interval>10m</interval>
    <attempts>5</attempts>
    <run_on_start>yes</run_on_start>
    <disabled>no</disabled>
  </wodle>
</ossec_config>

sudo systemctl restart wazuh-agent

2.2测试配置

执行多个Docker活动，例如拉取Docker映像、启动实例、运行一些其他Docker命令，然后删除容器。

sudo docker pull nginx
sudo docker run -d -P --name nginx_container nginx
sudo docker exec -it nginx_container cat /etc/passwd
sudo docker exec -it nginx_container /bin/bash
exit

sudo docker stop nginx_container
sudo docker rm nginx_container

2.3告警分析

查询语法：rule.groups: "docker"

使用“按类型筛选”搜索字段，应用筛选器以显示执行了哪些操作，查询语法：data.docker.Action