Wazuh检测未经授权的进程

1.1 功能简介

Wazuh命令监视功能在端点上运行命令并监视命令的输出，在此用例中，使用Wazuh命令监控功能来检测Netcat何时在 Ubuntu端点上运行。Netcat是用于端口扫描和端口侦听的计算机网络实用程序。

1.2 测试环境

2.环境配置

2.1Ubuntu配置

<ossec_config>
  <localfile>
    <log_format>full_command</log_format>
    <alias>process list</alias>
    <command>ps -e -o pid,uname,command</command>
    <frequency>30</frequency>
  </localfile>
</ossec_config>

sudo systemctl restart wazuh-agent

sudo apt install ncat nmap -y

2.2Wazuh服务配置

创建每次启动Netcat程序时触发的规则

<group name="ossec,">
  <rule id="100050" level="0">
    <if_sid>530</if_sid>
    <match>^ossec: output: 'process list'</match>
    <description>List of running processes.</description>
    <group>process_monitor,</group>
  </rule>

  <rule id="100051" level="7" ignore="900">
    <if_sid>100050</if_sid>
    <match>nc -nlv</match>
    <description>netcat listening for incoming connections.</description>
    <group>process_monitor,</group>
  </rule>
</group>

sudo systemctl restart wazuh-manager

2.3.攻击验证

在Ubuntu服务器上，运行30秒

nc -nlv 8888

3.告警查看

3.1基于告警ID查询事件

告警事件查询ID: rule.id:(100051)

在事件详情中可以看到执行的NC命令已经被监控到