1. 침입 탐지 시스템 (IDS) 🕵️‍♀️

Wazuh의 기반이 되는 핵심 기능이야. 시스템과 네트워크에 대한 공격을 실시간으로 탐지하고 대응해:

주요 기능:

1. 로그 분석: 시스템 로그, 애플리케이션 로그를 분석하여 의심스러운 활동 탐지
2. 루트킷 탐지: 시스템에 숨겨진 악성 프로그램 탐지
3. 이상 행동 탐지: 일반적인 패턴에서 벗어난 행동 식별
4. 실시간 알림: 침입 시도 발견 시 즉시 알림

활용 예시:

예를 들어, SSH 서비스에 대한 무차별 대입 공격(brute force attack)이 발생하면 Wazuh는 이를 탐지하고 알림을 보내. 다음과 같은 로그가 생성될 거야:

** Alert 1621234567.123456: - syslog,sshd,authentication_failed,pci_dss_10.2.4,pci_dss_10.2.5,
2023 May 18 10:15:27 (web-server) 192.168.1.100->sshd
Rule: 5710 (level 5) -> 'sshd: Multiple authentication failures.'
Src IP: 203.0.113.100
User: admin
10:15:20 sshd[12345]: Failed password for admin from 203.0.113.100 port 49812 ssh2
10:15:22 sshd[12345]: Failed password for admin from 203.0.113.100 port 49813 ssh2
10:15:24 sshd[12345]: Failed password for admin from 203.0.113.100 port 49814 ssh2
10:15:26 sshd[12345]: Failed password for admin from 203.0.113.100 port 49815 ssh2
10:15:27 sshd[12345]: Failed password for admin from 203.0.113.100 port 49816 ssh2

이런 공격을 탐지하면 자동으로 해당 IP를 차단하도록 설정할 수도 있어. 이렇게 Wazuh는 단순히 탐지만 하는 것이 아니라 적극적으로 대응할 수 있는 기능도 제공해!

2. 파일 무결성 모니터링 (FIM) 📄

중요 파일과 디렉토리의 변경 사항을 실시간으로 모니터링하는 기능이야. 무단 변경이나 악성 코드 삽입을 탐지하는 데 매우 중요해:

주요 기능:

1. 실시간 모니터링: 파일 생성, 수정, 삭제를 실시간으로 감지
2. 속성 모니터링: 파일 권한, 소유자, 크기 등의 변경 감지
3. 체크섬 검증: 파일 내용의 변경을 감지하기 위한 해시값 비교
4. 감사 추적: 누가, 언제, 어떤 파일을 변경했는지 기록

설정 방법:

Wazuh 에이전트 설정 파일(ossec.conf)에서 다음과 같이 모니터링할 디렉토리를 지정할 수 있어:

<syscheck>
  <directories check_all="yes" realtime="yes">/etc</directories>
  <directories check_all="yes" realtime="yes">/bin</directories>
  <directories check_all="yes" realtime="yes">/sbin</directories>
  <directories check_all="yes" realtime="yes">/var/www/html</directories>
</syscheck>

웹 서버 파일, 시스템 바이너리, 구성 파일 등 중요한 파일들을 모니터링하면 해킹 시도나 악성 코드 삽입을 빠르게 탐지할 수 있어. 특히 웹 애플리케이션을 운영하는 서버에서는 필수적인 기능이지!

3. 취약점 탐지 (Vulnerability Detection) 🔎

시스템에 설치된 소프트웨어의 알려진 취약점을 스캔하고 보고하는 기능이야. 보안 패치가 필요한 소프트웨어를 식별하는 데 도움을 줘:

주요 기능:

1. 패키지 인벤토리: 설치된 소프트웨어 패키지 목록 수집
2. CVE 데이터베이스 연동: 알려진 취약점 데이터베이스와 비교
3. 심각도 평가: CVSS 점수를 기반으로 취약점의 심각도 평가
4. 패치 권장사항: 취약점 해결을 위한 패치 정보 제공

지원 운영체제:

취약점 탐지는 다음 운영체제에서 지원돼:

1. Red Hat Enterprise Linux
2. CentOS
3. Ubuntu
4. Debian
5. Amazon Linux
6. Windows

취약점이 발견되면 다음과 같은 알림을 받게 돼:

** Alert 1621234568.123457: - vulnerability-detector,
2023 May 18 11:30:45 (web-server) any->vulnerability-detector
Rule: 23505 (level 10) -> 'High vulnerability CVE-2021-12345 detected in package apache2-2.4.41.'
vulnerability.package.name: apache2
vulnerability.package.version: 2.4.41
vulnerability.cve: CVE-2021-12345
vulnerability.severity: High
vulnerability.cvss.score: 8.5
vulnerability.title: Remote code execution in Apache HTTP Server
vulnerability.published: 2023-04-15T10:15:30Z
vulnerability.updated: 2023-04-20T14:30:45Z
vulnerability.reference: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-12345

이런 취약점 정보를 바탕으로 시스템을 패치하여 보안을 강화할 수 있어. 정기적인 취약점 스캔은 시스템 보안의 기본이지!

4. 규정 준수 모니터링 (Compliance Monitoring) 📋

다양한 보안 규정 및 표준 준수 여부를 모니터링하는 기능이야. 감사와 규정 준수 증명에 큰 도움이 돼:

지원하는 주요 규정:

1. PCI DSS: 신용카드 정보 보호 표준
2. GDPR: 유럽 개인정보보호 규정
3. HIPAA: 미국 의료정보 보호법
4. NIST 800-53: 미국 연방정보시스템 보안 통제
5. ISO 27001: 정보보안 관리 시스템 표준
6. CIS Benchmarks: 시스템 강화 가이드라인

작동 방식:

Wazuh는 SCA(Security Configuration Assessment) 스캔을 통해 시스템 설정을 검사하고, 규정 준수 여부를 평가해. 예를 들어, PCI DSS 규정 준수를 위해 다음과 같은 검사를 수행해:

<sca>
  <policies>
    <policy>pci_dss_3.2.1</policy>
  </policies>
</sca>

검사 결과는 대시보드에서 다음과 같이 확인할 수 있어:

• 총 검사 항목: 120
• 통과: 98 (82%)
• 실패: 18 (15%)
• 해당 없음: 4 (3%)

실패한 항목에 대한 상세 정보와 해결 방법도 제공해. 이를 통해 규정 준수를 위한 조치를 취할 수 있지. 특히 금융, 의료, 공공 분야에서 이 기능이 매우 유용해!

5. 클라우드 보안 모니터링 ☁️

AWS, Azure, Google Cloud 등 클라우드 환경의 보안을 모니터링하는 기능이야. 클라우드 리소스의 보안 상태와 구성 오류를 탐지해:

주요 기능:

1. 클라우드 API 모니터링: 클라우드 서비스 API 호출 감사
2. 구성 평가: 클라우드 리소스의 보안 구성 평가
3. 권한 관리: 과도한 권한이나 잘못된 IAM 설정 탐지
4. S3 버킷 모니터링: AWS S3 버킷의 공개 액세스 설정 감시
5. 보안 그룹 모니터링: 과도하게 개방된 보안 그룹 규칙 탐지

AWS 통합 예시:

AWS CloudTrail과 Wazuh를 통합하면 모든 AWS API 호출을 모니터링할 수 있어. 다음과 같이 설정할 수 있어:

<wodle name="aws-s3">
  <disabled>no</disabled>
  <interval>30m</interval>
  <run_on_start>yes</run_on_start>
  <bucket type="cloudtrail">
    <name>cloudtrail-bucket</name>
    <access_key>AKIAIOSFODNN7EXAMPLE</access_key>
    <secret_key>wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY</secret_key>
    <aws_profile>default</aws_profile>
    <iam_role_arn>arn:aws:iam::123456789012:role/wazuh-role</iam_role_arn>
    <path>AWSLogs/123456789012/CloudTrail/</path>
    <regions>us-east-1,us-west-1,eu-west-1</regions>
  </bucket>
</wodle>

이를 통해 루트 계정 사용, 보안 그룹 변경, IAM 정책 수정 등 중요한 보안 이벤트를 모니터링할 수 있어. 클라우드 환경이 점점 더 중요해지는 요즘, 이 기능은 정말 유용해!