Wazuh SIEM/XDR O centro do SOC Home Lab

Índice

Navegue pelo conteúdo desta documentação.

Sobre o laboratório

O centro do SOC Home Lab.

O Wazuh é o eixo central do laboratório — é ele que coleta, processa, correlaciona e apresenta os eventos de segurança de todos os outros componentes. Sem o Wazuh, os logs do Suricata ficam em arquivos JSON isolados, os eventos do Sysmon ficam no Event Viewer do Windows e as detecções do pfSense ficam no syslog. Com o Wazuh, tudo converge num único painel com busca, correlação e alertas.

Este laboratório foi construído progressivamente: primeiro o Manager e o agente do Kali, depois a integração com o Suricata, depois o pfSense, e finalmente o agente do Windows Server com Sysmon. Cada etapa adicionou uma nova camada de visibilidade ao ambiente — e cada integração trouxe novos problemas reais pra diagnosticar e resolver.

Especificações

Ambiente técnico do laboratório.

Processo de implementação

Do servidor ao pipeline completo.

A implementação foi progressiva — cada etapa adicionou uma nova camada de visibilidade. A metodologia foi a mesma em todas: backup, leitura da documentação, planejamento, execução, teste e validação antes de avançar.

Agentes ativos

Dois endpoints. Dois sistemas operacionais. Uma visão centralizada.

Ter agentes em Linux e Windows é fundamental pra cobertura real de SOC — a maioria das detecções do mercado são para Windows (Event Log, Sysmon, PowerShell), mas ambientes Linux (servidores, Kali como atacante) também precisam de monitoramento. Este lab cobre os dois.

<!-- Canais padrão -->
<localfile><location>Application</location><log_format>eventchannel</log_format></localfile>
<localfile><location>Security</location><log_format>eventchannel</log_format></localfile>
<localfile><location>System</location><log_format>eventchannel</log_format></localfile>

<!-- Canais adicionados manualmente -->
<localfile>
  <location>Microsoft-Windows-Sysmon/Operational</location>
  <log_format>eventchannel</log_format>
</localfile>
<localfile>
  <location>Microsoft-Windows-PowerShell/Operational</location>
  <log_format>eventchannel</log_format>
</localfile>

Integrações

Wazuh como centro de correlação do lab.

Tuning de regras

Falso positivo identificado e corrigido.

Durante a operação normal do lab, a regra nativa 92205 (nível 9 — "Powershell process created an executable file in Windows root folder") disparou de forma persistente para uma execução completamente legítima. Análise do alerta revelou a causa raiz.

<group name="local,sca,">
  <rule id="100205" level="3">
    <if_sid>92205</if_sid>
    <field name="win.eventdata.image">SecEdit.exe</field>
    <field name="win.eventdata.parentImage">ossec-agent</field>
    <description>Wazuh SCA module exporting security policy via SecEdit - expected behavior</description>
    <options>no_full_log</options>
  </rule>
</group>

Threat Hunting

Alertas reais de ataques executados no lab.

O Threat Hunting no Wazuh não é sobre alertas sintéticos — é sobre ataques reais, executados do Kali contra alvos reais do lab, com detecção validada no dashboard. Dois exercícios de Red Team vs Blue Team foram conduzidos e correlacionados no SIEM.

# Todos os eventos do Suricata
rule.groups: suricata

# Shell reversa do Metasploit
data.alert.signature_id: 3400020

# Eventos do Windows Server
agent.name: win-srv01

# SQLi no Juice Shop
data.dest_port: 3000 AND data.alert.category: "Web Application Attack"

# Criação de processo (Sysmon)
agent.name: win-srv01 AND location: Microsoft-Windows-Sysmon/Operational

Competências desenvolvidas

O que este laboratório construiu na prática.

Resultados

O que foi entregue neste laboratório.

Evidências

Registros do laboratório.