簡報說明
分享在過去幾年實際環境中，採用 Wazuh 打造端點延伸偵測與回應系統 (XDR) 的經驗，從檔案監測、行為判斷、弱點檢測、網路行為行為等功能的案例介紹，再搭配 Wazuh 豐富的擴充能力，結合更多規則以及外部情資的搭配應用，展現完全採用開放原始碼軟體與開放情資的最大效果。在議程中將會說明各種功能搭配以及整合範例，特別是與 Graylog 的結合應用。
逐頁文字
OPEN SOURCE SECURITY FORUM
Wazuh 打造 XDR
資安防護機制經驗分享鄭郁霖 Jason Cheng
節省 具箱有限公司
技術總監節省 具箱有限公司 / 創辦 兼技術總監
中華 國軟體 由協會 / 常務理事
簡 耀達電腦、晟鑫科技、五倍紅寶 、豐康科技 / 技術顧問資展國際、崑 科 推廣教育 / 講師
2020, 2022 InfoSec Taiwan 台灣國際資安 會 / 講者
2020 COSCUP 開源 年會 / 講者
2019 OpenInfra Days Taiwan / 講者
鄭郁霖 2019, 2024, 2025 CyberSec Taiwan 台灣資安 會 / 講者
JASON CHENG
2018, 2019 國際資訊安全組織台灣 峰會 / 講者CEH, ISO 27001 LA
民 人 人 石
工 高 大 大做資安
ＸＤＲ
很重要
知道為啥不買？
旁邊加注 表 這是基本啊！錢能解決的問題都不是問題
😭 問題是沒有錢 😭
難嗎？不難！
四步上線
簡單到爆K ! !
功能概觀
Wazuh
廠 商業公司
美國
開源軟體
商業服務系統特點
功 功能豐富概 網 管理
叢集架構
開放源碼
跨平台端點 伺服器 索引與看板 管理者
資料來源 https://wazuh.com/platform/主要功能
能 記錄分析
觀 侵檢測
漏洞檢測
檔案監控
設置評估
情資整合端點
能 Linux
概 Windows (XP~11/2025)
觀 macOS (Sierra~)
Solaris (10~11)
AIX
HP-UX
FreeBSD (OPNsense)端點管理
能 連線狀況
觀 端點名稱
端點位址
作業系統
程式版本
最後連線時間端點資產
能 網路介
觀 網路連接埠
網路設定
系統更新
安裝軟體
處理程序端點資產
能 網路介
觀 網路連接埠
網路設定
系統更新
安裝軟體
處理程序端點資產
能 網路介
觀 網路連接埠
網路設定
系統更新
安裝軟體
處理程序端點資產
能 網路介
觀 網路連接埠
網路設定
系統更新
安裝軟體
處理程序威脅監測
能 事件
觀 警報事件
認證失敗
認證成功
端點事件
M ITER ATT&CK完整性
能 監測檔案
觀 系統檔案
端點排
動作統計
規則分佈
帳 排完整性
能 詳細事件
觀 端點名稱
檢查路徑
發 動作
規則說明完整性
能 檔案異動 期
概 使 者 / 群組/ 雜湊值
機碼異動 期
機碼值 / 類型
動作 / 雜湊值
歷史變動記錄軟體漏洞
能 軟體名稱
觀 軟體版本
嚴重性
CVE 編號
CVSS 分數
檢出 期軟體漏洞
能 軟體漏洞細節
觀 CVE 編號
發 版本
掃描 期
更新 期
參考資料
剛剛聽說
CVE 委員會沒錢維護了!!!合規看板
能 PCI DSS
觀 GDPR
HIPAA
NIST 800-53
TSC
沒關係
我也看不懂
但是看起來很厲害產製報告
功 看板報告概 資產報告
清單報告
其它套件搭配
端點防護
件 Defender
配 ClamAV
端點防護
件 Defender
配 ClamAV
防火牆
件 OPNsense
防火牆
件 OPNsense
IDS/IPS
件 Suricata
搭 (OPNsense)IDS/IPS
件 Suricata
搭 (OPNsense)VPN 連線
件 OpenVPN
搭 (OPNsense)VPN 連線
件 OpenVPN
搭 (OPNsense)網路硬碟
件 Nextcloud
網路硬碟
件 Nextcloud
郵件主機
件 Proxmox MG
配 Zimbra
Postfix郵件主機
件 Proxmox MG
配 Zimbra
Postfix虛擬化
件 Proxmox VE
虛擬化
件 Proxmox VE
容器
件 Docker
容器
件 Docker
惡意檔案比對
件 VirusTotal
配 對雜湊值
問題是沒錢買
VirusTotal API
啊啊啊啊更多規則
套 內建規則搭 動更新
動啟
更多進階規則
套 Sysmon AbuseIPDB
件 Sophos Auditd
搭 Suricata Maltrail
配 Falco Open Audit
Modsecurity OPNsense
F-Secure Trend Micro
Snyk Powershell
Sigcheck Office365
Crowdstrike Osquery
Alienvault Yarahttps://github.com/socfortress/Wazuh-Rules
阻斷回應
阻斷惡意 IP
斷 參考開源清單
應 動下載更新
更新CDB清單
訂 對規則https://github.com/jasoncheng7115/it-scripts/blob/master/wazuh/update-malicious-ip.sh
阻斷惡意 IP
斷 動偵測阻斷
應 Linux
(firewall-drop)Windows
(netsh)OPNsense
(pfctl)端點立刻封鎖 IP
偵測到連入 IP 位於惡意清單
阻斷惡意 IP阻斷惡意檔案
斷 參考開源清單
應 動下載更新
更新CDB清單
訂 對規則https://github.com/jasoncheng7115/it-scripts/blob/master/wazuh/update-malware-hash-list.py
阻斷惡意檔案
斷 bazaar.abuse.ch
回 每 24 時更新 次
應 資料數 901892 筆
sha256/md5
reporter/signatureGraylog 搭配使
整合看板
配 轉送記錄
欄位拆解
Graylog 看板製作整合看板
配 來源國家
軟體漏洞
Graylog 惡意檔案轉送記錄
配 修改設定
轉送位址
Graylog 指定等級
選定格式轉送記錄
配 抽出 JSON 字串
拆解 JSON 欄位
Graylog警報發送
配 設定條件
限制閥值
Graylog 發送訊息
搭配系統
LibreNMS+TelegramAgent 資料來源
監測來源 Agent:
功 前執 程序 前監聽連接埠資源使 狀況 網路連線狀況表
執 程序建 或終 已安裝軟體套件
前登 使 者 已啟動系統服務
登 登出事件 系統排程作業
使 者權限變更
提權記錄
帳號建 或異動刪除目 行
立 用 止
監測來源 Agent:
功 檔案完整性監控 處理器使 率重要系統檔案異動 記憶體使 率
檔案權限變更 磁碟使 率
惡意軟體偵測 系統負載
防 牆記錄
DNS 查詢未來計劃
強化監測
未 整合 建 MISP 判斷威脅計 https://github.com/juaromu/wazuh-misp
整合 Sigma Rules 增強識別能
https://github.com/theflakes/StoW整合 建 AI 判讀 為與軌跡，並 動畫時序圖
唉，前天做到 半 AI 主機的 CPU 跟 GPU 操到燒掉，沒成果可以放.....嗚嗚自 力
參考資料
節省 具箱公司 節省 具箱網誌
www.jason.tools blog.jason.tools強 推薦
書 HackerCat 著作
薦 Wazuh 使 指南
Jason 推薦序 😎看看這標題，多麼 淒涼 紮實....
這本不是我寫的不要誤會
謝謝您。
節省 具箱有限公司
企業應 開源軟體 案導 專家