Wazuh 打造 XDR 資安防護機制經驗分享

簡報說明

分享在過去幾年實際環境中，採用 Wazuh 打造端點延伸偵測與回應系統 (XDR) 的經驗，從檔案監測、行為判斷、弱點檢測、網路行為行為等功能的案例介紹，再搭配 Wazuh 豐富的擴充能力，結合更多規則以及外部情資的搭配應用，展現完全採用開放原始碼軟體與開放情資的最大效果。在議程中將會說明各種功能搭配以及整合範例，特別是與 Graylog 的結合應用。

https://cybersec.ithome.com.tw/2025/session-page/3616

逐頁文字

OPEN SOURCE SECURITY FORUM
Wazuh 打造 XDR
資安防護機制經驗分享
鄭郁霖 Jason Cheng
節省工具箱有限公司
技術總監
節省工具箱有限公司 / 創辦人兼技術總監
中華民國軟體自由協會 / 常務理事
簡介
耀達電腦、晟鑫科技、五倍紅寶石、豐康科技 / 技術顧問
資展國際、崑山科大推廣教育 / 講師
2020, 2022 InfoSec Taiwan 台灣國際資安大會 / 講者
2020 COSCUP 開源人年會 / 講者
2019 OpenInfra Days Taiwan / 講者
鄭郁霖 2019, 2024, 2025 CyberSec Taiwan 台灣資安大會 / 講者
JASON CHENG
2018, 2019 國際資訊安全組織台灣高峰會 / 講者
CEH, ISO 27001 LA
做資安
ＸＤＲ
很重要
知道為啥不買？
旁邊加注音表示這是基本啊！
錢能解決的問題都不是問題
😭 問題是沒有錢 😭
難嗎？不難！
四步上線
簡單到爆
K ! !
功能概觀
Wazuh
原廠
商業公司
美國
開源軟體
商業服務
系統特點
功能概觀
功能豐富
網頁管理
叢集架構
開放源碼
跨平台
端點伺服器索引與看板管理者
資料來源 https://wazuh.com/platform/
主要功能
功能概觀
記錄分析
侵檢測
漏洞檢測
檔案監控
設置評估
情資整合
端點
功能概觀
Linux
Windows (XP~11/2025)
macOS (Sierra~)
Solaris (10~11)
AIX
HP-UX
FreeBSD (OPNsense)
端點管理
功能概觀
連線狀況
端點名稱
端點位址
作業系統
程式版本
最後連線時間
端點資產
功能概觀
網路介
網路連接埠
網路設定
系統更新
安裝軟體
處理程序
端點資產
功能概觀
網路介
網路連接埠
網路設定
系統更新
安裝軟體
處理程序
端點資產
功能概觀
網路介
網路連接埠
網路設定
系統更新
安裝軟體
處理程序
端點資產
功能概觀
網路介
網路連接埠
網路設定
系統更新
安裝軟體
處理程序
威脅監測
功能概觀
事件
警報事件
認證失敗
認證成功
端點事件
M ITER ATT&CK
完整性
功能概觀
監測檔案
系統檔案
端點排
動作統計
規則分佈
完整性
功能概觀
詳細事件
端點名稱
檢查路徑
發生動作
規則說明
完整性
功能概觀
檔案異動日期
使用者 / 群組
/ 雜湊值
機碼異動日期
機碼值 / 類型
動作 / 雜湊值
歷史變動記錄
軟體漏洞
功能概觀
軟體名稱
軟體版本
嚴重性
CVE 編號
CVSS 分數
檢出日期
軟體漏洞
功能概觀
軟體漏洞細節
CVE 編號
發生版本
掃描日期
更新日期
參考資料
剛剛聽說
CVE 委員會沒錢維護了!!!
合規看板
功能概觀
PCI DSS
GDPR
HIPAA
NIST 800-53
TSC
沒關係
我也看不懂
但是看起來很厲害
產製報告
功能概觀
看板報告
資產報告
清單報告
其它
套件搭配
端點防護
套件搭配
Defender
ClamAV
端點防護
套件搭配
Defender
ClamAV
防火牆
套件搭配
OPNsense
防火牆
套件搭配
OPNsense
IDS/IPS
套件搭配
Suricata
(OPNsense)
IDS/IPS
套件搭配
Suricata
(OPNsense)
VPN 連線
套件搭配
OpenVPN
(OPNsense)
VPN 連線
套件搭配
OpenVPN
(OPNsense)
網路硬碟
套件搭配
Nextcloud
網路硬碟
套件搭配
Nextcloud
郵件主機
套件搭配
Proxmox MG
Zimbra
Postfix
郵件主機
套件搭配
Proxmox MG
Zimbra
Postfix
虛擬化
套件搭配
Proxmox VE
虛擬化
套件搭配
Proxmox VE
容器
套件搭配
Docker
容器
套件搭配
Docker
惡意檔案比對
套件搭配
VirusTotal
對雜湊值
問題是沒錢買
VirusTotal API
啊啊啊啊
更多規則
套件搭配
內建規則
動更新
手動啟
更多進階規則
套件搭配
Sysmon AbuseIPDB
Sophos Auditd
Suricata Maltrail
Falco Open Audit
Modsecurity OPNsense
F-Secure Trend Micro
Snyk Powershell
Sigcheck Office365
Crowdstrike Osquery
Alienvault Yara
https://github.com/socfortress/Wazuh-Rules
阻斷回應
阻斷惡意 IP
阻斷回應
參考開源清單
動下載更新
更新CDB清單
自訂比對規則
https://github.com/jasoncheng7115/it-scripts/blob/master/wazuh/update-malicious-ip.sh
阻斷惡意 IP
阻斷回應
動偵測阻斷
Linux
(firewall-drop)
Windows
(netsh)
OPNsense
(pfctl)
端點立刻封鎖 IP
偵測到連入 IP 位於惡意清單
阻斷惡意 IP
阻斷惡意檔案
阻斷回應
參考開源清單
動下載更新
更新CDB清單
自訂比對規則
https://github.com/jasoncheng7115/it-scripts/blob/master/wazuh/update-malware-hash-list.py
阻斷惡意檔案
阻斷回應
bazaar.abuse.ch
每 24小時更新一次
資料數 901892 筆
sha256/md5
reporter/signature
Graylog 搭配使
整合看板
搭配
轉送記錄
欄位拆解
Graylog 看板製作
整合看板
搭配
來源國家
軟體漏洞
Graylog 惡意檔案
轉送記錄
搭配
修改設定
轉送位址
Graylog 指定等級
選定格式
轉送記錄
搭配
抽出 JSON 字串
拆解 JSON 欄位
Graylog
警報發送
搭配
設定條件
限制閥值
Graylog 發送訊息
搭配系統
LibreNMS+Telegram
Agent 資料來源
監測來源 Agent:
功能
前執行程序前監聽連接埠
資源使用狀況網路連線狀況表
執行程序建立或終已安裝軟體套件
前登入使用者已啟動系統服務
登入登出事件系統排程作業
使用者權限變更
提權記錄
帳號建立或異動刪除
監測來源 Agent:
功能
檔案完整性監控處理器使用率
重要系統檔案異動記憶體使用率
檔案權限變更磁碟使用率
惡意軟體偵測系統負載
防火牆記錄
DNS 查詢
未來計劃
強化監測
未來計劃
整合自建 MISP 判斷威脅
https://github.com/juaromu/wazuh-misp
整合 Sigma Rules 增強識別能
https://github.com/theflakes/StoW
整合自建 AI 判讀行為與軌跡，並自動畫時序圖
唉，前天做到一半 AI 主機的 CPU 跟 GPU 操到燒掉，沒成果可以放.....嗚嗚
參考資料
節省工具箱公司節省工具箱網誌
www.jason.tools blog.jason.tools
強力推薦
好書推薦
HackerCat 著作
Wazuh 使用指南
Jason 推薦序 😎
看看這標題，多麼淒涼紮實....
這本不是我寫的不要誤會
一個人的藍隊
有限資源，無限防禦
中小企業也適用的資安防護指南
謝謝您。
節省工具箱有限公司
企業應用開源軟體方案導入專家