Índice

  1. [[#Crear VM Windows Server]]
  2. [[#Crear VM]]
  3. [[#Instalar Wazuh]]
    1. [[#En Ubuntu]]
    2. [[#En WinServer]]
  4. [[#Configuración de Agente]]
  5. [[#Verificación]]

Crear VM Windows Server

Primero descargamos la ISO de Windows server 2022 desde el sitio oficial
y procedemos a su instalación a través de Oracle's VirtualBox

nombre: WinServ22
RAM: >=4gb
Espacio: 50gb dinámico
Red: Puente <- Importante
Edición: Desktop Experience <- Para GUI, pero podría ser sin ella

Crear VM

Similar con win server, descargamos el iso y realizamos instalación.

nombre: UbuntuServ
Ram: >=2gb
Espacio: 20gb dinámico
Red: Puente, la misma que Win
Edición: -

Instalar Wazuh

Wazuh es un SIEM y XDR open source.

En Ubuntu

Lo primero es descargar Wazuh según las instrucciones que nos proveen:

curl -sO https://packages.wazuh.com/4.12/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

Cuando termina, nos enseña el usuario y la contraseña
asdf

Para leer todas las contraseñas podemos usar el siguiente comando:

sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

Podemos comprobar su existencia accediendo al dashboard con nuestra IP y entrando al puerto 443

asegurarnos de que los puertos que utiliza no esten bloqueados por firewall
443, 5601, 55000, 1514, 1515

En WinServer

Descargamos el agente como se nos menciona y guía en su sitio. También nos explica para qué es:

El agente corre en el endpoint que quieres monitorear y se comunica con el servidor Wazuh, enviando datos en tiempo casi-real a través de un canal encriptado y autenticado.

Instalarlo es sencillo con GUI, simplemente se descarga el msi, se instala de forma normal, al ejecutarlo vemos esto:

Desde esa misma parte podemos acceder a logs y otras consultas a través del menú "manage"

Configuración de Agente

En su documentación podemos encontrar el método para configurar el agente
En resumidas cuentas:
Debemos ir a C:\Program Files (x86)\ossec-agent\ossec.conf
abrirlo y configurar lo siguiente

<client>
  <server>
	<!-- cambiar por la IP del wazuh manager> -->
    <address><WAZUH_MANAGER_IP_ADDRESS></address>    ...
  </server>
</client>

En el mismo Wazuh dashboard podemos agregar un agente. Al realizar esto, nos proporcionará una authkey para insertarla.

Otras formas alternativas incluyen el comando CMD

Reiniciamos el servicio

Restart-Service -Name Wazuh

Conclusión

Primero intenté hacerlo en Fedora, avanzó bien en un principio pero al no tener configurada una IP fija en la máquina, ésta murió completamente y la API key falló. La solución era simplemente irme a los archivos de Wazuh en Fedora, ver la key y configurar desde ahí, pero por una cosa de tiempo decidí hacerlo en ubuntu.

Definitivamente era más sencillo hacerlo con uno de los SO recomendados por Wazuh (Amazon Linux, CentOS, Ubuntu o Red Hat), dichos fallos son más escasos.