Pular para conteúdo

Procedimento Operacional: Implantação e Validação do Wazuh Agent

Objetivo: Padronizar a instalação, registro e validação do Wazuh Agent nos servidores e estações de trabalho (Linux, Windows e FreeBSD), garantindo a coleta de eventos e integridade no Wazuh Server.

1. Pré-requisitos e Portas de Rede

Antes da instalação, certifique-se de que a máquina cliente consiga alcançar o servidor Wazuh nas seguintes portas:

  • TCP 1514: Comunicação principal de eventos do agente (Wazuh Agent Service).

  • TCP 1515: Porta de registro e autenticação automática (Wazuh Authd Registration).

2. Instalação e Registro do Agente

2.1. Linux (Debian / Ubuntu)

Execute no terminal com privilégios de superusuário:

Bash

# 1. Instalar dependências e chave GPG
sudo apt-get update && sudo apt-get install -y curl apt-transport-https lsb-release gnupg
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && sudo chmod 644 /usr/share/keyrings/wazuh.gpg

# 2. Adicionar o repositório oficial
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee -a /etc/apt/sources.list.d/wazuh.list
sudo apt-get update

# 3. Instalar definindo as variáveis de registro
sudo WAZUH_MANAGER='wazuh.lupahosting.com.br' WAZUH_AGENT_GROUP='default' apt-get install -y wazuh-agent

# 4. Habilitar e iniciar o serviço
sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

2.2. Microsoft Windows (PowerShell)

Abra o PowerShell como Administrador na estação/servidor Windows e execute:

PowerShell

# 1. Download do instalador MSI
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.9.0-1.msi -OutFile "$env:TEMP\wazuh-agent.msi"

# 2. Instalação silenciosa com apontamento do Manager
Start-Process msiexec.exe -Wait -ArgumentList "/i $env:TEMP\wazuh-agent.msi /q WAZUH_MANAGER='wazuh.lupahosting.com.br' WAZUH_REGISTRATION_SERVER='wazuh.lupahosting.com.br'"

# 3. Iniciar o serviço do agente
Start-Service -Name "Wazuh"
Set-Service -Name "Wazuh" -StartupType Automatic

2.3. FreeBSD

No terminal do FreeBSD com usuário root:

Bash

# 1. Instalar o pacote via pkg
pkg update
pkg install -y wazuh-agent

# 2. Configurar o endereço do Manager no ossec.conf
sysrc wazuh_agent_enable="YES"
sed -i '' 's/MANAGER_IP/wazuh.lupahosting.com.br/g' /var/ossec/etc/ossec.conf

# 3. Registrar o agente usando o utilitário agent-auth
/var/ossec/bin/agent-auth -m wazuh.lupahosting.com.br

# 4. Iniciar o serviço
service wazuh-agent start

3. Teste de Coleta e Validação no Wazuh Dashboard

Para confirmar que os logs e alertas estão sendo enviados e processados em tempo real:

3.1. Gerar Evento de Teste no Cliente

  • Em servidores Linux / FreeBSD: Execute um comando sudo com senha incorreta ou envie um log customizado via logger:

    Bash

    logger -t TESTE_WAZUH "Simulacao de evento de auditoria operacional CPD"

  • Em estações/servidores Windows: Gere um evento no log de segurança abrindo o PowerShell e executando:

    PowerShell

    Write-EventLog -LogName Application -Source "Application Error" -EventID 1000 -EntryType Warning -Message "Teste de coleta Wazuh Agent CPD"

3.2. Filtro de Validação no Dashboard

  1. Acesse o painel web: [https://wazuh.lupahosting.com.br](https://wazuh.lupahosting.com.br)

  2. No menu principal, vá em Explore > Discover (ou Threat Hunting > Events).

  3. Adicione o filtro no campo de busca:

    • agent.name : "NOME_DO_HOST_CADASTRADO"

  4. Verifique se o status do agente em Agents management está listado como Active (Verde).

  5. Certifique-se de que os eventos gerados apareçam no fluxo contínuo de logs com os campos de timestamp atualizados.

4. Lista de Verificação de Solução de Problemas

Caso o agente permaneça no estado Disconnected ou Never Connected, execute a seguinte lista de verificação em ordem:

  • [ ] Resolução de Nomes (DNS):

    • Testar se o cliente resolve o FQDN: ping wazuh.lupahosting.com.br ou nslookup wazuh.lupahosting.com.br.

    • Se estiver em sub-rede/VLAN isolada, verificar se o DNS primário aponta para o servidor DNS corporativo.

  • [ ] Conectividade de Portas de Rede:

    • Testar acesso à porta de registro (1515):

      • Linux: nc -zv wazuh.lupahosting.com.br 1515

      • Windows: Test-NetConnection -ComputerName wazuh.lupahosting.com.br -Port 1515

    • Testar acesso à porta de dados (1514):

      • Linux: nc -zv wazuh.lupahosting.com.br 1514

      • Windows: Test-NetConnection -ComputerName wazuh.lupahosting.com.br -Port 1514

  • [ ] Chave de Autenticação (client.keys):

    • Verificar se a chave foi gerada e gravada:

      • Linux/FreeBSD: /var/ossec/etc/client.keys (o arquivo não deve estar vazio).

      • Windows: C:\Program Files (x86)\ossec-agent\client.keys.

    • Caso o arquivo esteja vazio, forçar o registro manual: /var/ossec/bin/agent-auth -m wazuh.lupahosting.com.br

  • [ ] Logs do Agente Cliente:

    • Inspecionar mensagens de recusa ou timeout:

      • Linux/FreeBSD: sudo tail -n 50 /var/ossec/logs/ossec.log

      • Windows: Abrir o arquivo C:\Program Files (x86)\ossec-agent\ossec.log.

  • [ ] Status do Serviço no Sistema Operacional:

    • Linux: sudo systemctl status wazuh-agent

    • Windows: Get-Service -Name "Wazuh"

    • FreeBSD: service wazuh-agent status