Seminar Wazuh Aufbau, Installation und Erstkonfiguration

Beschreibung

Die zentrale Plattform wird schrittweise von der technischen Vorprüfung bis zur abgenommenen Datenverarbeitung aufgebaut. Jeder Komponentenschritt endet mit klaren Funktions- und Sicherheitskontrollen.

Die Übungen unterscheiden bewusst Installationserfolg von Betriebsbereitschaft. Neben Paket- und Dienststatus werden Zertifikate, Datenfluss, Suchfunktion, Testereignisse, Baseline und erste Betriebsaufgaben geprüft.

Zielgruppe

Linux-Administration, Security Engineering, Plattformbetrieb, SIEM-Administration und technische Implementierung

Voraussetzungen

Sichere Linux-Administration, Shell, DNS, Netzwerkfreigaben, TLS-Grundlagen und grundlegendes Verständnis zentraler Logplattformen

Lernziele

• Installationsvoraussetzungen und Konflikte vorab erkennen
• Indexer, Server und Dashboard reproduzierbar bereitstellen
• Zertifikate und Vertrauensbeziehungen korrekt einrichten
• Einen Referenzagenten vollständig anbinden
• Ende-zu-Ende-Abnahme und grundlegenden Betrieb vorbereiten

Inhaltsübersicht

1. Installationsvoraussetzungen systematisch prüfen
2. Indexer installieren und initial absichern
3. Server und Analyse-Engine bereitstellen
4. Dashboard und administrative Zugänge einrichten
5. Zertifikate und Vertrauensketten einrichten
6. Ersten Agenten anbinden und Baseline erzeugen
7. Grundfunktion und Datenqualität abnehmen
8. Betrieb nach der Installation vorbereiten

Seminarinhalte

1. Installationsvoraussetzungen systematisch prüfen

Betriebssystem, Ressourcen, Datenträger, Paketquellen, Berechtigungen und Netzwerkzugänge vor der Installation validieren.

1. Hostnamen, DNS, Zeitabgleich und administrative Zugriffe auf allen vorgesehenen Knoten testen.
2. Erforderliche Ports und Netzwerkpfade rollenbezogen erfassen und kontrolliert freigeben.
3. Vorhandene Sicherheitsrichtlinien, Proxys, noexec-Mounts und Service-Härtungen auf Konflikte prüfen.
4. Eine reproduzierbare Preflight-Ausgabe mit Sollwerten und Abweichungen erstellen.
5. Erst nach dokumentierter Freigabe mit der Komponenteninstallation beginnen.

2. Indexer installieren und initial absichern

Den Such- und Speicherbaustein reproduzierbar auf Einzel- oder Mehrknotenbasis bereitstellen.

1. Pakete und Konfiguration auf dem vorgesehenen System installieren und Dienststatus prüfen.
2. Knotennamen, Clustername, Bind-Adressen und Datenpfade konsistent konfigurieren.
3. Zertifikate und Vertrauensbeziehungen einspielen und Dateiberechtigungen kontrollieren.
4. Cluster- und Indexzustand über administrative Prüfungen verifizieren.
5. Installationswerte, Versionen und Prüfergebnisse im Betriebsprotokoll festhalten.

3. Server und Analyse-Engine bereitstellen

Den zentralen Analyse- und Managementbaustein installieren, anbinden und kontrolliert starten.

1. Serverpakete installieren und die grundlegenden Dienste sowie Konfigurationspfade prüfen.
2. Verbindung zum Indexer und den Transport über Filebeat konfigurieren.
3. Enrollment-, Agenten- und API-Dienste mit den vorgesehenen Bind-Adressen aktivieren.
4. Standardregeln, Decoder und interne Ereignisverarbeitung mit Testdaten validieren.
5. Dienstabhängigkeiten und Startreihenfolge dokumentieren.

4. Dashboard und administrative Zugänge einrichten

Die Bedien-, Such- und Administrationsoberfläche sicher mit Indexer und Server-API verbinden.

1. Dashboardpaket installieren und Bind-Adresse, Port sowie Servername festlegen.
2. Zertifikate und Zugangsdaten für Indexer und API hinterlegen.
3. Anmeldung, Mandanten- beziehungsweise Rollenwirkung und grundlegende Abfragen prüfen.
4. Eine erste gespeicherte Suche und ein Kontroll-Dashboard anlegen.
5. Zugangsweg, Verantwortlichkeit und Wiederanlaufprüfung dokumentieren.

5. Zertifikate und Vertrauensketten einrichten

Verschlüsselte und authentisierte Kommunikation zwischen den zentralen Komponenten nachvollziehbar aufbauen.

1. Namenskonzept und Subject-Alternative-Names gegen die tatsächlichen Endpunkte prüfen.
2. Zertifikate rollenbezogen erzeugen oder aus der vorgesehenen PKI beziehen.
3. Private Schlüssel mit restriktiven Berechtigungen auf den Zielsystemen ablegen.
4. Vertrauensketten und TLS-Verbindungen aus Sicht jeder beteiligten Komponente testen.
5. Ablaufdaten, Erneuerungsweg und Notfalltausch in einem Zertifikatsregister festhalten.

6. Ersten Agenten anbinden und Baseline erzeugen

Die komplette Verarbeitungskette mit einem kontrollierten Referenz-Endpoint nachweisen.

1. Agentenpaket auf einem repräsentativen System installieren.
2. Manageradresse, Enrollment und eindeutige Agentenidentität konfigurieren.
3. Agentenstatus, Gruppenmitgliedschaft und zentrale Konfiguration prüfen.
4. Definierte Testereignisse erzeugen und deren Weg bis zum Dashboard verfolgen.
5. Abweichungen als Korrekturliste für den späteren Massenrollout dokumentieren.

7. Grundfunktion und Datenqualität abnehmen

Nach der Erstinstallation eine technische und fachliche Baseline mit wiederholbaren Tests schaffen.

1. Dienststatus, Clusterzustand, Zertifikate und API-Erreichbarkeit kontrollieren.
2. Für mehrere Datenquellen Positiv-, Negativ- und Grenzfallereignisse erzeugen.
3. Zeitstempel, Feldextraktion, Regelzuordnung, Alarmstufe und Indexierung vergleichen.
4. Latenz und Vollständigkeit vom Ursprung bis zur Suche messen.
5. Abnahmeprotokoll, Restpunkte und Freigabeentscheidung erstellen.

8. Betrieb nach der Installation vorbereiten

Aus der technischen Installation einen wartbaren Produktionsbetrieb mit klaren Kontrollen ableiten.

1. Dienst-, Kapazitäts-, Zertifikats- und Datenflussprüfungen in eine tägliche und wöchentliche Checkliste überführen.
2. Backup, Protokollrotation, Index-Lebenszyklus und Konfigurationssicherung einplanen.
3. Administrationsrollen, Änderungswege und Notfallkontakte festlegen.
4. Monitoring- und Alarmgrenzen für zentrale Komponenten definieren.
5. Betriebsdokumentation und Übergabecheckliste vervollständigen.

Praxislabor

1. Drei zentrale Systeme und einen Referenz-Endpoint anhand einer Preflight-Checkliste vorbereiten.
2. Indexer, Server und Dashboard getrennt installieren und über TLS verbinden.
3. Einen Agenten registrieren, Testereignisse erzeugen und den vollständigen Datenweg prüfen.
4. Fehler bei Zertifikat, Filebeat-Transport und API-Zugriff gezielt diagnostizieren.
5. Abnahmeprotokoll, Sicherungsumfang und tägliche Betriebskontrolle erstellen.

Betriebliche Qualitätssicherung

• Komponentenbezogene Installations- und Prüfnachweise
• Zertifikatsregister und Erneuerungspfad
• Positiv-, Negativ- und Grenzfalltests für den Datenfluss
• Betriebscheckliste für Dienste, Speicher, Queue und Suchfunktion