Seminar Wazuh Intensiv – Architektur, Deployment und Plattformbetrieb

Beschreibung

Der Intensivpfad führt von fachlichen Anforderungen zu einer abgenommenen und betreibbaren Plattform. Architekturentscheidungen werden unmittelbar in Installation, Agentenrollout, Verfügbarkeitsmodell und Betriebsrunbooks überführt.

Jeder Seminartag endet mit einer funktionalen Abnahme. Dadurch bleibt sichtbar, ob Fehler aus Topologie, Zertifikaten, Konfiguration, Datenfluss, Kapazität oder Betriebsprozess stammen.

Zielgruppe

Wazuh-Administration, Plattformbetrieb, Security Engineering, Linux- und Netzwerkadministration, SRE und technische Projektleitung

Voraussetzungen

Sichere Linux-Administration, DNS, Netzwerk, TLS, grundlegende SIEM-Kenntnisse und praktische Systembetriebserfahrung

Lernziele

• Ein belastbares Zielbild mit Sizing und Netzwerkplan erstellen
• Zentrale Komponenten und Zertifikate reproduzierbar installieren
• Agenten gruppiert und automatisiert ausrollen
• Cluster, Backup und Wiederanlauf praktisch absichern
• Härtung, Monitoring und Troubleshooting in den Regelbetrieb überführen

Inhaltsübersicht

1. Schutzbedarf, Anwendungsfälle und Systemgrenzen bestimmen
2. Komponenten und Datenfluss nachvollziehen
3. Kapazität, Aufbewahrung und Wachstum dimensionieren
4. Installationsvoraussetzungen systematisch prüfen
5. Indexer installieren und initial absichern
6. Server und Analyse-Engine bereitstellen
7. Dashboard und administrative Zugänge einrichten
8. Zertifikate und Vertrauensketten einrichten
9. Gruppen und zentrale Agentenkonfiguration verwalten
10. Massenbereitstellung automatisieren
11. Wazuh-Server-Cluster konfigurieren
12. Indexer-Cluster für Verfügbarkeit und Leistung betreiben
13. Sicherungsumfang und Wiederanlaufziele festlegen
14. Wiederherstellung als Runbook erproben
15. Härtung mit Negativ- und Regressionstests abnehmen
16. Datenfluss Ende zu Ende analysieren

Seminarinhalte

1. Schutzbedarf, Anwendungsfälle und Systemgrenzen bestimmen

Aus fachlichen Anforderungen ein belastbares Zielbild für SIEM-, XDR- und Compliance-Aufgaben ableiten.

1. Geschäftskritische Systeme, Datenbestände, Administrationszonen und externe Datenquellen inventarisieren.
2. Anwendungsfälle nach Erkennung, Untersuchung, Nachweisführung und Reaktion priorisieren.
3. Systemgrenzen, Verantwortlichkeiten sowie zulässige Datenflüsse dokumentieren.
4. Messbare Abnahmekriterien für Erfassungsgrad, Alarmqualität, Verfügbarkeit und Aufbewahrung festlegen.
5. Offene Annahmen in einer Entscheidungs- und Risikoliste erfassen.

2. Komponenten und Datenfluss nachvollziehen

Die Rollen von Agent, Server, Indexer und Dashboard einschließlich Analyse- und Transportpfad verstehen.

1. Ereignisse vom Endpoint bis zur Darstellung im Dashboard schrittweise verfolgen.
2. Agentenkommunikation, Enrollment, Analyse-Engine, Filebeat, Indexierung und API-Zugriff zuordnen.
3. Abhängigkeiten zwischen DNS, Zeitquelle, Zertifikaten, Ports und Dienstkonten markieren.
4. Kontrollpunkte definieren, an denen Vollständigkeit, Integrität und Latenz geprüft werden.
5. Ein Datenflussdiagramm für die geplante Umgebung erstellen.

3. Kapazität, Aufbewahrung und Wachstum dimensionieren

Aus Endpoint-Anzahl, Ereignisaufkommen, Alarmquote und Aufbewahrungsdauer eine erste Dimensionierung ableiten.

1. Messwerte aus einer Pilotphase für Ereignisse pro Sekunde, tägliches Datenvolumen und Suchlast erfassen.
2. Speicherbedarf einschließlich Replikation, Sicherheitsreserve und Index-Lebenszyklus kalkulieren.
3. CPU-, Arbeitsspeicher-, Datenträger- und Netzwerkbedarf je zentraler Komponente zuordnen.
4. Warnschwellen und Ausbaupunkte für drei Wachstumsszenarien definieren.
5. Die Berechnung als überprüfbare Sizing-Tabelle festhalten.

4. Installationsvoraussetzungen systematisch prüfen

Betriebssystem, Ressourcen, Datenträger, Paketquellen, Berechtigungen und Netzwerkzugänge vor der Installation validieren.

1. Hostnamen, DNS, Zeitabgleich und administrative Zugriffe auf allen vorgesehenen Knoten testen.
2. Erforderliche Ports und Netzwerkpfade rollenbezogen erfassen und kontrolliert freigeben.
3. Vorhandene Sicherheitsrichtlinien, Proxys, noexec-Mounts und Service-Härtungen auf Konflikte prüfen.
4. Eine reproduzierbare Preflight-Ausgabe mit Sollwerten und Abweichungen erstellen.
5. Erst nach dokumentierter Freigabe mit der Komponenteninstallation beginnen.

5. Indexer installieren und initial absichern

Den Such- und Speicherbaustein reproduzierbar auf Einzel- oder Mehrknotenbasis bereitstellen.

1. Pakete und Konfiguration auf dem vorgesehenen System installieren und Dienststatus prüfen.
2. Knotennamen, Clustername, Bind-Adressen und Datenpfade konsistent konfigurieren.
3. Zertifikate und Vertrauensbeziehungen einspielen und Dateiberechtigungen kontrollieren.
4. Cluster- und Indexzustand über administrative Prüfungen verifizieren.
5. Installationswerte, Versionen und Prüfergebnisse im Betriebsprotokoll festhalten.

6. Server und Analyse-Engine bereitstellen

Den zentralen Analyse- und Managementbaustein installieren, anbinden und kontrolliert starten.

1. Serverpakete installieren und die grundlegenden Dienste sowie Konfigurationspfade prüfen.
2. Verbindung zum Indexer und den Transport über Filebeat konfigurieren.
3. Enrollment-, Agenten- und API-Dienste mit den vorgesehenen Bind-Adressen aktivieren.
4. Standardregeln, Decoder und interne Ereignisverarbeitung mit Testdaten validieren.
5. Dienstabhängigkeiten und Startreihenfolge dokumentieren.

7. Dashboard und administrative Zugänge einrichten

Die Bedien-, Such- und Administrationsoberfläche sicher mit Indexer und Server-API verbinden.

1. Dashboardpaket installieren und Bind-Adresse, Port sowie Servername festlegen.
2. Zertifikate und Zugangsdaten für Indexer und API hinterlegen.
3. Anmeldung, Mandanten- beziehungsweise Rollenwirkung und grundlegende Abfragen prüfen.
4. Eine erste gespeicherte Suche und ein Kontroll-Dashboard anlegen.
5. Zugangsweg, Verantwortlichkeit und Wiederanlaufprüfung dokumentieren.

8. Zertifikate und Vertrauensketten einrichten

Verschlüsselte und authentisierte Kommunikation zwischen den zentralen Komponenten nachvollziehbar aufbauen.

1. Namenskonzept und Subject-Alternative-Names gegen die tatsächlichen Endpunkte prüfen.
2. Zertifikate rollenbezogen erzeugen oder aus der vorgesehenen PKI beziehen.
3. Private Schlüssel mit restriktiven Berechtigungen auf den Zielsystemen ablegen.
4. Vertrauensketten und TLS-Verbindungen aus Sicht jeder beteiligten Komponente testen.
5. Ablaufdaten, Erneuerungsweg und Notfalltausch in einem Zertifikatsregister festhalten.

9. Gruppen und zentrale Agentenkonfiguration verwalten

Wiederverwendbare Konfigurationsprofile entwickeln, testen und kontrolliert verteilen.

1. Gruppenhierarchie und Priorität überlappender Konfigurationen festlegen.
2. Gemeinsame Einstellungen in den vorgesehenen Gruppenpfaden versioniert pflegen.
3. Konfiguration zunächst einer Testgruppe zuweisen und Syntax sowie Wirkung prüfen.
4. Rollout auf weitere Gruppen stufenweise durchführen und Rückmeldungen überwachen.
5. Änderung, Freigabe und Rückweg in einem Konfigurationsprotokoll festhalten.

10. Massenbereitstellung automatisieren

Agenteninstallation und Grundkonfiguration für große Endpoint-Bestände standardisieren.

1. Pakete und Parameter je Betriebssystem und Softwareverteilung vorbereiten.
2. Installationsskripte idempotent gestalten und sensible Werte geschützt übergeben.
3. Pilotgeräte aus jeder Plattformklasse automatisiert installieren.
4. Erfolg anhand von Installationscode, Dienststatus, Enrollment und Datenempfang prüfen.
5. Fehlerfälle nach Ursache gruppieren und in einer wiederholbaren Nachbearbeitung behandeln.

11. Wazuh-Server-Cluster konfigurieren

Mehrere Serverknoten mit klarer Rollenverteilung, Synchronisation und konsistentem Agentenbetrieb aufbauen.

1. Master- und Worker-Rollen, Knotennamen und Clusterkommunikation planen.
2. Clusterkonfiguration und gemeinsamen Schlüssel geschützt bereitstellen.
3. Knoten nacheinander starten und Mitgliedschaft sowie Synchronisationsstatus prüfen.
4. Benutzerdefinierte Regeln, Gruppen und Agenteninformationen auf Konsistenz testen.
5. Knotenausfall und Wiederbeitritt mit dokumentierten Prüfpunkten erproben.

12. Indexer-Cluster für Verfügbarkeit und Leistung betreiben

Such- und Speicherlast über mehrere Knoten mit geprüftem Clusterzustand verteilen.

1. Knotenrollen, Clustername, Zertifikate und Datenpfade konsistent planen.
2. Knoten schrittweise hinzufügen und Clusterzustand sowie Shard-Verteilung prüfen.
3. Replikation und Kapazitätsreserve anhand des Ausfallszenarios festlegen.
4. Knotenausfall, Wiederaufnahme und Rebalancing kontrolliert testen.
5. Warnschwellen für Speicher, Shards, JVM und Clusterzustand definieren.

13. Sicherungsumfang und Wiederanlaufziele festlegen

Konfiguration, Indexdaten, Zertifikate und betriebliche Abhängigkeiten vollständig erfassen.

1. Komponenten und Datenpfade nach Wiederbeschaffbarkeit und Kritikalität klassifizieren.
2. RPO und RTO für Konfiguration, Agentenverwaltung, Alarmdaten und Dashboards definieren.
3. Online-, Snapshot- und dateibasierte Sicherungsverfahren zuordnen.
4. Aufbewahrung, Verschlüsselung, Zugriff und getrennte Ablage festlegen.
5. Eine Sicherungsmatrix mit Verantwortlichen und Prüffrequenzen erstellen.

14. Wiederherstellung als Runbook erproben

Den Wiederanlauf der Plattform in definierter Reihenfolge und mit prüfbaren Ergebnissen durchführen.

1. Ausfallszenario, Zieltopologie und verfügbare Sicherungsstände auswählen.
2. Zentrale Komponenten, Zertifikate und Konfiguration in der vorgesehenen Reihenfolge wiederherstellen.
3. Indexdaten einspielen und Verbindungen zwischen Server, Indexer und Dashboard prüfen.
4. Referenzagenten und gespeicherte Suchen gegen festgelegte Testfälle validieren.
5. Zeitbedarf, Abweichungen und Verbesserungen im Runbook aktualisieren.

15. Härtung mit Negativ- und Regressionstests abnehmen

Sicherheitsmaßnahmen belegen, ohne die Überwachungsfunktion unbemerkt zu beeinträchtigen.

1. Sollkontrollen und zugehörige Testfälle in einer Härtungsmatrix erfassen.
2. Unzulässige Verbindungen, Rollen und Anmeldungen gezielt testen.
3. Erlaubte Agenten-, API-, Indexer- und Dashboardpfade parallel verifizieren.
4. Performance und Fehlermeldungen vor und nach der Härtung vergleichen.
5. Abnahme, Restpunkte und Wiederholungsintervall dokumentieren.

16. Datenfluss Ende zu Ende analysieren

Fehlende Alarme systematisch von der Quelle bis zur Anzeige eingrenzen.

1. Kontrollereignis mit eindeutigem Zeit- und Hostbezug erzeugen.
2. Lokale Logquelle und Agentenerfassung prüfen.
3. Serverempfang, Decodierung, Regelverarbeitung und Alarmdatei nachvollziehen.
4. Filebeat-Transport, Indexierung und Dashboardabfrage kontrollieren.
5. Fehlerursache und korrigierende Maßnahme an der frühesten fehlerhaften Stufe dokumentieren.

Praxislabor

1. Aus einem Unternehmensszenario Topologie, Sizing, Zonen und Abnahmekriterien ableiten.
2. Indexer, Server und Dashboard mit Zertifikaten installieren und einen Referenzagenten anbinden.
3. Agentengruppen und einen automatisierten Pilotrollout für Windows und Linux durchführen.
4. Mehrknotenzustand, Backup und isolierte Wiederherstellung mit Referenztests prüfen.
5. Härtungs- und Störungsszenarien durchführen und daraus Betriebsrunbooks erstellen.

Betriebliche Qualitätssicherung

• Tägliche Ende-zu-Ende-Abnahme mit Kontrollereignissen
• Gesicherte Konfigurations- und Datenstände vor Cluster- oder Härtungsänderungen
• Messung von Agentenabdeckung, Queue, Indexerzustand und Suchlatenz
• Abbruch- und Rückfallkriterien für Installation, Failover und Restore