Wazug HAProxy WAF mit Coraza - Versionsgeschichte

Thomas.will: /* Leserechte für den Agent */

2026-07-01T13:12:39Z

Leserechte für den Agent

Thomas.will: /* Decoder und Regel (auf dem Wazuh-Manager) */

2026-06-26T15:50:41Z

Decoder und Regel (auf dem Wazuh-Manager)

Thomas.will: /* Decoder und Regel (auf dem Wazuh-Manager) */

2026-06-26T15:50:04Z

Decoder und Regel (auf dem Wazuh-Manager)

Thomas.will: /* Decoder und Regel (auf dem Wazuh-Manager) */

2026-06-26T15:31:59Z

Decoder und Regel (auf dem Wazuh-Manager)

Thomas.will: /* Leserechte für den Agent */

2026-06-26T15:29:34Z

Leserechte für den Agent

Thomas.will: Die Seite wurde neu angelegt: „=Wazuh-Anbindung der WAF (Coraza)= Die '''WAF''' (HAProxy + Coraza-SPOA) liefert die Abwehr-Telemetrie an das SIEM: welcher Angriff wurde von welcher Regel geb…“

2026-06-26T15:14:24Z

Die Seite wurde neu angelegt: „=Wazuh-Anbindung der WAF (Coraza)= Die '''WAF''' (HAProxy + Coraza-SPOA) liefert die Abwehr-Telemetrie an das SIEM: welcher Angriff wurde von welcher Regel geb…“

Neue Seite

=Wazuh-Anbindung der WAF (Coraza)=
Die '''WAF''' (HAProxy + Coraza-SPOA) liefert die Abwehr-Telemetrie an das SIEM: welcher Angriff wurde von welcher Regel geblockt. Das ergänzt die VulnSite-Sicht — dort sieht Wazuh den Angriffsversuch im Apache-Log, hier sieht es die '''Abwehr davor'''.

'''Hinweis:''' Wazuhs eingebaute ModSecurity-Regeln greifen nur auf das Apache-error.log klassischer ModSecurity. Coraza-SPOA schreibt ein eigenes Audit-Log und läuft nicht über Apache — daher binden wir das Coraza-JSON-Audit-Log ein und ergänzen einen eigenen Decoder samt Regel auf dem Manager.

==== Repository einrichten ====
;GPG-Schlüssel importieren
<syntaxhighlight lang="bash">
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
chmod 644 /usr/share/keyrings/wazuh.gpg
</syntaxhighlight>
;Repository hinzufügen
<syntaxhighlight lang="bash">
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" > /etc/apt/sources.list.d/wazuh.list
apt update
</syntaxhighlight>

==== Agent installieren ====
;Agent mit Manager-Adresse und Namen installieren
<syntaxhighlight lang="bash">
WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="waf" apt install -y wazuh-agent
</syntaxhighlight>
;Dienst aktivieren und starten
<syntaxhighlight lang="bash">
systemctl daemon-reload
systemctl enable --now wazuh-agent
</syntaxhighlight>
;Repository deaktivieren
<syntaxhighlight lang="bash">
sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
apt update
</syntaxhighlight>

==== Coraza-Audit-Log auf JSON umstellen ====
Das Audit-Log liegt standardmäßig im nativen ModSecurity-Format (Multiline mit Trennern wie ''--aaCuCNaqNi-A--''). Das kann Wazuh nicht sauber parsen. Auf JSON umstellen.
;In ''/etc/coraza-spoa/coraza-spoa.yaml'' ergänzen
<pre>
SecAuditLogFormat JSON
</pre>
;Daemon neu starten
* systemctl restart coraza-spoa
;Eine Zeile prüfen — muss jetzt mit { beginnen
* tail -1 /var/log/coraza/audit.log

==== Audit-Log anbinden ====
;In ''/var/ossec/etc/ossec.conf'' auf der WAF
<pre>
<localfile>
<log_format>json</log_format>
<location>/var/log/coraza/audit.log</location>
</localfile>
</pre>

==== Leserechte für den Agent ====
Der ''wazuh''-User muss das Audit-Log lesen können, sonst werden keine Ereignisse übertragen.
;Zugriff testen
* sudo -u wazuh cat /var/log/coraza/audit.log > /dev/null
;Bei "Permission denied" Gruppe/Rechte setzen
<syntaxhighlight lang="bash">
chmod 640 /var/log/coraza/audit.log
setfacl -m u:wazuh:r /var/log/coraza/audit.log
</syntaxhighlight>

==== Decoder und Regel (auf dem Wazuh-Manager) ====
Coraza-JSON wird vom generischen JSON-Decoder zerlegt, aber von keiner eingebauten Regel klassifiziert. Beides ergänzen.
;Decoder in ''/var/ossec/etc/decoders/local-coraza_decoders.xml''
<pre>
<decoder name="coraza-audit">
<prematch>^{"transaction":</prematch>
<plugin_decoder>JSON_Decoder</plugin_decoder>
</decoder>
</pre>
;Regel in ''/var/ossec/etc/rules/local_rules.xml''
<pre>
<group name="coraza,waf,">
<rule id="100100" level="0">
<decoded_as>json</decoded_as>
<field name="transaction.client_ip">\.+</field>
<description>Coraza WAF Audit-Log.</description>
</rule>
<rule id="100101" level="10">
<if_sid>100100</if_sid>
<description>Coraza WAF: Angriff geblockt.</description>
<group>attack,web,</group>
</rule>
</group>
</pre>
;Manager neu starten
* systemctl restart wazuh-manager

==== Kontrolle ====
;Angriff von der Kali gegen die WAF
<syntaxhighlight lang="bash">
curl "http://waf.it213.xinmen.de/?id=1'+OR+'1'='1"
</syntaxhighlight>
;Im Dashboard
* Öffne ''Threat Hunting'', Filter ''rule.id:100101''
* Der Alert "Coraza WAF: Angriff geblockt" muss erscheinen

[[Kategorie:WAZUH]]
[[Kategorie:Coraza]]

@@ Zeile 62: / Zeile 62: @@
 setfacl -m u:wazuh:r /var/log/coraza/audit.log
 </syntaxhighlight>
+=== Neustarten des Wazuh Agents ===
 ==== Decoder und Regel (auf dem Wazuh-Manager) ====

@@ Zeile 66: / Zeile 66: @@
 ==== Decoder und Regel (auf dem Wazuh-Manager) ====
 Coraza-JSON wird vom generischen JSON-Decoder zerlegt, aber von keiner eingebauten Regel klassifiziert. Beides ergänzen.
-;Falls die Verzeichnisse fehlen (All-in-One), anlegen
 ;Decoder in ''/var/ossec/etc/decoders/local-coraza_decoders.xml''
 <pre>

@@ Zeile 62: / Zeile 62: @@
 setfacl -m u:wazuh:r /var/log/coraza/audit.log
 </syntaxhighlight>
 ==== Decoder und Regel (auf dem Wazuh-Manager) ====
 Coraza-JSON wird vom generischen JSON-Decoder zerlegt, aber von keiner eingebauten Regel klassifiziert. Beides ergänzen.
 ;Decoder in ''/var/ossec/etc/decoders/local-coraza_decoders.xml''
 <pre>
 <decoder name="coraza-audit">
@@ Zeile 73: / Zeile 75: @@
 </decoder>
 </pre>
-;Regel in ''/var/ossec/etc/rules/local_rules.xml''
+;Regel in ''/var/ossec/etc/rules/local_rules.xml'' ergänzen
 <pre>
 <group name="coraza,waf,">
@@ Zeile 83: / Zeile 85: @@
    <rule id="100101" level="10">
      <if_sid>100100</if_sid>
-     <description>Coraza WAF: Angriff geblockt.</description>
+    <field name="transaction.is_interrupted">true</field>
      <group>attack,web,</group>
    </rule>
 </group>
 </pre>
-;Manager neu starten
+;Eigentümer und Rechte setzen
 * systemctl restart wazuh-manager

@@ Zeile 59: / Zeile 59: @@
 <syntaxhighlight lang="bash">
 chmod 640 /var/log/coraza/audit.log
 setfacl -m u:wazuh:r /var/log/coraza/audit.log
 </syntaxhighlight>