Wazuh Apache2 - Versionsgeschichte

Thomas.will: /* Agent installieren */

2026-07-01T11:51:29Z

Agent installieren

Thomas.will: /* Agent installieren */

2026-07-01T11:46:48Z

Agent installieren

Thomas.will: /* FIM auf das Upload-Verzeichnis */

2026-06-26T14:42:26Z

FIM auf das Upload-Verzeichnis

Thomas.will: /* Apache-Log anbinden */

2026-06-26T14:41:02Z

Apache-Log anbinden

Thomas.will: Die Seite wurde neu angelegt: „=Wazuh-Agent auf der VulnSite= Die '''VulnSite''' (Apache/PHP) ist das Angriffsziel im Lab und liefert die Web-Telemetrie an das SIEM. Sie sammelt und übertr…“

2026-06-26T14:33:59Z

Die Seite wurde neu angelegt: „=Wazuh-Agent auf der VulnSite= Die '''VulnSite''' (Apache/PHP) ist das Angriffsziel im Lab und liefert die Web-Telemetrie an das SIEM. Sie sammelt und übertr…“

Neue Seite

=Wazuh-Agent auf der VulnSite=
Die '''VulnSite''' (Apache/PHP) ist das Angriffsziel im Lab und liefert die Web-Telemetrie an das SIEM. Sie sammelt und überträgt, führt aber keine Active Response aus:
* '''Web''' — Apache-Access-Log (''/var/log/apache2/access.log'', Angriffsversuche wie SQLi und Command Injection als Logzeilen)
* '''FIM''' — Upload-Verzeichnis (Echtzeit-Erkennung hochgeladener Webshells)
Die Web-Attack-Decoder und -Regeln (Rule-IDs ab 31100) bringt Wazuh bereits mit. Der Agent ist hier Transport für beide Quellen an den Manager '''wazuh.dkbi.com'''.

==== Repository einrichten ====
;GPG-Schlüssel importieren
<syntaxhighlight lang="bash">
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
chmod 644 /usr/share/keyrings/wazuh.gpg
</syntaxhighlight>
;Repository hinzufügen
<syntaxhighlight lang="bash">
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" > /etc/apt/sources.list.d/wazuh.list
apt update
</syntaxhighlight>

==== Agent installieren ====
;Agent mit Manager-Adresse und Namen installieren
<syntaxhighlight lang="bash">
WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="vulnsite" apt install -y wazuh-agent
</syntaxhighlight>
;Dienst aktivieren und starten
<syntaxhighlight lang="bash">
systemctl daemon-reload
systemctl enable --now wazuh-agent
</syntaxhighlight>
;Repository deaktivieren (verhindert ungewollte Updates)
<syntaxhighlight lang="bash">
sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
apt update
</syntaxhighlight>
* Öffne das Wazuh-Dashboard, gehe zu ''Agent Management → Summary'' und prüfe, ob der Agent '''vulnsite''' mit Status '''Active''' erscheint

==== Apache-Log anbinden ====
Der Web-Feed wird als statische localfile-Sektion eingebunden.
* Ergänze in ''/var/ossec/etc/ossec.conf'' folgenden Block:
<pre>
<localfile>
<log_format>apache</log_format>
<location>/var/log/apache2/access.log</location>
</localfile>
</pre>

==== FIM auf das Upload-Verzeichnis ====
Lädt ein Angreifer über die File-Upload-Schwachstelle eine Webshell hoch, erkennt FIM die neue Datei in Echtzeit.
* Ergänze in ''/var/ossec/etc/ossec.conf'' den syscheck-Block:
<pre>
<syscheck>
<directories check_all="yes" report_changes="yes" realtime="yes">PFAD_ZUM_UPLOAD</directories>
</syscheck>
</pre>
* ''realtime="yes"'' liefert den Alert sofort beim Upload, nicht erst beim nächsten Scan
* ''report_changes="yes"'' zeigt bei Textdateien den Inhalt — bei einer PHP-Shell siehst du den Shell-Code direkt im Alert

==== Agent neu starten ====
<syntaxhighlight lang="bash">
systemctl restart wazuh-agent
</syntaxhighlight>

==== Kontrolle ====
* SQLi-Funktionstest von der Kali:
<pre>
curl -XGET "http://<vulnsite-ip>/users/?id=SELECT+*+FROM+users"
</pre>
* Öffne im Dashboard ''Threat Hunting'' und filtere auf ''rule.id:31103''
* Der Alert "SQL injection attempt" muss erscheinen
* Webshell-Test: Datei über das Upload-Formular hochladen → FIM-Alert unter ''rule.groups:syscheck''

[[Kategorie:WAZUH]]
[[Kategorie:VulnSite]]

@@ Zeile 32: / Zeile 32: @@
 apt update
 </syntaxhighlight>
-* Öffne das Wazuh-Dashboard, gehe zu ''Agent Management → Summary'' und prüfe, ob der Agent '''vulnsite''' mit Status '''Active''' erscheint
+* Öffne das Wazuh-Dashboard, gehe zu ''Agent Management → Summary'' und prüfe, ob der Agent '''www''' mit Status '''Active''' erscheint
 ==== FIM auf das Upload-Verzeichnis ====

@@ Zeile 20: / Zeile 20: @@
 ;Agent mit Manager-Adresse und Namen installieren
 <syntaxhighlight lang="bash">
-WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="vulnsite" apt install -y wazuh-agent
+WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="www" apt install -y wazuh-agent
 </syntaxhighlight>
 ;Dienst aktivieren und starten

@@ Zeile 39: / Zeile 39: @@
    <pre>
    <syscheck>
-     <directories check_all="yes" report_changes="yes" realtime="yes">PFAD_ZUM_UPLOAD</directories>
+     <directories check_all="yes" report_changes="yes" realtime="yes">/var/www/html/uploads</directories>
    </syscheck>
    </pre>