Wazuh Mailserver - Versionsgeschichte

Thomas.will am 28. Juni 2026 um 05:44 Uhr

2026-06-28T05:44:48Z

Thomas.will: /* Funktionstest */

2026-06-26T17:59:13Z

Funktionstest

Thomas.will: /* Funktionstest */

2026-06-26T17:52:26Z

Funktionstest

Thomas.will: /* Funktionstest */

2026-06-26T17:26:42Z

Funktionstest

Thomas.will: /* Manager konfigurieren */

2026-06-26T17:23:28Z

Manager konfigurieren

Thomas.will: /* Manager konfigurieren */

2026-06-26T17:21:58Z

Manager konfigurieren

Thomas.will: /* Agent installieren */

2026-06-26T17:03:42Z

Agent installieren

Thomas.will: /* Wazuh Alert-Mails */

2026-06-26T17:02:48Z

Wazuh Alert-Mails

Thomas.will am 26. Juni 2026 um 17:02 Uhr

2026-06-26T17:02:02Z

Thomas.will: Die Seite wurde neu angelegt: „=Wazuh Alert-Mails= Wazuh verschickt bei Alerts ab einem Schwellwert eine E-Mail über den bestehenden Mailserver '''mail.it213.xinmen.de'''. Der Manager häng…“

2026-06-26T16:59:05Z

Die Seite wurde neu angelegt: „=Wazuh Alert-Mails= Wazuh verschickt bei Alerts ab einem Schwellwert eine E-Mail über den bestehenden Mailserver '''mail.it213.xinmen.de'''. Der Manager häng…“

Neue Seite

=Wazuh Alert-Mails=
Wazuh verschickt bei Alerts ab einem Schwellwert eine E-Mail über den bestehenden Mailserver '''mail.it213.xinmen.de'''. Der Manager hängt sich als reiner SMTP-Client ein. Die Alerts landen im Postfach und sind in Roundcube sichtbar — damit wird der Bogen ''Detection → Response'' greifbar.

==== Mail-User anlegen (Mailserver) ====
Auf '''mail.it213.xinmen.de''' zwei lokale User anlegen: Absender und Empfänger.
;Absender und SOC-Postfach anlegen
<syntaxhighlight lang="bash">
useradd -m -s /usr/sbin/nologin wazuh
useradd -m -s /bin/bash soc
passwd soc
</syntaxhighlight>
* ''wazuh'' braucht kein Login (nur Absenderadresse), ''soc'' ist das Postfach, das du in Roundcube öffnest

==== Relay erlauben (Mailserver) ====
Wazuh sendet unauthentifiziert auf Port 25. Der Mailserver muss das Server-Netz als vertrauenswürdig akzeptieren.
;Aktuelle mynetworks prüfen
* postconf mynetworks
;Falls das Server-Netz fehlt, ergänzen
<syntaxhighlight lang="bash">
postconf -e "mynetworks = 127.0.0.0/8 172.26.54.0/24"
systemctl reload postfix
</syntaxhighlight>

==== Manager konfigurieren ====
;In ''/var/ossec/etc/ossec.conf'' den global-Block ergänzen
<pre>
<global>
<email_notification>yes</email_notification>
<smtp_server>mail.it213.xinmen.de</smtp_server>
<email_from>wazuh@it213.xinmen.de</email_from>
<email_to>soc@it213.xinmen.de</email_to>
<email_maxperhour>12</email_maxperhour>
</global>
</pre>
;Schwellwert setzen — nur Alerts ab Level 7 mailen
<pre>
<alerts>
<email_alert_level>7</email_alert_level>
</alerts>
</pre>
;Manager neu starten
* systemctl restart wazuh-manager

==== Funktionstest ====
;SMTP-Pfad direkt prüfen (vom Wazuh-Manager aus)
* echo "test" | mail -s "wazuh smtp test" -r wazuh@it213.xinmen.de soc@it213.xinmen.de
* Die Mail muss in Roundcube im Postfach ''soc'' erscheinen
;Echten Alert auslösen (Brute-Force von der Kali, Level 10)
<syntaxhighlight lang="bash">
hydra -l kit -P bad-passwords.txt ssh://<ubuntu-ip>
</syntaxhighlight>
* Wazuh schickt die Brute-Force-Alarmmail an ''soc@it213.xinmen.de''

[[Kategorie:WAZUH]]

@@ Zeile 59: / Zeile 59: @@
 ;SMTP-Pfad direkt prüfen (vom Wazuh-Manager aus)
 * dnf install -y s-nail
-*echo "172.26.24.3 mail.dkbi.com" >> /etc/hosts
+*echo "172.26.52.3 mail.dkbi.com" >> /etc/hosts
 *echo "test" | s-nail -s "test" -S mta=smtp://mail.dkbi.com:25 -S from=wazuh@it213.xinmen.de soc@it213.xinmen.de
 * Die Mail muss in Roundcube im Postfach ''soc'' erscheinen

@@ Zeile 4: / Zeile 4: @@
 ==== Agent installieren ====
 <syntaxhighlight lang="bash">
-apt install -y gpg
+apt update && apt install -y gpg
 curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
 chmod 644 /usr/share/keyrings/wazuh.gpg
@@ Zeile 15: / Zeile 15: @@
 apt update
 </syntaxhighlight>
 ==== Mail-User anlegen (Mailserver) ====

@@ Zeile 4: / Zeile 4: @@
 ==== Agent installieren ====
 <syntaxhighlight lang="bash">
 curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
 chmod 644 /usr/share/keyrings/wazuh.gpg

@@ Zeile 67: / Zeile 67: @@
 </syntaxhighlight>
 * Wazuh schickt die Brute-Force-Alarmmail an ''soc@it213.xinmen.de''
+==== ADD ON===
 [[Kategorie:WAZUH]]

@@ Zeile 58: / Zeile 58: @@
 ==== Funktionstest ====
 ;SMTP-Pfad direkt prüfen (vom Wazuh-Manager aus)
 * echo "test" | mail -s "wazuh smtp test" -r wazuh@it213.xinmen.de soc@it213.xinmen.de
 * Die Mail muss in Roundcube im Postfach ''soc'' erscheinen

@@ Zeile 48: / Zeile 48: @@
 ;Schwellwert setzen — nur Alerts ab Level 7 mailen
 <pre>
-<alerts>
+  <alerts>
-  <email_alert_level>7</email_alert_level>
+    <log_alert_level>3</log_alert_level>
-</alerts>
+    <email_alert_level>7</email_alert_level>
 </pre>
 ;Manager neu starten

@@ Zeile 37: / Zeile 37: @@
 ==== Manager konfigurieren ====
-;In ''/var/ossec/etc/ossec.conf'' den global-Block ergänzen
+;In ''/var/ossec/etc/ossec.conf'' den global-Block die Beispiel Daten ändern.
 <pre>
 <global>
    <smtp_server>mail.it213.xinmen.de</smtp_server>
    <email_from>wazuh@it213.xinmen.de</email_from>

@@ Zeile 1: / Zeile 1: @@
 =Wazuh Alert-Mails=
 Wazuh verschickt bei Alerts ab einem Schwellwert eine E-Mail über den bestehenden Mailserver '''mail.it213.xinmen.de'''. Der Manager hängt sich als reiner SMTP-Client ein. Die Alerts landen im Postfach und sind in Roundcube sichtbar — damit wird der Bogen ''Detection → Response'' greifbar.
 ==== Mail-User anlegen (Mailserver) ====