Wazuh Monitoring Docker events - Versionsgeschichte

Thomas.will: /* Quelle */

2025-03-11T18:50:55Z

Quelle

Thomas.will am 27. Februar 2025 um 12:36 Uhr

2025-02-27T12:36:13Z

Thomas.will: Die Seite wurde neu angelegt: „== Überwachung von Docker mit Wazuh == === Einführung === Die Überwachung von Docker-Containern und des Docker-Servers ist entscheidend für die Sicherheit…“

2025-02-27T12:34:11Z

Die Seite wurde neu angelegt: „== Überwachung von Docker mit Wazuh == === Einführung === Die Überwachung von Docker-Containern und des Docker-Servers ist entscheidend für die Sicherheit…“

Neue Seite

== Überwachung von Docker mit Wazuh ==

=== Einführung ===
Die Überwachung von Docker-Containern und des Docker-Servers ist entscheidend für die Sicherheit und Compliance einer Container-Umgebung. Sowohl der Docker-Server als auch die Container selbst sollten überwacht werden, um verdächtige Aktivitäten zu erkennen und auf Sicherheitsvorfälle reagieren zu können.

=== Überwachung des Docker-Servers ===
Der Docker-Server verwaltet die Bereitstellung von Containern und deren Ressourcenzuweisung. Durch die Überwachung können folgende Aspekte überprüft werden:
* Ressourcennutzung
* Unautorisierte Zugriffsversuche
* Leistungsprobleme
* Sicherheitsbedenken

=== Überwachung der Docker-Container ===
Neben dem Server müssen auch die Container selbst überwacht werden. Dies ermöglicht:
* Erfassung von Netzwerkverbindungen
* Überwachung von Dateisystemänderungen
* Identifikation verdächtiger Prozesse
* Erkennung von Malware

Durch die gleichzeitige Überwachung von Server und Containern wird die Sicherheit der Umgebung verbessert.

== Schritte zur Überwachung von Docker mit Wazuh ==

=== Installation des Wazuh-Agenten ===
Der Wazuh-Agent wird auf dem Docker-Server installiert, um die zugrunde liegende Infrastruktur zu sichern.

=== Aktivierung des Wazuh Docker Listeners ===
Der Docker Listener wird auf dem Agenten ausgeführt und sammelt Docker-Logs zur Weiterleitung an den Wazuh-Server.

== Aktivierung des Wazuh Docker Listeners ==

=== Voraussetzungen ===
Der Wazuh Docker Listener benötigt das Python Docker-Modul. Es werden Python-Versionen von 3.8 bis 3.12 unterstützt.

=== Installation der Docker-Bibliothek für Python ===
Die offizielle Python-Bibliothek für die Docker Engine API ist erforderlich. Wazuh benötigt die Version '''docker==7.1.0'''.

Für Python 3.8–3.10:
<pre>
pip3 install docker==7.1.0 urllib3==1.26.20 requests==2.32.2
</pre>

Für Python 3.11–3.12:
<pre>
pip3 install docker==7.1.0 urllib3==1.26.20 requests==2.32.2 --break-system-packages
</pre>

''Hinweis:'' Der zweite Befehl modifiziert die systemweite Python-Umgebung. Um dies zu vermeiden, kann die Installation in einer virtuellen Umgebung erfolgen.

← Nächstältere Version		Version vom 11. März 2025, 18:50 Uhr
Zeile 150:		Zeile 150:
	==Quelle==		==Quelle==
	*https://documentation.wazuh.com/current/proof-of-concept-guide/monitoring-docker.html		*https://documentation.wazuh.com/current/proof-of-concept-guide/monitoring-docker.html
		+	[[Kategorie:WAZUH]]

← Nächstältere Version		Version vom 27. Februar 2025, 12:36 Uhr
Zeile 46:		Zeile 46:
	</pre>		</pre>

−	''Hinweis:'' ~~Der zweite~~ Befehl modifiziert die ~~systemweite~~ Python-Umgebung. Um ~~dies~~ zu vermeiden, ~~kann die Installation in~~ einer virtuellen Umgebung ~~erfolgen~~.	+	''Hinweis:'' Dieser Befehl modifiziert die standardmäßige, extern verwaltete Python-Umgebung. Um diese Modifikation zu vermeiden, können Sie `pip3 install --upgrade pip` innerhalb einer virtuellen Umgebung ausführen. Anschließend müssen Sie das Shebang im Skript `/var/ossec/wodles/docker/DockerListener` auf den Interpreter Ihrer virtuellen Umgebung aktualisieren, z.B.: `#!/pfad/zu/ihrer/virtuellen/umgebung/bin/python3`.
		+
		+	=== Konfiguration des Wazuh-Agenten ===
		+	Führen Sie die folgenden Schritte auf dem Docker-Server aus, um den Wazuh-Agenten zur Weiterleitung von Docker-Ereignissen an den Wazuh-Server zu konfigurieren.
		+
		+	1. Fügen Sie die folgende Konfiguration zur Wazuh-Agenten-Konfigurationsdatei `/var/ossec/etc/ossec.conf` hinzu, um den Docker Listener zu aktivieren:
		+	<pre>
		+	<wodle name="docker-listener">
		+	<disabled>no</disabled>
		+	</wodle>
		+	</pre>
		+
		+	2. Starten Sie den Wazuh-Agenten neu, um die Änderungen zu übernehmen:
		+	<pre>
		+	# systemctl restart wazuh-agent
		+	</pre>
		+
		+	== Wazuh Docker Dashboard ==
		+	Das Wazuh Docker Dashboard bietet eine zentrale und benutzerfreundliche Oberfläche zur Überwachung der Sicherheit Ihrer Docker-Infrastruktur. Mit Echtzeiteinblicken und umsetzbaren Informationen ermöglicht es Administratoren und Sicherheitsteams, potenzielle Bedrohungen zu erkennen und darauf zu reagieren, wodurch die Integrität und Zuverlässigkeit containerisierter Anwendungen sichergestellt wird. Vom Monitoring von Container-Ereignissen bis zur Analyse von Logs und Implementierung benutzerdefinierter Regeln erleichtert dieses Dashboard das Sicherheitsmanagement und erhöht den Schutz Ihrer Docker-Umgebung.
		+
		+	== Wazuh Docker Listener Konfigurationsoptionen ==
		+	In diesem Abschnitt werden die Haupt- und Zeitplanungsoptionen des Wazuh Docker Listeners erläutert.
		+
		+	=== Hauptoptionen ===
		+
		+	==== disabled ====
		+	Mit der Option `disabled` können Sie den Docker Listener aktivieren oder deaktivieren.
		+
		+	Standardwert: '''no'''
		+
		+	Erlaubte Werte: '''yes''', '''no'''
		+
		+	==== attempts ====
		+	Die Option `attempts` gibt die Anzahl der Versuche an, den Listener im Fehlerfall erneut zu starten.
		+
		+	Standardwert: '''5'''
		+
		+	Erlaubte Werte: Positive ganze Zahl
		+
		+	=== Zeitplanungsoptionen ===
		+
		+	==== run_on_start ====
		+	Führt den Docker Listener sofort beim Start des Wazuh-Agenten aus.
		+
		+	Standardwert: '''yes'''
		+
		+	Erlaubte Werte: '''yes''', '''no'''
		+
		+	==== interval ====
		+	Wartezeit, bevor der Docker Listener im Fehlerfall erneut ausgeführt wird.
		+
		+	Standardwert: '''1m'''
		+
		+	Erlaubte Werte: Positive Zahl mit Zeiteinheitensuffix, z.B. s (Sekunden), m (Minuten), h (Stunden), d (Tage), M (Monate).
		+
		+	==== day ====
		+	Tag des Monats, an dem der Scan ausgeführt wird.
		+
		+	Standardwert: Nicht festgelegt
		+
		+	Erlaubte Werte: Tag des Monats [1..31]
		+
		+	''Hinweis:'' Wenn die Option `day` gesetzt ist, muss der Wert von `interval` ein Vielfaches von Monaten sein. Standardmäßig ist das Intervall auf einen Monat gesetzt.
		+
		+	==== wday ====
		+	Wochentag, an dem der Scan ausgeführt wird. Diese Option ist nicht kompatibel mit der Option `day`.
		+
		+	Standardwert: Nicht festgelegt
		+
		+	Erlaubte Werte: Wochentag:
		+	* sunday/sun
		+	* monday/mon
		+	* tuesday/tue
		+	* wednesday/wed
		+	* thursday/thu
		+	* friday/fri
		+	* saturday/sat
		+
		+	''Hinweis:'' Wenn die Option `wday` gesetzt ist, muss der Wert von `interval` ein Vielfaches von Wochen sein. Standardmäßig ist das Intervall auf eine Woche gesetzt.
		+
		+	==== time ====
		+	Uhrzeit, zu der der Scan ausgeführt wird, im Format hh:mm.
		+
		+	Standardwert: Nicht festgelegt
		+
		+	Erlaubte Werte: Uhrzeit [hh:mm]
		+
		+	''Hinweis:'' Wenn nur die Option `time` gesetzt ist, muss der Wert von `interval` ein Vielfaches von Tagen oder Wochen sein. Standardmäßig ist das Intervall auf einen Tag gesetzt.
		+
		+	== Beispielkonfiguration ==
		+	Die folgende Beispielkonfiguration zeigt einen aktivierten Docker Listener. Der Listener versucht fünfmal, sich im Zehn-Minuten-Intervall neu zu starten, falls er fehlschlägt.
		+
		+	<pre>
		+	<wodle name="docker-listener">
		+	<interval>10m</interval>
		+	<attempts>5</attempts>
		+	<run_on_start>no</run_on_start&gt
		+	::contentReference[oaicite:0]{index=0}
		+
		+
		+
		+
		+	==Quelle==
		+	*https://documentation.wazuh.com/current/proof-of-concept-guide/monitoring-docker.html