Thomas.will: /* Eve-Log an Wazuh anbinden */

2026-06-28T18:25:19Z

Eve-Log an Wazuh anbinden

Thomas.will: Die Seite wurde neu angelegt: „Dieser Artikel beschreibt, wie ein Portscan im SOC-Lab erkannt wird: Der Suricata-East-West-Sensor (OVS-Mirror, port23) erzeugt pro SYN ein Event, und der Wazu…“

2026-06-28T18:22:03Z

Die Seite wurde neu angelegt: „Dieser Artikel beschreibt, wie ein Portscan im SOC-Lab erkannt wird: Der Suricata-East-West-Sensor (OVS-Mirror, port23) erzeugt pro SYN ein Event, und der Wazu…“

Neue Seite

Dieser Artikel beschreibt, wie ein Portscan im SOC-Lab erkannt wird: Der Suricata-East-West-Sensor (OVS-Mirror, port23) erzeugt pro SYN ein Event, und der Wazuh-Manager korreliert diese Events zu einem Scan-Alarm. Dadurch werden auch laterale Scans ''innerhalb'' eines VLANs erkannt, die die OPNsense nie zu sehen bekommt.

== Wirkprinzip ==

;Zwei Stufen – der Sensor sieht, der Manager urteilt
* Suricata kennt keinen Zustand über die Zeit und betrachtet jedes Paket einzeln. Es liefert pro SYN nur ein Roh-Event.
* Das Zählen über ein Zeitfenster (gleiche Quelle, viele Ziele) übernimmt ausschließlich der Wazuh-Manager per <code>frequency</code>/<code>timeframe</code>.

Eine einzelne SYN-Verbindung ist normal und für sich genommen kein Alarm – erst die Häufung macht den Scan.

== Stufe 1: Suricata-Regel ==

;Pro SYN in Richtung HOME_NET ein Event erzeugen – Datei <code>/etc/suricata/rules/local.rules</code>
<syntaxhighlight lang="text">
alert tcp any any -> $HOME_NET any (msg:"LOCAL SYN nach HOME_NET"; \
flags:S,12; flow:to_server; classtype:attempted-recon; \
sid:9000200; rev:1;)
</syntaxhighlight>

;Regeln neu laden (ohne Neustart)
*<syntaxhighlight lang="bash">suricatasc -c reload-rules</syntaxhighlight>

Bewusst ''ohne'' <code>threshold</code>: Die Entscheidung trifft Wazuh. Ein threshold hier würde Events unterdrücken und die Korrelation aushebeln. <code>flags:S,12</code> matcht das SYN-Bit und ignoriert die beiden reservierten Bits (CWR/ECE), damit auch ECN-SYNs erfasst werden.

== Eve-Log an Wazuh anbinden ==

;Auf dem Sensor den Wazuh-Agent die <code>eve.json</code> mitlesen lassen – Datei <code>/var/ossec/etc/ossec.conf</code>
<syntaxhighlight lang="xml">
<localfile>
<log_format>json</log_format>
<location>/var/log/suricata/eve.json</location>
</localfile>
</syntaxhighlight>

Die Suricata-Alerts landen im Manager unter der Basis-Regel '''86601'''.

== Stufe 2: Wazuh-Korrelationsregeln ==

;Datei <code>/var/ossec/etc/rules/local_rules.xml</code>
<syntaxhighlight lang="xml">
<group name="local,ids,portscan,">


<rule id="100210" level="10" frequency="20" timeframe="10">
<if_matched_sid>86601</if_matched_sid>
<field name="alert.signature">LOCAL SYN nach HOME_NET</field>
<same_field>src_ip</same_field>
<different_field>dest_port</different_field>
<description>Moeglicher vertikaler Portscan von $(src_ip)</description>
<mitre>
<id>T1046</id>
</mitre>
<group>recon,portscan,</group>
</rule>


<rule id="100211" level="10" frequency="20" timeframe="10">
<if_matched_sid>86601</if_matched_sid>
<field name="alert.signature">LOCAL SYN nach HOME_NET</field>
<same_field>src_ip</same_field>
<same_field>dest_port</same_field>
<different_field>dest_ip</different_field>
<description>Moeglicher horizontaler Netz-Sweep von $(src_ip) auf Port $(dest_port)</description>
<mitre>
<id>T1046</id>
</mitre>
<group>recon,portscan,</group>
</rule>

</group>
</syntaxhighlight>

;Manager neu starten
*<syntaxhighlight lang="bash">systemctl restart wazuh-manager</syntaxhighlight>

* '''100210''' fängt den klassischen vertikalen Portscan (ein Host, viele Ports).
* '''100211''' fängt den horizontalen Sweep (ein Port, viele Hosts) – typisch für Lateral-Movement-Discovery nach dem Foothold.

== Stolpersteine ==

;<code>frequency</code> zählt mit Off-by-One
* Bei <code>frequency="20"</code> feuern die ersten 19 Events nur die Basisregel; erst das 20. löst die Korrelation aus. Schwelle entsprechend lesen und tunen.

;<code>same_field</code>/<code>different_field</code> nur für dynamische Felder
* Für die ''statischen'' Felder (<code>srcip</code>, <code>dstip</code>) existieren diese Tags nicht. Hier funktioniert es, weil <code>src_ip</code>, <code>dest_ip</code> und <code>dest_port</code> dynamische JSON-Felder aus dem Suricata-Decoder sind.

;<code>different_field</code> kann bei kleinen Mengen zu früh greifen
* Bekanntes Verhalten (Wazuh #16249): Wechseln sich wenige Ports ab, kann die Regel trotzdem zünden. Bei einem echten <code>-p-</code>-Scan irrelevant, weil hunderte verschiedene Ports kommen.

== PoC mit nmap ==

;Vorbereitung: Treffer live mitlesen (auf dem Manager)
*<syntaxhighlight lang="bash">tail -f /var/ossec/logs/alerts/alerts.json | grep -E '100210|100211'</syntaxhighlight>

;Vertikaler Portscan – viele Ports auf einem Host (von Kali)
*<syntaxhighlight lang="bash">nmap -sS -p- -T4 172.26.52.11</syntaxhighlight>
* Erwartung: Regel '''100210''' (vertikaler Portscan) feuert, Level 10.

;Horizontaler Sweep – ein Port über das ganze Segment
*<syntaxhighlight lang="bash">nmap -sS -p 22 -T4 172.26.52.0/24</syntaxhighlight>
* Erwartung: Regel '''100211''' (horizontaler Sweep) feuert, Level 10.

;Im Dashboard prüfen
* Security Events → Filter <code>rule.id:100210</code> bzw. <code>rule.id:100211</code>.

== Regel testen ohne Scan ==

;Eine echte eve-Zeile durch die Regel-Engine schicken
*<syntaxhighlight lang="bash">/var/ossec/bin/wazuh-logtest</syntaxhighlight>
Eine <code>alert</code>-Zeile aus <code>/var/log/suricata/eve.json</code> einfügen und prüfen, ob '''86601''' dekodiert und – bei Wiederholung im Zeitfenster – '''100210''' greift.

[[Kategorie:Wazuh]]
[[Kategorie:Suricata]]
[[Kategorie:SOC]]

@@ Zeile 23: / Zeile 23: @@
 Bewusst ''ohne'' <code>threshold</code>: Die Entscheidung trifft Wazuh. Ein threshold hier würde Events unterdrücken und die Korrelation aushebeln. <code>flags:S,12</code> matcht das SYN-Bit und ignoriert die beiden reservierten Bits (CWR/ECE), damit auch ECN-SYNs erfasst werden.
-== Eve-Log an Wazuh anbinden ==
+== Eve-Log an Wazuh anbinden (Falls noch nicht geschehen)==
 ;Auf dem Sensor den Wazuh-Agent die <code>eve.json</code> mitlesen lassen – Datei <code>/var/ossec/etc/ossec.conf</code>

Wazuh Portscan erkennen - Versionsgeschichte

Thomas.will: /* Eve-Log an Wazuh anbinden */

Thomas.will: Die Seite wurde neu angelegt: „Dieser Artikel beschreibt, wie ein Portscan im SOC-Lab erkannt wird: Der Suricata-East-West-Sensor (OVS-Mirror, port23) erzeugt pro SYN ein Event, und der Wazu…“