Wazuh Mailserver

Wazuh Alert-Mails

Wazuh verschickt bei Alerts ab einem Schwellwert eine E-Mail über den bestehenden Mailserver mail.it213.xinmen.de. Der Manager hängt sich als reiner SMTP-Client ein. Die Alerts landen im Postfach und sind in Roundcube sichtbar — damit wird der Bogen Detection → Response greifbar.

Agent installieren

apt update && apt install -y gpg
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
chmod 644 /usr/share/keyrings/wazuh.gpg
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" > /etc/apt/sources.list.d/wazuh.list
apt update
WAZUH_MANAGER="wazuh.dkbi.com" WAZUH_AGENT_NAME="mail" apt install -y wazuh-agent
systemctl daemon-reload
systemctl enable --now wazuh-agent
sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
apt update

Mail-User anlegen (Mailserver)

Auf mail.it213.xinmen.de zwei lokale User anlegen: Absender und Empfänger.

Absender und SOC-Postfach anlegen

useradd -m -s /usr/sbin/nologin wazuh
useradd -m -s /bin/bash soc
passwd soc

• wazuh braucht kein Login (nur Absenderadresse), soc ist das Postfach, das du in Roundcube öffnest

Relay erlauben (Mailserver)

Wazuh sendet unauthentifiziert auf Port 25. Der Mailserver muss das Server-Netz als vertrauenswürdig akzeptieren.

Aktuelle mynetworks prüfen

• postconf mynetworks

Falls das Server-Netz fehlt, ergänzen

postconf -e "mynetworks = 127.0.0.0/8 172.26.54.0/24"
systemctl reload postfix

Manager konfigurieren

In /var/ossec/etc/ossec.conf den global-Block ergänzen

<global>
  <email_notification>yes</email_notification>
  <smtp_server>mail.it213.xinmen.de</smtp_server>
  <email_from>wazuh@it213.xinmen.de</email_from>
  <email_to>soc@it213.xinmen.de</email_to>
  <email_maxperhour>12</email_maxperhour>
</global>

Schwellwert setzen — nur Alerts ab Level 7 mailen

<alerts>
  <email_alert_level>7</email_alert_level>
</alerts>

Manager neu starten

• systemctl restart wazuh-manager

Funktionstest

SMTP-Pfad direkt prüfen (vom Wazuh-Manager aus)

• echo "test" | mail -s "wazuh smtp test" -r wazuh@it213.xinmen.de soc@it213.xinmen.de
• Die Mail muss in Roundcube im Postfach soc erscheinen

Echten Alert auslösen (Brute-Force von der Kali, Level 10)

hydra -l kit -P bad-passwords.txt ssh://<ubuntu-ip>

• Wazuh schickt die Brute-Force-Alarmmail an soc@it213.xinmen.de