Wazuh Manager가 수집하는 것

💁 서론

🕵️‍♂️ 보안 이벤트 수집 과정

Wazuh Agent - 엔드포인트 데이터 수집

 

# audit.rules

# curl 명령어 실행 감시
-w /usr/bin/curl -p x -k imds_access
# 모든 curl 명령 실행을 기록

# ==== 옵션 설명 ==== #
# -w <파일/디렉터리 경로> 감시할 파일이나 폴더의 위치
# -p <권한 옵션> x: 실행될 때(Execute), w: 수정/쓰기, r: 읽기/조회, a: 파일 속성 변경
# -k <키 이름> 이 규칙으로 생성된 감사 이벤트를 검색・식별하기 위한 이름 지정

# rules.d의 규칙 파일들을 병합하고 커널에 적용
sudo augenrules --load

# 현재 적용된 audit.rules 규칙 출력
sudo auditctl -l

 

# audit.rules

# 로그인 사용자 식별 정보가 설정된 프로세스의 프로그램 실행을 감시
-a always,exit -F arch=b64 -S execve -F auid!=unset -k process.exec
-a always,exit -F arch=b32 -S execve -F auid!=unset -k process.exec

Wazuh Agent 등록 절차는 Wazuh Agent 등록 방법 - Kintoun Infra 기술 문서

Wazuh Agent 등록 방법 - Kintoun Infra 기술 문서

근두운 AWS 인프라의 설계, Terraform 운영 절차와 CI

를 참고

Velociraptor - DFIR

sequenceDiagram
	participant A as 보안 이벤트<br/>(Agent, aws-s3) 
	participant B as Wazuh SIEM
	participant C as Velociraptor Server
	participant D as Target EC2<br/>(Velociraptor Client)
	A->>B: 1️⃣ 보안 이벤트(로그) 전송
	B->>B: 2️⃣ 탐지 규칙 매칭 후 특정 수준 이상의 Alert 생성
	B-->>B: 3️⃣ Active Response 트리거 동작
	B->>C: 4️⃣ API 호출(gRPC)<br/>(Alert json파일)
	C->>D: 5️⃣ 헌팅
	C-->C: 6️⃣ 보안 담당자가 헌팅 결과를<br/>Notebook으로 타임라인 분석

CloudTrail - Control/Data Plane

CloudTrail은 AWS 계정 내에서 발생한 API 활동을 감사하는 역할을 하며, 4가지의 이벤트 유형으로 구분하여 기록한다. (참고: 근두운 기술 블로그SecOps 개념

SecOps 개념

Security 와 Operations 가 합쳐진 개념으로, 조직의 인프라 운영에 보안을 통합하는 것을 기반으로 함 보안팀과 운영팀이 협력과 소통 문화를 조성하여 시스템을 지속 감시하고, 위협을 탐지하며, 침해사고에 대응하는 체계

근두운 기술 블로그

)

 

CloudTrail 로그를 저장하는 S3 버킷은 SSE-S3 암호화를 사용하고 있어, s3:GetObject 권한만으로 Wazuh Manager가 복호화된 데이터를 가져오는 것이 가능하다.

<!-- aws-s3 모듈 활성화 -->
<ossec_config>

		<!-- 기존 설정... -->
		
    <wodle name="aws-s3">
        <disabled>no</disabled>
        <interval>5m</interval>
        <run_on_start>yes</run_on_start>
        <bucket type="cloudtrail">
            <name>Bucket Name</name>
            <remove_from_bucket>no</remove_from_bucket>
        </bucket>
    </wodle>
</ossec_config>

# Wazuh Manager 서비스 재시작
sudo systemctl restart wazuh-manager

VPC Flow Logs - L4 레벨

<ossec_config>
	<wodle name="aws-s3">
		<disabled>no</disabled>
		<interval>5m</interval>
		<run_on_start>yes</run_on_start>
		<bucket type="cloudtrail">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="vpcflow">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
	</wodle>
</ossec_config>

로그에서 출력되는 것처럼 VPC Flow Logs의 경우에는 S3 접근 권한 외에도 ec2:DescribeFlowLogs라는 권한을 필요로 한다. 해당 권한은 VPC Flow Logs의 설정 목록과 상태를 조회하는 권한으로 Wazuh 공식 문서에서도 해당 권한을 필수 요건으로 명시하고 있었다. WazuhAmazon Virtual Private Cloud (VPC) - Supported services

Amazon Virtual Private Cloud (VPC) - Supported services

The following sections cover how to configure the Amazon VPC service to integrate with Wazuh.

Wazuh

WAF Logs - L7 보안 레벨

<ossec_config>
	<wodle name="aws-s3">
		<disabled>no</disabled>
		<interval>5m</interval>
		<run_on_start>yes</run_on_start>
		<bucket type="cloudtrail">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="vpcflow">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="waf">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
	</wodle>
</ossec_config>

GuardDuty Findings - AWS 계정 내 이상 탐지

GuardDuty는 다른 서비스와 다르게 Finding을 S3 버킷에 저장하기 위해 KMS 키를 활용한 암호화를 요구한다. WazuhAmazon GuardDuty - Supported services · Wazuh documentation

Amazon GuardDuty - Supported services · Wazuh documentation

The following sections cover how to configure the different services required to integrate GuardDuty into Wazuh.

Wazuh

이때 생성한 KMS 키를 활용해, AWS 서비스 이벤트를 보관하는 S3 버킷 암호화 방식을 SSE-S3에서 SSE-KMS 암호화 방식으로 변경 적용했다.

<ossec_config>
	<wodle name="aws-s3">
		<disabled>no</disabled>
		<interval>5m</interval>
		<run_on_start>yes</run_on_start>
		<bucket type="cloudtrail">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="vpcflow">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="waf">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="guardduty">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
	</wodle>
</ossec_config>

ALB Access Logs - L7 성능 레벨

<ossec_config>
	<wodle name="aws-s3">
		<disabled>no</disabled>
		<interval>5m</interval>
		<run_on_start>yes</run_on_start>
		<bucket type="cloudtrail">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="vpcflow">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="waf">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="guardduty">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
		<bucket type="alb">
			<name>Bucket Name</name>
			<remove_from_bucket>no</remove_from_bucket>
		</bucket>
	</wodle>
</ossec_config>

Wazuh Manager가 보안 이벤트를 수집하는 흐름

sequenceDiagram
	participant A as Wazuh Agent
	participant B as Wazuh SIEM<br/>(Indexer, Manager, Dashboard)
	participant C as 로그 보관 S3 버킷
	participant D as AWS 서비스 로그
	
	A->>B: 엔드포인트 수집 로그 전달<br/>(TCP 1514)
	D->>C: 서비스별 이벤트 로그 전달
	C->>C: 로그 원본 저장
	B->>C: Manager의 aws-s3 모듈로 로그 수집<br/>(Wazuh IAM Role 권한)
	B-->B: 탐지 규칙 매칭
	B->>B: Dashboard에서 Alert 시각화
	

Wazuh Dashboard에서 확인한 모습

Wazuh가 보는 이벤트 아키텍처

🧙‍♀️ 결론