Implementación del Centro de operaciones de seguridad (SOC) con Wazuh

[@mvacac]

Ante todo gracias por compartir conocimiento Maurice. En un poco más de una hora dejar clarísimo procesos involucrados en el SoC, la arquitectura, la instalación y la operación basica de wazuh, eso es tener excelente pedagogía. Bien por tus alumnos de la U, que aprovechen.

[@santiago.bassett]

Gracias por el video de Wazuh. Estamos trabajando en ampliar su funcionalidad SIEM y XDR. Habrá una release muy pronto que incluye importantes mejoras.

[@mfrayssinetd]

Gracias Santiago por el saludo, esperamos el nuevo release con mucha expectativa. Un saludo al equipo de Wazuh

[@josuemiguel7517]

Excelente explicación, gracias me ha ayudo a profundizar más el tema de Wazuh.

[@javiertograalvarado2239]

Saludos Maurice... Un excelente expositor y muy conocedor del tema. Muchas gracias por compartir. Un abrazo desde Guayaquil.

[@alejandroferrari4621]

Excelente material @Maurice Frayssinet. Comparto. Un saludo desde Uruguay

[@gersyoviedo]

Excelente material, muchas gracias por compartir tus conociminetos, mis felicitaciones, un saludo desde Venezuela.

[@oscarlongares8934]

Gracias por su aporte Maurice. Saludos desde Caracas Venezuela. Viendo la herramienta para probarla.

[@giovaninavarro]

Hola Maurice. Que gran video y que bien se explica. Comenzaremos a revisar mas a detalle cada uno de los sistemas para lograr algo como lo que estas presentando. Muchas gracias por compartir tu conocimiento. Saludos desde Tijuana, Baja California.

[@hectoralicea1233]

Excelente video, muchas gracias

[@darvinpardo8420]

Maravilla de video. Gracias por compartir tus conocimiento, sigue adelante. Por favor sube mas material sobre este SIEM. Un saludo desde Ecuador.

[@TajPasao-ug2bm]

Muchas gracias por compartir! 🙌

[@LuisRamirez-xr3ne]

Buenísimo Ing. gracias por compartir...

[@antonioleivaarenas5646]

Excelente herramienta SIEM free

[@sergiofabiancantero4486]

Excelente info, podrían pasar el link para registrarse a los cursos. Saludos!

[@PaulPortales]

Muy interesante ingeniero, ahora toca implementarlo

[@mfrayssinetd]

que dices hacemos el curso completo?

[@menospelos]

Donde está el curso?

[@Leezaardd]

Muy buen video, suscrito y esperando por nuevos videos sobre wazuh.

[@ginorel]

Excelente video, podria mencionar algun software opensource que permita la gestion de identidad para windows y linux?

[@Mollit0]

Buenas tardes Maurice, me gustaría poder hacerte un par de consultas en relación, hay manera que me pueda comunicar con vos por algún medio? quedo atento y desde ya muchas gracias por tremendo video! Saludos!

[@a_var6as]

Hola Amigo Mauricio como puedo volver a ver las credenciales de las distintas herramientas que instalamos con el comando en putty!

[@AlejandroGarcia-yk8zb]

Se puede instalar el agente por alguna politica de dominio? Son cerca de 500 equipos

[@_runlevel1]

Si quiero tengo 5 switch y dos Firewalls y quiero hacer port mirror del tráfico, mi maquina donde está instalado wazuh deberá tener 7 interfaces de red físicas para recibir ese trafico y analizarlo?

[@alexbenitez2857]

La mejora a SOAR de la que hablabas sería la integración con TheHive, Cortex y MISP?

[@mfrayssinetd]

Hola Alex, un SOAR es repuesta automática es decir si alguien me esta atacando por ejemplo le ordeno al firewall que bloquee esa IP de manera automática, ahí me refiero a herramientas como Ansible si gustas les hago un directo de eso, saludos

[@Cristian_Torres]

Profesor una pregunta, cuando estoy en la parte de conectarlo con el Putty no me deja. Que puedo hacer para solucionarlo? Espero su respuesta

[@Cristian_Torres]

Me aparece el error "Network error: Connection timed out"

[@IsmaelPachecoMedina]

gracias por el video muy bien explicado, yo lo monte en un servidor almalinux 9 la ultima ver. 4.4, instale el cliente y el servidor no me lo reconose, pregunta en que puerto trabaja el agente de wazuh ????

[@IsmaelPachecoMedina]

1514, 1515 y 55000

[@antoniosalcedo5044]

Buenas Maurice interentasisiomo el video me surge una duda puedo montar un ser ver wazuh y agentes fuera de Red?

[@javimed9669]

Hola Antonio. Si con fuera de Red te refieres a que no tengan conexión a Internet, sí es posible. Como primera etapa necesitas haber descargado los paquetes y archivos de configuración. En la documentación se explica una manera de hacerlo usando un script que realiza estas descargas por ti documentation.wazuh.com/current/installation-guide/more-installation-alternatives/offline-installation.html#download-the-packages-and-configuration-files También podrías descargarlos uno a uno siguiendo los enlaces en la lista de paquetes documentation.wazuh.com/current/installation-guide/packages-list.html Como segunda etapa deberás instalar los paquetes que has descargado y copiado en tu servidor sin conectividad. Para ello puedes seguir los pasos de la guía de instalación de archivo locales documentation.wazuh.com/current/installation-guide/more-installation-alternatives/offline-installation.html#install-wazuh-components-from-local-files Similarmente, para instalar los agentes en endpoints sin conexión a Internet deberás descargar los instaladores apropiados usando la lista de paquetes, copiarlos en el sistema e instalarlos desde local. Espero sirva la respuesta. Únete a la comunidad de Wazuh para hacer preguntas y encontrar respuestas wazuh.com/community/

[@djturkis]

Tengo 1 oficina con datacenter y 2 locales remotos sin vpn. Se debe instalar un server de wazuh por oficina? 1 por oficina y se puede centralizar? 1 solo en el data y de alguna manera que todo reporte al datacenter? Gracias! muy bueno el video.

[@Diegoblissett]

Se puede, debes crear una vpn y apuntar todo a un solo indexer, de ahí el wazuh server estira y consume los logs para luego digerir en el dashboard

[@syscabmcommunity3368]

@@Diegoblissett si, la verdad es que el wazuh por si solo no hace milagros,, debes conectar las sedes de alguna manera ..

[@Diegoblissett]

Así mismo, otra opción es crear cluster y grupos de usuarios: sucursal 1, sucursal 2, matriz, etc

[@angelpepo]

y donde esta ese scripts?

[@juanpabloabedala5828]

Buenas. muy buen video. Necesito ayuda. Perdí las contraseñas que tira el servidor al instalarlo. como puedo verlas de nuevo ? gracias!!!

[@javimed9669]

Hola. El Wazuh installation assistant almacena las contraseñas creadas en el archivo tar "wazuh install files" en la carpeta del instalador. Puedes consultar la guía Quickstart en la documentación para ver cómo acceder fácilmente al contenido de ese archivo. Otros métodos de instalación generan credenciales por defecto que pueden encontrarse en la documentación también.

[@employeec4827]

Una consulta wazuh tambien es capaz de detectar por ejemplo si un usuario intenta ejecutar un batchero como admin pero no logra tambien eso me alerta???

[@javimed9669]

Hola. Wazuh incluye reglas prestablecidas como por ejemplo la regla id 60107 para alertar sobre un intento fallido de realizar una operación con privilegios en Windows. Puedes, para tu propio caso específico, crear reglas basados en los eventos de Sysmon en Windows o el sistema Audit de Linux. En la comunidad de Wazuh podrás recibir respuestas ampliadas.

[@josecubas9460]

Wazuh puede ayudar para ver dispositivos finales como laptops de usuarios de dominio para ver si hay amenazas

[@mfrayssinetd]

Si claro que si, hare un directo de ello José

[@josecubas9460]

@@mfrayssinetd Muchas Gracias aprendo mucho con sus clases profe

[@virtual-riot]

quiero hacerte una consulta como hago para que en el log los detalles sean mas a fondo mas detallados por ejemplo cuando levanto digamos una powershell como administrador lo unico que me arroja de log es el PAM y que fue succes que corrio el LSA y otras cosas pero no menciona que corri el proceso POWERSHELL.EXE como tal como se podria hacer ahi o que configuracion se le da muchas gracias desde ya.

[@javimed9669]

Puedes monitorizar el Eventchannel de Windows. El canal Application contiene eventos relacionados a la gestión de aplicaciones del sistema. Sysmon es muy útil para detectar cambios en archivos y la creación de procesos.

[@javimed9669]

Puedes leer How to collect Windows logs en la documentación de Wazuh para saber más.

[@javimed9669]

Únete a la comunidad de Wazuh en Slack y Google Groups para hacer preguntas.

[@syscabmcommunity3368]

y todo eso se podria implementar en contenedores ?

[@nxgib]

Hay alguna forma de implementar el Wazuh y las reglas YARA?