configuring-host-based-intrusion-detection

ホストベースの侵入検知の設定

使用するタイミング

次の場合にこのスキルを使用します：

• Windows および Linux のエンドポイント全体に HIDS エージェント（Wazuh、OSSEC、AIDE）をデプロイする場合
• コンプライアンス（PCI DSS 11.5、NIST SI-7）のためにファイル整合性監視（FIM）を設定する場合
• システム設定の変更、ルートキット検知、セキュリティポリシー違反を監視する場合
• HIDS アラートを SIEM プラットフォームと統合し、一元的に監視する場合

ネットワークベースの IDS（Suricata、Snort）や EDR のデプロイには、このスキルを使用しないでください。

前提条件

• Wazuh サーバー（マネージャー）がデプロイされ、エンドポイントからアクセスできること
• 対象エンドポイントへの管理者アクセス権
• ネットワーク接続：エージェントから Wazuh マネージャーへのポート 1514（TCP/UDP）および 1515（TCP 登録）
• アラートを可視化するための Wazuh ダッシュボード（OpenSearch Dashboards）
• OS ごとに監視すべき重要なファイル／ディレクトリについての理解

ワークフロー

ステップ 1：Wazuh エージェントをインストールする

Windows：

# Download and install Wazuh agent
Invoke-WebRequest -Uri "https://packages.wazuh.com/4.x/windows/wazuh-agent-4.9.0-1.msi" `
  -OutFile "wazuh-agent.msi"
msiexec /i wazuh-agent.msi /q WAZUH_MANAGER="wazuh-manager.corp.com" `
  WAZUH_REGISTRATION_SERVER="wazuh-manager.corp.com" WAZUH_AGENT_GROUP="windows-workstations"
net start WazuhSvc

Linux（Debian/Ubuntu）：

curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --dearmor -o /usr/share/keyrings/wazuh.gpg
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" \
  > /etc/apt/sources.list.d/wazuh.list
apt-get update && apt-get install wazuh-agent -y
sed -i 's/MANAGER_IP/wazuh-manager.corp.com/' /var/ossec/etc/ossec.conf
systemctl daemon-reload && systemctl enable --now wazuh-agent

ステップ 2：ファイル整合性監視（FIM）を設定する

エージェントの設定ファイル（/var/ossec/etc/ossec.conf または C:\Program Files (x86)\ossec-agent\ossec.conf）を編集します：

<syscheck>
  
  <frequency>43200</frequency>
  <scan_on_start>yes</scan_on_start>
  <alert_new_files>yes</alert_new_files>

  
  <directories check_all="yes" realtime="yes">/etc</directories>
  <directories check_all="yes" realtime="yes">/usr/bin</directories>
  <directories check_all="yes" realtime="yes">/usr/sbin</directories>
  <directories check_all="yes" realtime="yes">/bin</directories>
  <directories check_all="yes" realtime="yes">/sbin</directories>
  <directories check_all="yes">/boot</directories>

  
  <directories check_all="yes" realtime="yes">C:\Windows\System32</directories>
  <directories check_all="yes" realtime="yes">C:\Windows\SysWOW64</directories>
  <directories check_all="yes" realtime="yes">%PROGRAMFILES%</directories>

  
  <windows_registry>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run</windows_registry>
  <windows_registry>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce</windows_registry>
  <windows_registry>HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services</windows_registry>

  
  <ignore>/etc/mtab</ignore>
  <ignore>/etc/resolv.conf</ignore>
  <ignore type="sregex">.log$</ignore>
</syscheck>

ステップ 3：ルートキット検知を設定する

<rootcheck>
  <disabled>no</disabled>
  <frequency>43200</frequency>
  <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
  <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
  <system_audit>/var/ossec/etc/shared/system_audit_rcl.txt</system_audit>
  <check_dev>yes</check_dev>
  <check_files>yes</check_files>
  <check_if>yes</check_if>
  <check_pids>yes</check_pids>
  <check_ports>yes</check_ports>
  <check_sys>yes</check_sys>
  <check_trojans>yes</check_trojans>
  <check_unixaudit>yes</check_unixaudit>
</rootcheck>

ステップ 4：ログ分析ルールを設定する

<group name="local,syscheck,">
  
  <rule id="100001" level="12">
    <if_sid>550</if_sid>
    <match>/usr/bin/|/usr/sbin/|/bin/|/sbin/</match>
    <description>Critical system binary modified: $(file)</description>
    <group>syscheck,pci_dss_11.5,</group>
  </rule>

  
  <rule id="100002" level="10">
    <if_sid>554</if_sid>
    <match>/tmp/|/var/tmp/</match>
    <description>New file created in temp directory: $(file)</description>
    <group>syscheck,malware,</group>
  </rule>

  
  <rule id="100003" level="10">
    <if_sid>550</if_sid>
    <match>/etc/ssh/sshd_config</match>
    <description>SSH configuration modified</description>
    <group>syscheck,authentication,</group>
  </rule>
</group>

ステップ 5：アクティブレスポンスを設定する

<active-response>
  <command>firewall-drop</command>
  <location>local</location>
  <rules_id>5712</rules_id>
  <timeout>600</timeout>
</active-response>


<active-response>
  <disabled>no</disabled>
  <command>disable-account</command>
  <location>local</location>
  <rules_id>100100</rules_id>
  <timeout>3600</timeout>
</active-response>

ステップ 6：SIEM と統合する

# Wazuh to Splunk via Filebeat
# Edit /etc/filebeat/filebeat.yml:
filebeat.inputs:
  - type: log
    paths:
      - /var/ossec/logs/alerts/alerts.json
    json.keys_under_root: true
output.elasticsearch:
  hosts: ["https://splunk-hec:8088"]

# Wazuh to Elastic via direct integration
# Wazuh indexer feeds directly into OpenSearch/Elasticsearch
# Dashboard: https://wazuh-dashboard:5601

主な概念

用語	定義
HIDS	ホストベースの侵入検知システム。個々のエンドポイントを監視し、悪意のある活動を検知します
FIM	ファイル整合性監視。暗号学的ハッシュを比較して、ファイルへの不正な変更を検知します
Syscheck	ファイル整合性監視とレジストリ監視を行う Wazuh／OSSEC のモジュール
Rootcheck	ルートキットとマルウェアを検知する Wazuh／OSSEC のモジュール
アクティブレスポンス	HIDS アラートを受けて実行される自動防御アクション（IP のブロック、アカウントの無効化）
CDB リスト	Wazuh ルールでのカスタム検索に使用される定数データベースのリスト

ツールとシステム

• Wazuh：マネージャー、エージェント、ダッシュボードを備えたオープンソースの HIDS プラットフォーム（OSSEC のフォーク）
• OSSEC：オープンソース HIDS のオリジナル（Wazuh の前身）
• AIDE（Advanced Intrusion Detection Environment）：Linux 用のスタンドアロン型ファイル整合性チェッカー
• Tripwire：商用のファイル整合性監視ソリューション
• Samhain：ファイル整合性とログ監視に重点を置いたオープンソース HIDS

よくある落とし穴

• 監視するディレクトリが多すぎる：ファイルシステム全体に対する FIM は、過剰なアラートを発生させます。重要なシステムバイナリ、設定ファイル、Web ルートに絞ってください。
• ノイズの多いファイルを除外しない：頻繁に変更されるファイル（ログ、一時ファイル、キャッシュ）は、FIM の誤検知アラートを発生させます。除外リストを管理してください。
• ベースラインの確立を軽視する：最初の FIM スキャンでベースラインが作成されます。ベースラインが安定する前に検知された変更は脅威ではなくノイズです。ベースラインの確立には 48 時間を見込んでください。
• テストせずにアクティブレスポンスを有効にする：IP の自動ブロックやアカウントの無効化は、サービス停止につながる可能性があります。本番以外の環境で、まずアクティブレスポンスのルールをテストしてください。
• エージェント登録の失敗：監視を開始する前に、エージェントがマネージャーへの登録を正常に完了する必要があります。ファイアウォールルールでポート 1514 および 1515 の通信が許可されていることを確認してください。