implementing-endpoint-detection-with-wazuh

Wazuh によるエンドポイント検出の実装

概要

Wazuh は、エンドポイントの監視、脅威の検出、コンプライアンス対応のためのオープンソースの SIEM および XDR プラットフォームです。このスキルでは、Wazuh REST API を使用したエージェントの管理、組織固有の検出に対応するカスタムデコーダーおよびルールの XML 形式での作成、アラートの照会、logtest エンドポイントを使用したルールロジックのテストについて説明します。

使用する場面

• 環境で Wazuh によるエンドポイント検出機能を導入または設定する場合
• コンプライアンス要件に沿ったセキュリティ制御を確立する場合
• このドメインのセキュリティアーキテクチャを構築または改善する場合
• この実装が必要なセキュリティ評価を実施する場合

前提条件

• API が有効化された Wazuh Manager 4.x が導入されていること
• requests ライブラリを備えた Python 3.9+
• API 認証情報（JWT 認証用のユーザー名とパスワード）
• Wazuh のデコーダーおよびルールの XML 構文に関する理解

手順

ステップ 1：Wazuh API に認証する

/security/user/authenticate への POST により、JWT トークンを取得します。

ステップ 2：エージェントを一覧表示して監視する

/agents エンドポイントを使用して、エージェントの状態、バージョン、最終キープアライブを照会します。

ステップ 3：セキュリティアラートを照会する

ルール ID、重大度、エージェント、または期間でアラートを検索します。

ステップ 4：Logtest でカスタムルールをテストする

/logtest エンドポイントを使用して、サンプルのログ行に対するデコーダーおよびルールのロジックを検証します。

期待される出力

エージェントのインベントリ、アラート統計、ルールのカバレッジ、Logtest の検証結果を含む JSON レポート。