Wazuh-utbildning

Lektion 1 • Wazuh-arkitektur på djupet

Förklarar manager-, agent- och indexeringskomponenterna och hur de interagerar. Studenterna ritar upp dataflödet över plattformen.

Lektion 2 • Grundläggande säkerhetsövervakning

Täcker principer för hotdetektering, logghantering och varför SIEM-verktyg finns. Fastställer det problemområde som Wazuh hanterar.

Lektion 3 • Wazuh-översikt och funktioner

Introducerar Wazuh som en säkerhetsplattform med öppen källkod och täcker dess huvudmoduler. Studenterna kopplar Wazuh-funktioner till verkliga säkerhetsbehov.

Lektion 1 • Agentinstallation på Linux

Täcker paketbaserad och skriptad agentinstallation på större Linux-distributioner. Studenterna installerar och verifierar en fungerande Linux-agent.

Lektion 2 • Agentinstallation på macOS

Tar upp macOS-specifika installationssteg och godkännanden av systemtillägg. Studenterna ansluter en macOS-agent till managern.

Lektion 3 • Agentinstallation på Windows

Beskriver steg-för-steg hur driftsättning av Windows-agenten utförs med hjälp av MSI-baserade paket och PowerShell-skript. Deltagarna ansluter en Windows-slutpunkt till Wazuh-hanteraren.

Lektion 4 • Agentlivscykelhantering

Täcker uppgradering, borttagning och övervakning av agentstatus i stor skala. Studenterna automatiserar agentuppdateringar med hjälp av Wazuh API.

Lektion 1 • Käll- och metod för logginsamling

Introducerar syslog, platta filer, Windows-händelselogg och API-baserad insamling. Studenterna konfigurerar varje insamlingsmetod i agentens ossec.conf-fil.

Lektion 2 • Skriva anpassade avkodare

Lär ut hur man skapar avkodare för proprietära eller loggformat som inte stöds. Studenterna producerar en fungerande avkodare för en anpassad applikationslogg.

Lektion 3 • Skriva och testa anpassade regler

Vägleder studenterna genom att skapa regler som detekterar miljöspecifika hot. Studenterna validerar regler med hjälp av wazuh-logtest innan driftsättning i produktion.

Lektion 4 • Regelmotor och larmgenerering

Täcker hur regler använder avkodade fält för att generera larm med allvarlighetsgrader. Studenterna förstår regelarv och frekvensbaserad triggning.

Lektion 1 • FIM-koncept och arkitektur

Förklarar hur FIM upptäcker tillägg, ändringar och borttagningar med hjälp av kontrollsummor. Studenterna förstår schemalagda kontra realtidslägen för övervakning.

Lektion 2 • Konfigurera FIM-policyer

Täcker syscheck-konfigurationsblock för kataloger, filer och register. Studenterna skriver policyer som övervakar kritiska OS- och applikationssökvägar.

Lektion 3 • FIM-larmjustering och undantag

Lär ut hur man minskar falska positiva genom att undanta brusiga sökvägar och justera larmregler. Studenterna tillämpar ignore-mönster och justerar regelallvarlighet för FIM-händelser.

Lektion 1 • Prioritera och åtgärda resultat

Tillämpar riskbaserad prioritering av sårbarhetsresultat med hjälp av kontext för exploaterbarhet. Studenterna bygger ett arbetsflöde för åtgärder integrerat med ärendehanteringskoncept.

Lektion 2 • Konfigurera sårbarhetsflöden

Täcker konfigurering av OS-specifika och tredjeparts sårbarhetsflöden i managern. Studenterna lägger till och validerar flöden för Linux-, Windows- och macOS-endpoints.

Lektion 3 • Översikt över sårbarhetsdetekteringsmodul

Introducerar hur Wazuh inventerar programvara och matchar paket mot sårbarhetsflöden. Studenterna aktiverar modulen och bekräftar flödessynkronisering.

Lektion 1 • SCA-modulens grunder

Förklarar hur SCA-kontroller körs, hur resultat poängsätts och vilka riktlinjer som medföljer som standard. Studenterna aktiverar SCA och granskar initiala skanningsresultat.

Lektion 2 • Tolka SCA-resultat

Täcker statusarna godkänd, underkänd och ej tillämplig samt deras åtgärdsimplikationer. Studenterna identifierar de underkända kontroller med högst påverkan i en skanningsrapport.

Lektion 3 • Skriva anpassade SCA-policyer

Lär ut hur man skapar YAML-baserade SCA-policyfiler för organisationsspecifika krav. Studenterna skriver och driftsätter en anpassad policy för en specifik applikation.

Lektion 1 • Konfiguration av aktiv respons

Konfigurerar automatiserade svar som IP-blockering och skriptexekvering utlösta av larm. Studenterna testar aktiva svarsåtgärder i en säker labbmiljö.

Lektion 2 • Larmkorrelation och -aggregering

Använder sammansatta regler och larmkorrelation för att upptäcka flerstegsattackmönster. Studenterna bygger en korrelationsregel som kedjar flera larmvillkor.

Lektion 3 • Arbetsflöde för incidentundersökning

Vägleder en strukturerad undersökning från initial larmtriage till grundorsaksanalys. Studenterna dokumenterar fynd med hjälp av en standardiserad mall för incidentrapporter.

Lektion 4 • Simulerade attackscenarier

Kör kontrollerade attacksimuleringar för att validera detektionstäckning och svarshastighet. Studenterna identifierar luckor och finjusterar regler baserat på simuleringsresultat.

Lektion 1 • Klusterjustering av Wazuh-indexer

Täcker shard-allokering, indexlivscykelhantering och optimering av sökprestanda. Studenterna konfigurerar indexpolicyer för att hantera lagringstillväxt.

Lektion 2 • Wazuh-klusterarkitektur

Förklarar roller för master- och arbetarnoder, synkronisering och beteende vid failover. Deltagarna driftsätter ett kluster med två noder och verifierar händelsedistributionen.

Lektion 3 • Tråd (exekveringstråd)

Behandlar managerköstorlek, analys-trådjustering och agenthändelsebegränsning. Studenterna prestandatestar och optimerar en Wazuh-distribution med hög volym.

Lektion 4 • Säkerhetskopiering, återställning och uppgraderingar

Täcker strategier för säkerhetskopiering av konfiguration, regler och indexdata samt uppgraderingsprocedurer. Studenterna genomför en manager-uppgradering utan dataförlust av larm.