Системи виявлення та запобігання проникненню на прикладі Wazuh

Abstract

Кваліфікаційна роботи присвячена розгортанню системи моніторингу та її модифікації для потреб виявлення та запобігання проникненням. Основою системи моніторингу обрана система Wazuh, яка здатна збирати дані за допомогою Wazuh Agent, обробляти їх на сервері (Wazuh Server) та відображати у веб-інтерфейсі. Інструмент також дозволяє налаштовувати умови спрацювання сповіщень та активних реакцій на події, цей функціонал було реалізовано та модифіковано шляхом імітації реальної атаки з ескалації привілеїв в системі та створення умов протидії таким загрозам. Було розгорнуто локальний SMTP сервер, автентифікований через поштовий клієнт Gmail для надсилання листів-сповіщень про підозрілі події. Для системи активного реагування на загрози було розроблено власне правило, що забезпечує фіксує зміни конфігураційного файлу Wazuh Agent та передає цю подію для екстреного завершення роботи служби-агента з метою скидання внесених змін і, як наслідок, забезпечення цілісності файлу.

Thesis is focused on deployment of the monitoring system and its modification for the needs of detection and prevention of intrusion. The baseline tool of the monitoring system was chosen to be Wazuh, capable of collecting data using the Wazuh Agent, processing it on the server (Wazuh Server) and displaying it in the web interface. The tool also allows you to improve the conditions for triggering notifications and active responses to events. This functionality was implemented and modified by simulating a real attack with escalation of privileges in the system and creating conditions for countering such threats. An on-premise SMTP server was deployed and authenticated through the Gmail mail client to reinforce suspicious event notification emails. For the system of active response to threats, a special rule was developed that ensures the capture of changes to the Wazuh Agent configuration file and transmits this event to the emergency termination of the agent service in order to reset the changes made and, as a result, ensuring the integrity of the file.