Cài Sysmon#

Tải Sysmon tại trang chính thức của Microsoft Sysinternals: learn.microsoft.com/sysinternals/downloads/sysmon.

Thay vì tự viết config từ đầu, mình dùng config cộng đồng rất nổi tiếng và được khuyên dùng rộng rãi trong giới DFIR — SwiftOnSecurity/sysmon-config — đã cấu hình sẵn một bộ filter cân bằng giữa việc bắt đủ sự kiện đáng ngờ mà không làm log phình quá to.

Cài đặt qua CMD với quyền Administrator:

Sysmon64.exe -accepteula -i sysmonconfig-export.xml

Cho Wazuh Agent đọc log Sysmon#

Thêm vào ossec.conf của agent trên VM3 (đường dẫn C:\Program Files (x86)\ossec-agent\ossec.conf):

<localfile>
  <location>Microsoft-Windows-Sysmon/Operational</location>
  <log_format>eventchannel</log_format>
</localfile>

eventchannel là format báo cho Wazuh biết đọc trực tiếp từ Windows Event Log channel được chỉ định, thay vì đọc file text thông thường. Restart Wazuh Agent để áp dụng.

Nguồn: Wazuh blog - Using Wazuh to monitor Sysmon events.

Bước 1 — Bật FIM real-time cho thư mục cần giám sát#

<syscheck>
  <disabled>no</disabled>
  <directories realtime="yes">/root</directories>
</syscheck>

(trên Windows thì dùng đường dẫn kiểu C:\Users\<USER_NAME>\Downloads)

Bước 2 — Khai báo integration VirusTotal (trên Wazuh Server)#

<integration>
  <name>virustotal</name>
  <api_key><YOUR_VIRUS_TOTAL_API_KEY></api_key>
  <rule_id>100200,100201</rule_id>
  <alert_format>json</alert_format>
</integration>

Lưu ý: API key free của VirusTotal giới hạn 4 request/phút — nếu giám sát thư mục có nhiều file thay đổi liên tục sẽ dễ bị rate-limit, cần cân nhắc khi áp dụng thực tế chứ không chỉ cho môi trường lab.

Bước 3 — Active Response tự động xóa file độc hại#

<command>
  <name>remove-threat</name>
  <executable>remove-threat.sh</executable>
  <timeout_allowed>no</timeout_allowed>
</command>

<active-response>
  <disabled>no</disabled>
  <command>remove-threat</command>
  <location>local</location>
  <rules_id>87105</rules_id>
</active-response>

(trên Windows thay remove-threat.sh bằng remove-threat.exe)

Rule 87105 chính là rule Wazuh sinh ra khi VirusTotal xác nhận file độc hại — active response này sẽ tự chạy script xóa ngay khi rule đó match, không cần chờ người can thiệp.

Nguồn: Wazuh documentation - Detecting and removing malware using VirusTotal integration.

Cài Suricata (trên Ubuntu)#

sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt-get update
sudo apt-get install suricata -y

Tải bộ rule Emerging Threats (bộ rule mã nguồn mở phổ biến nhất cho Suricata):

cd /tmp/ && curl -LO https://rules.emergingthreats.net/open/suricata-6.0.8/emerging.rules.tar.gz
sudo tar -xvzf emerging.rules.tar.gz && sudo mkdir /etc/suricata/rules && sudo mv rules/*.rules /etc/suricata/rules/

Cấu hình suricata.yaml#

Các giá trị quan trọng cần chỉnh trong /etc/suricata/suricata.yaml:

HOME_NET: "<IP_MANG_LAB>"
EXTERNAL_NET: "any"
default-rule-path: /etc/suricata/rules
rule-files:
  - "*.rules"

af-packet:
  - interface: enp0s3   # đổi thành đúng tên interface đang dùng

Restart lại service:

sudo systemctl restart suricata

Cho Wazuh Agent đọc eve.json#

File eve.json là nơi Suricata ghi toàn bộ alert dưới dạng JSON (mặc định ở /var/log/suricata/eve.json). Thêm vào ossec.conf:

<localfile>
  <log_format>json</log_format>
  <location>/var/log/suricata/eve.json</location>
</localfile>

Điểm hay là Wazuh đã có sẵn ruleset xử lý Suricata ngay khi cài đặt (/var/ossec/ruleset/rules/0475-suricata_rules.xml), không cần tự viết decoder từ đầu — restart agent là alert sẽ tự xuất hiện trên dashboard, lọc nhanh bằng rule.groups:suricata.

Nguồn: Wazuh documentation - Network IDS integration.