La sicurezza delle infrastrutture IT aziendali richiede un controllo costante dei server, degli endpoint, delle applicazioni e delle attività svolte dagli utenti. Le minacce informatiche non si manifestano sempre attraverso un'interruzione evidente del servizio: spesso un attacco inizia con tentativi di autenticazione anomali, modifiche non autorizzate ai file di sistema, esecuzione di processi sospetti o attività insolite sui dispositivi aziendali. Senza strumenti in grado di raccogliere e analizzare questi eventi, individuare tempestivamente una compromissione può diventare particolarmente complesso.
In questo contesto si inserisce Wazuh, una piattaforma open source per il monitoraggio della sicurezza e il rilevamento delle minacce, progettata per analizzare gli eventi generati da server Windows e Linux, workstation, dispositivi e applicazioni. La soluzione integra funzionalità di Security Information and Event Management (SIEM) e Extended Detection and Response (XDR), consentendo di centralizzare i log, individuare comportamenti anomali, verificare le configurazioni dei sistemi e rilevare possibili indicatori di compromissione.
Wazuh permette quindi di affiancare al tradizionale monitoraggio delle prestazioni un controllo orientato alla sicurezza, fornendo agli amministratori IT una visione più completa dello stato degli ambienti informatici. La piattaforma non si limita a registrare gli eventi, ma li analizza attraverso regole di correlazione e meccanismi di rilevamento che possono generare alert quando vengono individuate condizioni potenzialmente pericolose.
Come funziona Wazuh
L'architettura di Wazuh si basa su tre componenti principali: Wazuh Agent, Wazuh Server e Wazuh Indexer, affiancati dall'interfaccia Wazuh Dashboard per la consultazione e l'analisi delle informazioni.
L'Agent viene installato sui sistemi da monitorare, come server Windows, distribuzioni Linux e workstation. Il componente raccoglie informazioni relative ai log, alle attività di sistema, alle modifiche dei file e alle configurazioni di sicurezza, inviandole al server centrale per l'elaborazione. La comunicazione può essere configurata in modo sicuro, limitando gli accessi e proteggendo il trasferimento dei dati.
Il Wazuh Server riceve gli eventi dagli agent, applica le regole di analisi e genera gli alert quando vengono soddisfatte determinate condizioni. Il motore di analisi consente di identificare eventi sospetti attraverso regole predefinite e personalizzabili, correlando informazioni provenienti da più sorgenti. Questo permette, ad esempio, di individuare sequenze di autenticazioni fallite seguite da un accesso riuscito oppure modifiche anomale a file e configurazioni critiche.
Wazuh Indexer si occupa dell'indicizzazione e della memorizzazione degli eventi, rendendo possibile la ricerca e l'analisi dei dati raccolti. Attraverso Wazuh Dashboard, gli amministratori possono consultare gli alert, verificare lo stato degli agent, analizzare le attività rilevate e controllare la sicurezza complessiva dell'infrastruttura.
Questa architettura permette di gestire centralmente ambienti composti da numerosi server, evitando di dover analizzare manualmente i log di ogni singola macchina.
Analisi dei log e rilevamento delle minacce
Una delle funzionalità più importanti di Wazuh è la raccolta e l'analisi centralizzata dei log. Ogni server genera informazioni relative all'esecuzione dei processi, agli accessi degli utenti, ai servizi attivi, agli errori applicativi e alle operazioni effettuate sul sistema. Questi dati possono contenere indicatori utili per individuare tentativi di intrusione o attività non autorizzate.
Wazuh utilizza decoder e regole di analisi per interpretare gli eventi provenienti da sorgenti differenti. I decoder permettono di estrarre informazioni strutturate dai log, mentre le regole verificano la presenza di condizioni specifiche e determinano quando un evento deve essere considerato sospetto. È possibile utilizzare regole già disponibili oppure svilupparne di personalizzate per adattare il rilevamento alle caratteristiche dell'ambiente aziendale.
Un esempio riguarda i tentativi ripetuti di autenticazione SSH su un server Linux. Se un indirizzo IP genera numerosi accessi falliti in un intervallo ristretto, Wazuh può identificare il comportamento come potenziale tentativo di brute force e generare un alert. Lo stesso principio può essere applicato agli accessi Windows, alle autenticazioni degli utenti, alle attività amministrative e alle anomalie rilevate nei log delle applicazioni.
La correlazione degli eventi permette inoltre di riconoscere situazioni che, considerate singolarmente, potrebbero apparire poco significative. Una modifica a un file di configurazione, un accesso amministrativo fuori dall'ordinario e l'avvio di un processo sconosciuto possono assumere maggiore rilevanza quando vengono analizzati nel loro insieme.
File Integrity Monitoring: controllo delle modifiche ai file
Wazuh integra una funzionalità denominata File Integrity Monitoring (FIM), utilizzata per rilevare modifiche ai file e alle directory monitorate. Il sistema può controllare variazioni nei contenuti, nei permessi, nella proprietà e in altri attributi, generando eventi quando vengono rilevate modifiche rispetto allo stato precedentemente registrato.
Questa funzionalità è particolarmente utile per proteggere directory contenenti configurazioni di sistema, file applicativi, script e componenti essenziali dei server. In un ambiente Linux, ad esempio, è possibile monitorare file come /etc/passwd, /etc/shadow e configurazioni dei servizi, mentre su Windows si possono controllare percorsi e file di configurazione considerati critici.
Il monitoraggio dell'integrità consente di individuare modifiche non previste, che potrebbero derivare da errori amministrativi, installazioni non autorizzate o attività malevole. È importante configurare correttamente i percorsi da controllare e le frequenze di scansione, evitando di generare un numero eccessivo di eventi a causa di directory caratterizzate da modifiche frequenti.
La funzionalità FIM può inoltre contribuire alla verifica della conformità delle configurazioni, perché permette di documentare quando determinati file vengono modificati e di analizzare le variazioni rilevate nel tempo.
Vulnerability Detection e controllo delle vulnerabilità
Wazuh dispone di funzionalità per il rilevamento delle vulnerabilità presenti nei sistemi monitorati. Attraverso le informazioni raccolte dagli agent, la piattaforma può identificare software installati, versioni e pacchetti presenti sui dispositivi, confrontandoli con informazioni sulle vulnerabilità conosciute.
Il sistema permette di individuare componenti software associati a vulnerabilità pubblicate nei database di riferimento, come il National Vulnerability Database (NVD) e altre fonti supportate. Gli amministratori possono quindi ottenere una panoramica dei sistemi potenzialmente esposti e valutare quali aggiornamenti siano prioritari.
Questa attività è particolarmente importante negli ambienti aziendali, dove possono essere presenti numerosi server con sistemi operativi, applicazioni e dipendenze differenti. Un server che utilizza una versione non aggiornata di un servizio web, ad esempio, potrebbe presentare vulnerabilità sfruttabili da un attaccante per ottenere accesso non autorizzato o compromettere i dati.
Il rilevamento delle vulnerabilità non sostituisce il processo di Patch Management, ma fornisce informazioni utili per pianificare gli aggiornamenti e ridurre la superficie di attacco. È comunque necessario verificare la reale applicabilità delle vulnerabilità individuate, perché la presenza di un pacchetto vulnerabile non implica automaticamente che il sistema sia esposto a uno specifico attacco.
Security Configuration Assessment e conformità
Un'altra funzionalità importante è il Security Configuration Assessment (SCA), che permette di verificare le configurazioni dei sistemi rispetto a specifici requisiti di sicurezza. Wazuh utilizza controlli organizzati in policy per individuare impostazioni non conformi, configurazioni deboli e misure di protezione mancanti.
Le verifiche possono riguardare la configurazione dei servizi, le politiche delle password, i permessi dei file, i parametri del sistema operativo e altri elementi che contribuiscono alla sicurezza dell'infrastruttura. I risultati vengono presentati attraverso indicatori che aiutano gli amministratori a individuare le configurazioni da correggere.
Questa funzionalità è utile anche nelle attività di Hardening, perché consente di verificare nel tempo se i sistemi rispettano le impostazioni di sicurezza definite dall'organizzazione. Un controllo periodico permette di individuare modifiche involontarie o deviazioni rispetto alle configurazioni previste, mantenendo più uniforme il livello di protezione dei server.
Le policy possono essere utilizzate anche come supporto alle attività di verifica rispetto a framework e standard di sicurezza, ma la presenza di un punteggio di conformità non equivale automaticamente alla certificazione o al rispetto completo di un determinato standard.
Rilevamento delle attività sospette e risposta agli incidenti
Wazuh permette di analizzare numerose tipologie di eventi per individuare comportamenti potenzialmente riconducibili a un attacco informatico. Tra questi rientrano accessi anomali, esecuzione di processi sospetti, modifiche ai file critici, tentativi di escalation dei privilegi e attività insolite sui sistemi.
Quando viene generato un alert, l'amministratore può analizzare le informazioni associate all'evento, identificare il dispositivo coinvolto e valutare la gravità della situazione. La piattaforma mette inoltre a disposizione funzionalità di Active Response, che consentono di eseguire azioni automatiche in presenza di determinate condizioni.
Ad esempio, in seguito al rilevamento di tentativi ripetuti di accesso non autorizzato, può essere configurata un'azione per bloccare temporaneamente l'indirizzo IP responsabile. Queste automazioni devono però essere progettate con attenzione, perché un blocco automatico non correttamente configurato potrebbe interrompere connessioni legittime o compromettere la disponibilità di un servizio.
La risposta automatica deve quindi essere accompagnata da regole precise, controlli sulle condizioni di attivazione e procedure di ripristino. In molti contesti aziendali è preferibile utilizzare Wazuh inizialmente per generare alert e supportare l'analisi degli incidenti, introducendo successivamente le azioni automatiche dopo averne verificato il comportamento.
Wazuh per monitorare server Windows e Linux
Uno degli utilizzi principali di Wazuh riguarda la gestione centralizzata della sicurezza dei server aziendali. Installando gli agent sui sistemi Windows e Linux è possibile raccogliere informazioni sulle attività degli utenti, sugli accessi, sui servizi, sui processi e sulle configurazioni.
Su Windows, il monitoraggio può includere gli eventi registrati nei Windows Event Log, le autenticazioni, le modifiche ai sistemi e le attività amministrative. Su Linux, invece, è possibile analizzare i log di autenticazione, gli eventi del sistema operativo, le attività dei servizi e le modifiche ai file di configurazione.
In un'infrastruttura composta da più server, la centralizzazione consente di correlare eventi provenienti da macchine differenti. Questo è particolarmente utile quando un attacco coinvolge più componenti, ad esempio un server web, un database e un sistema utilizzato per la gestione delle applicazioni.
Wazuh può essere integrato anche con strumenti e servizi esterni, ampliando le possibilità di raccolta e analisi degli eventi. Attraverso le integrazioni disponibili è possibile acquisire informazioni da firewall, sistemi di autenticazione, piattaforme cloud e altre sorgenti, costruendo una visione più completa delle attività che interessano l'ambiente IT.
Come configurare Wazuh in un ambiente aziendale
L'installazione di Wazuh richiede una progettazione preliminare, soprattutto quando deve essere utilizzato per monitorare un'infrastruttura composta da numerosi server. Prima di procedere è necessario valutare il numero di endpoint, il volume dei log generati, la frequenza di raccolta degli eventi, lo spazio necessario per la conservazione dei dati e le risorse hardware richieste dai componenti centrali.
Il dimensionamento deve considerare anche la crescita futura dell'infrastruttura, evitando di installare una piattaforma che diventi rapidamente insufficiente in termini di CPU, RAM, storage e capacità di indicizzazione. In ambienti distribuiti è possibile valutare architetture con componenti separati e una gestione centralizzata degli agent.
Dopo l'installazione occorre configurare gli agent sui sistemi da monitorare, definire le sorgenti dei log, selezionare le directory da sottoporre a controllo FIM e attivare le verifiche di sicurezza più rilevanti. Le regole di rilevamento devono essere adattate alle caratteristiche dei server, perché un ambiente di produzione può generare eventi molto differenti rispetto a un ambiente di sviluppo.
È inoltre necessario configurare le notifiche, definire le priorità degli alert e stabilire chi deve occuparsi della loro analisi. Una piattaforma che genera migliaia di segnalazioni senza una corretta classificazione rischia di diventare poco efficace. Per questo motivo è importante calibrare le regole, ridurre i falsi positivi e verificare periodicamente che gli eventi critici vengano effettivamente rilevati.
La sicurezza della piattaforma stessa deve essere considerata durante tutta la configurazione. Gli accessi alla dashboard devono essere protetti, le comunicazioni tra i componenti devono utilizzare canali sicuri e gli aggiornamenti devono essere applicati con regolarità. Anche i dati raccolti devono essere protetti attraverso politiche di accesso, conservazione e backup adeguate.
ALLIT ti aiuta a configurare e monitorare Wazuh
Implementare Wazuh in azienda significa dotarsi di uno strumento per migliorare la visibilità sulle attività dei server e individuare tempestivamente possibili problemi di sicurezza. Per ottenere risultati concreti, tuttavia, è necessario configurare correttamente la piattaforma, selezionare gli eventi da monitorare e definire regole coerenti con l'infrastruttura.
ALLIT supporta le aziende nell'installazione e configurazione di Wazuh, nella distribuzione degli agent su server Windows e Linux, nell'integrazione delle sorgenti di log e nella definizione delle policy di monitoraggio. L'attività comprende la configurazione del File Integrity Monitoring, il controllo delle vulnerabilità, l'analisi degli eventi di sicurezza e la gestione degli alert, con l'obiettivo di individuare tempestivamente anomalie e comportamenti sospetti.
Attraverso una configurazione personalizzata è possibile centralizzare il monitoraggio dei server, controllare le modifiche ai sistemi, verificare le configurazioni di sicurezza e ricevere notifiche quando vengono rilevate condizioni potenzialmente critiche. ALLIT aiuta inoltre le aziende a mantenere sotto controllo la piattaforma nel tempo, aggiornando le regole e adattando il monitoraggio all'evoluzione dell'infrastruttura IT.
