Ola pessoal, tudo bem?<\/p>\n
<\/p>\n
Ando meio sumido mas ultimamente ando ocupado estudando algumas solu\u00e7\u00f5es de seguran\u00e7a que n\u00e3o conhecia e tamb\u00e9m estava montando meu novo LAB, que ser\u00e1 tema de um novo post em breve.<\/p>\n
Bom, por falar em novas ferramentas de seguran\u00e7a da informa\u00e7\u00e3o, uma solu\u00e7\u00e3o que ando estudando bastante e implementando em meu Lab \u00e9 o WAZUH, de acordo com a pr\u00f3pria defini\u00e7\u00e3o do site oficial, o WAZUH \u00e9:<\/p>\n
<\/p>\n
“Wazuh \u00e9 uma plataforma de seguran\u00e7a open source que integra funcionalidades de SIEM (Security Information and Event Management) e XDR (Extended Detection and Response). Ela permite monitorar e proteger infraestruturas de TI, incluindo hosts, servi\u00e7os na nuvem e containers, oferecendo preven\u00e7\u00e3o, detec\u00e7\u00e3o e resposta a incidentes de seguran\u00e7a. “<\/em><\/p>\n <\/p>\n Tamb\u00e9m n\u00e3o vou abordar a instala\u00e7\u00e3o do Wazuh aqui, existem v\u00e1rios posts explicando isso, mas de qualquer forma, o post mais completo e mais intuitivo \u00e9 o do pr\u00f3prio site do wazuh:<\/p>\n https:\/\/documentation.wazuh.com\/current\/quickstart.html<\/p>\n Basicamente estou utilizando a instala\u00e7\u00e3o do tipo all-in-one <\/em>em um servidor rodando Ubuntu Server, pra mim esse foi o tipo de instala\u00e7\u00e3o mais simples, e pode ser feita utilizando apenas um unico comando conforme consta na documenta\u00e7\u00e3o do site.<\/p>\n <\/p>\n Bom, voltando ao tema principal do post, hoje vou abordar como gerar alertas por email a partir de log’s recebidos no Wazuh pelo vsphere.<\/p>\n Um dos principais medos de quem gerencia um ambiente vsphere e manter o ambiente seguro e livre de acessos indesejados, existe uma pesquisa realizada que fala que ap\u00f3s um atacante obter acesso ao ambiente geralmente ele fica em torno de 197 dias fazendo o reconhecimento do ambiente, movimentando lateralmente e descobrindo tudo que ele pode acessar, antes de fato de comprometer o ambiente, ou seja, \u00e9 extremamente importante termos alertas de acesso ou tentativa de acesso aos dispositivos principais do nosso ambiente.<\/p>\n \u00c9 bem incomum termos que acessar diariamente um host ESXi por exemplo por SSH, principalmente devido ao fato desses hosts geralmente estarem sendo gerenciados por um vCenter, e sabemos que uma das formas que os atacante possuem de criptografar os volumes utilizados no vSphere ou de obterem acesso a determinadas pastas do ESXi \u00e9 tendo acesso SSH-Root nos ESXi’s, na maioria dos ataques ocorre a escala\u00e7\u00e3o de privil\u00e9gios, por exemplo em um Active Directory, e o atacante consegue ent\u00e3o acessar a GUI do vCenter, tendo acesso como administrador ele consegue habilitar SSH nos hosts ESXi.<\/p>\n Desta forma, uma boa pr\u00e1tica para mantermos o ambiente seguro \u00e9 garantirmos atrav\u00e9s de alertas que todos os acessos SSH aos hosts VMware sejam alertados e devidamente tratados, que \u00e9 o tema deste post:<\/p>\n <\/p>\n Novamente, n\u00e3o vou abordar passo-a-passo a configura\u00e7\u00e3o do Wazuh para receber os logs do ambiente VMware, isso est\u00e1 bem documentado neste link:<\/p>\n1 – Coletando logs do ambiente vSphere e enviando ao Wazuh Manager:<\/h3>\n