Thomas.will: /* Agent installieren */

2026-09-09T13:51:11Z

Agent installieren

Thomas.will: /* POC 1 – Anmelde-Brute-Force gegen einen Domänen-Account */

2026-09-09T13:03:28Z

POC 1 – Anmelde-Brute-Force gegen einen Domänen-Account

Thomas.will: Die Seite wurde neu angelegt: „= Windows Server 2022 Domänencontroller an Wazuh anbinden = Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events,…“

2026-09-09T12:22:26Z

Die Seite wurde neu angelegt: „= Windows Server 2022 Domänencontroller an Wazuh anbinden = Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events,…“

Neue Seite

= Windows Server 2022 Domänencontroller an Wazuh anbinden =

Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events, die ein normaler Client nicht hat: Kerberos-Tickets, Konten- und Gruppenänderungen, Anmeldungen an der Domäne. Der Windows-Agent liest den <code>Security</code>-Channel bereits ab Werk mit – die beiden folgenden POCs laufen daher ohne eigene Regeln.

== Agent installieren ==

Auf dem DC eine PowerShell '''als Administrator''' öffnen. MSI von der Manager-Version herunterladen (Version an das Manager-Release anpassen) und installieren:

<syntaxhighlight lang="powershell">
msiexec.exe /i wazuh-agent-4.14.0-1.msi /q WAZUH_MANAGER="wazuh.dkbi.com"
NET START WazuhSvc
</syntaxhighlight>

Der Agent registriert sich unter dem Hostnamen des DC (kein <code>WAZUH_AGENT_NAME</code> nötig).

== Registrierung prüfen ==

Auf dem Manager:

<syntaxhighlight lang="bash">
/var/ossec/bin/agent_control -l
</syntaxhighlight>

Der DC muss mit Status '''Active''' erscheinen. Alternativ im Dashboard unter ''Agents''.

== Was der Agent liefert ==

Die Standard-<code>ossec.conf</code> des Windows-Agenten überwacht bereits die Eventchannels <code>Application</code>, <code>Security</code> und <code>System</code>. Für die beiden POCs ist damit '''keine Konfigurationsänderung''' nötig – die relevanten Security-Events kommen sofort im Manager an.

: ''Optional für spätere Red-Team-POCs:'' Sysmon installieren (Prozess-, Netzwerk- und LSASS-Zugriffe, IDs 1/3/10) und den Channel <code>Microsoft-Windows-Sysmon/Operational</code> als zusätzlichen <code>localfile</code>-Block einhängen. Für Brute-Force und Kontenmanipulation unten wird das nicht gebraucht.

== POC 1 – Anmelde-Brute-Force gegen einen Domänen-Account ==

'''Lernziel:''' Fehlgeschlagene Anmeldungen (4625) landen einzeln im SIEM; die Häufung erzeugt automatisch einen Brute-Force-Alarm.

Vom Kali aus ein Password-Spray über SMB gegen den DC (erzeugt einen Schwung 4625):

<syntaxhighlight lang="bash">
nxc smb win2022.dkbi.com -u benutzer.txt -p passwoerter.txt
</syntaxhighlight>

'''Erwartung im Dashboard:'''
{| class="wikitable"
! rule.id !! Bedeutung
|-
| '''60122''' || Einzelne fehlgeschlagene Anmeldung (Logon Failure)
|-
| '''60204''' || Mehrfache Fehlversuche – Brute-Force-Erkennung (feuert nach 8 Fehlversuchen im Zeitfenster)
|-
| '''60106''' || Erfolgreiche Anmeldung – zeigt an, falls das Spray ein gültiges Passwort trifft
|}

'''Lehrpunkt:''' Das SIEM zählt, nicht das Betriebssystem. Windows loggt jeden 4625 stumpf weg; erst die Korrelation über <code>authentication_failures</code> macht daraus „hier läuft ein Angriff". Die 8er-Schwelle von 60204 ist über <code>frequency</code>/<code>timeframe</code> anpassbar, falls die Demo schneller feuern soll.

== POC 2 – Persistence: neuer Domänen-Admin ==

'''Lernziel:''' Kontenmanipulation auf dem DC ist im SIEM sofort sichtbar – der klassische Post-Exploitation-Schritt „ich lege mir einen Admin an".

Auf dem DC (simuliert die Aktion nach einer Übernahme):

<syntaxhighlight lang="cmd">
net user angreifer P@ssw0rt123! /add /domain
net group "Domänen-Admins" angreifer /add
</syntaxhighlight>

'''Erwartung im Dashboard:'''
{| class="wikitable"
! Event ID !! Bedeutung
|-
| '''4720''' || Benutzerkonto erstellt
|-
| '''4732 / 4728''' || Mitglied zu (lokaler / globaler) Sicherheitsgruppe hinzugefügt → Aufnahme in die Domänen-Admins
|}

Wazuh ordnet beide nativen Security-Events der Gruppe <code>windows,account_changes</code> zu – im Dashboard nach dieser Gruppe filtern.

'''Lehrpunkt:''' Ein neuer Domänen-Admin ist ein Ein-Zeilen-Angriff, aber ein lauter. Genau solche Events sind der Grund, warum ein DC ins SIEM gehört – die Aktion ist harmlos zu tippen und im Log unübersehbar.

[[Kategorie:WAZUH]]
[[Kategorie:Windows]]
[[Kategorie:SIEM]]

@@ Zeile 8: / Zeile 8: @@
 <syntaxhighlight lang="powershell">
-msiexec.exe /i wazuh-agent-4.14.0-1.msi /q WAZUH_MANAGER="wazuh.dkbi.com"
+Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.14.7-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='wazuh.dkbi.com' WAZUH_AGENT_NAME='win2022'
 NET START WazuhSvc
 </syntaxhighlight>

@@ Zeile 37: / Zeile 37: @@
 <syntaxhighlight lang="bash">
-nxc smb win2022.dkbi.com -u benutzer.txt -p passwoerter.txt
+wget https://xinux.de/downloads/script/bad-passwords
 </syntaxhighlight>

Wazuh Windows 2022 - Versionsgeschichte

Thomas.will: /* Agent installieren */

Thomas.will: /* POC 1 – Anmelde-Brute-Force gegen einen Domänen-Account */

Thomas.will: Die Seite wurde neu angelegt: „= Windows Server 2022 Domänencontroller an Wazuh anbinden = Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events,…“