Wazuh Windows 2022: Unterschied zwischen den Versionen
(Die Seite wurde neu angelegt: „= Windows Server 2022 Domänencontroller an Wazuh anbinden = Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events,…“) |
|||
| (Eine dazwischenliegende Version desselben Benutzers wird nicht angezeigt) | |||
| Zeile 8: | Zeile 8: | ||
<syntaxhighlight lang="powershell"> | <syntaxhighlight lang="powershell"> | ||
| − | + | Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.14.7-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='wazuh.dkbi.com' WAZUH_AGENT_NAME='win2022' | |
NET START WazuhSvc | NET START WazuhSvc | ||
</syntaxhighlight> | </syntaxhighlight> | ||
| Zeile 37: | Zeile 37: | ||
<syntaxhighlight lang="bash"> | <syntaxhighlight lang="bash"> | ||
| − | nxc smb win2022.dkbi.com -u | + | wget https://xinux.de/downloads/script/bad-passwords |
| + | nxc smb win2022.dkbi.com -u administrator -p bad-passwords | ||
</syntaxhighlight> | </syntaxhighlight> | ||
Aktuelle Version vom 9. September 2026, 13:51 Uhr
Windows Server 2022 Domänencontroller an Wazuh anbinden
Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events, die ein normaler Client nicht hat: Kerberos-Tickets, Konten- und Gruppenänderungen, Anmeldungen an der Domäne. Der Windows-Agent liest den Security-Channel bereits ab Werk mit – die beiden folgenden POCs laufen daher ohne eigene Regeln.
Agent installieren
Auf dem DC eine PowerShell als Administrator öffnen. MSI von der Manager-Version herunterladen (Version an das Manager-Release anpassen) und installieren:
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.14.7-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='wazuh.dkbi.com' WAZUH_AGENT_NAME='win2022'
NET START WazuhSvc
Der Agent registriert sich unter dem Hostnamen des DC (kein WAZUH_AGENT_NAME nötig).
Registrierung prüfen
Auf dem Manager:
/var/ossec/bin/agent_control -l
Der DC muss mit Status Active erscheinen. Alternativ im Dashboard unter Agents.
Was der Agent liefert
Die Standard-ossec.conf des Windows-Agenten überwacht bereits die Eventchannels Application, Security und System. Für die beiden POCs ist damit keine Konfigurationsänderung nötig – die relevanten Security-Events kommen sofort im Manager an.
- Optional für spätere Red-Team-POCs: Sysmon installieren (Prozess-, Netzwerk- und LSASS-Zugriffe, IDs 1/3/10) und den Channel
Microsoft-Windows-Sysmon/Operationalals zusätzlichenlocalfile-Block einhängen. Für Brute-Force und Kontenmanipulation unten wird das nicht gebraucht.
POC 1 – Anmelde-Brute-Force gegen einen Domänen-Account
Lernziel: Fehlgeschlagene Anmeldungen (4625) landen einzeln im SIEM; die Häufung erzeugt automatisch einen Brute-Force-Alarm.
Vom Kali aus ein Password-Spray über SMB gegen den DC (erzeugt einen Schwung 4625):
wget https://xinux.de/downloads/script/bad-passwords
nxc smb win2022.dkbi.com -u administrator -p bad-passwords
Erwartung im Dashboard:
| rule.id | Bedeutung |
|---|---|
| 60122 | Einzelne fehlgeschlagene Anmeldung (Logon Failure) |
| 60204 | Mehrfache Fehlversuche – Brute-Force-Erkennung (feuert nach 8 Fehlversuchen im Zeitfenster) |
| 60106 | Erfolgreiche Anmeldung – zeigt an, falls das Spray ein gültiges Passwort trifft |
Lehrpunkt: Das SIEM zählt, nicht das Betriebssystem. Windows loggt jeden 4625 stumpf weg; erst die Korrelation über authentication_failures macht daraus „hier läuft ein Angriff". Die 8er-Schwelle von 60204 ist über frequency/timeframe anpassbar, falls die Demo schneller feuern soll.
POC 2 – Persistence: neuer Domänen-Admin
Lernziel: Kontenmanipulation auf dem DC ist im SIEM sofort sichtbar – der klassische Post-Exploitation-Schritt „ich lege mir einen Admin an".
Auf dem DC (simuliert die Aktion nach einer Übernahme):
net user angreifer P@ssw0rt123! /add /domain
net group "Domänen-Admins" angreifer /addErwartung im Dashboard:
| Event ID | Bedeutung |
|---|---|
| 4720 | Benutzerkonto erstellt |
| 4732 / 4728 | Mitglied zu (lokaler / globaler) Sicherheitsgruppe hinzugefügt → Aufnahme in die Domänen-Admins |
Wazuh ordnet beide nativen Security-Events der Gruppe windows,account_changes zu – im Dashboard nach dieser Gruppe filtern.
Lehrpunkt: Ein neuer Domänen-Admin ist ein Ein-Zeilen-Angriff, aber ein lauter. Genau solche Events sind der Grund, warum ein DC ins SIEM gehört – die Aktion ist harmlos zu tippen und im Log unübersehbar.