Wazuh Windows 2022

Windows Server 2022 Domänencontroller an Wazuh anbinden

Der Domänencontroller ist die erste Windows-Quelle im SIEM. Er liefert die AD-relevanten Events, die ein normaler Client nicht hat: Kerberos-Tickets, Konten- und Gruppenänderungen, Anmeldungen an der Domäne. Der Windows-Agent liest den Security-Channel bereits ab Werk mit – die beiden folgenden POCs laufen daher ohne eigene Regeln.

Agent installieren

Auf dem DC eine PowerShell als Administrator öffnen. MSI von der Manager-Version herunterladen (Version an das Manager-Release anpassen) und installieren:

msiexec.exe /i wazuh-agent-4.14.0-1.msi /q WAZUH_MANAGER="wazuh.dkbi.com"
NET START WazuhSvc

Der Agent registriert sich unter dem Hostnamen des DC (kein WAZUH_AGENT_NAME nötig).

Registrierung prüfen

Auf dem Manager:

/var/ossec/bin/agent_control -l

Der DC muss mit Status Active erscheinen. Alternativ im Dashboard unter Agents.

Was der Agent liefert

Die Standard-ossec.conf des Windows-Agenten überwacht bereits die Eventchannels Application, Security und System. Für die beiden POCs ist damit keine Konfigurationsänderung nötig – die relevanten Security-Events kommen sofort im Manager an.

Optional für spätere Red-Team-POCs: Sysmon installieren (Prozess-, Netzwerk- und LSASS-Zugriffe, IDs 1/3/10) und den Channel Microsoft-Windows-Sysmon/Operational als zusätzlichen localfile-Block einhängen. Für Brute-Force und Kontenmanipulation unten wird das nicht gebraucht.

POC 1 – Anmelde-Brute-Force gegen einen Domänen-Account

Lernziel: Fehlgeschlagene Anmeldungen (4625) landen einzeln im SIEM; die Häufung erzeugt automatisch einen Brute-Force-Alarm.

Vom Kali aus ein Password-Spray über SMB gegen den DC (erzeugt einen Schwung 4625):

wget https://xinux.de/downloads/script/bad-passwords
nxc smb win2022.dkbi.com -u administrator -p bad-passwords

Erwartung im Dashboard:

rule.id	Bedeutung
60122	Einzelne fehlgeschlagene Anmeldung (Logon Failure)
60204	Mehrfache Fehlversuche – Brute-Force-Erkennung (feuert nach 8 Fehlversuchen im Zeitfenster)
60106	Erfolgreiche Anmeldung – zeigt an, falls das Spray ein gültiges Passwort trifft

Lehrpunkt: Das SIEM zählt, nicht das Betriebssystem. Windows loggt jeden 4625 stumpf weg; erst die Korrelation über authentication_failures macht daraus „hier läuft ein Angriff". Die 8er-Schwelle von 60204 ist über frequency/timeframe anpassbar, falls die Demo schneller feuern soll.

POC 2 – Persistence: neuer Domänen-Admin

Lernziel: Kontenmanipulation auf dem DC ist im SIEM sofort sichtbar – der klassische Post-Exploitation-Schritt „ich lege mir einen Admin an".

Auf dem DC (simuliert die Aktion nach einer Übernahme):

net user angreifer P@ssw0rt123! /add /domain
net group "Domänen-Admins" angreifer /add

Erwartung im Dashboard:

Event ID	Bedeutung
4720	Benutzerkonto erstellt
4732 / 4728	Mitglied zu (lokaler / globaler) Sicherheitsgruppe hinzugefügt → Aufnahme in die Domänen-Admins

Wazuh ordnet beide nativen Security-Events der Gruppe windows,account_changes zu – im Dashboard nach dieser Gruppe filtern.

Lehrpunkt: Ein neuer Domänen-Admin ist ein Ein-Zeilen-Angriff, aber ein lauter. Genau solche Events sind der Grund, warum ein DC ins SIEM gehört – die Aktion ist harmlos zu tippen und im Log unübersehbar.