Wazuh Training by becon

Cyberangriffe, Compliance-Anforderungen und steigende Security-Kosten stellen viele Unternehmen vor die Herausforderung, Security Monitoring effizient und wirtschaftlich umzusetzen — oft fehlen Zeit, Personal und spezialisierte SOC-Ressourcen.

Open-Source-Lösungen wie Wazuh gewinnen deshalb gerade im Mittelstand an Bedeutung. Die Schulung zeigt, wie Wazuh Anforderungen aus ISO 27001, NIS-2 oder Schwachstellenerkennung technisch unterstützen kann — ohne komplexe Enterprise-SOC-Strukturen oder hohe Lizenzkosten.

• Wazuh grundlegend bedienen und einordnen
• die wichtigsten Komponenten und Module verstehen
• Agents ausrollen und verwalten
• Logs zentral erfassen und analysieren
• erste Sicherheitsereignisse bewerten und priorisieren
• benutzerdefinierte Logs integrieren
• grundlegende Detection- und Monitoring-Use-Cases umsetzen
• typische Fehler und Fehlalarme besser einschätzen

Einführung in Security Monitoring

• Was ist ein Security Incident?
• Warum werden Logs und Events überwacht?
• Typische Security-Use-Cases

Wazuh im Überblick

• Nutzen & Einsatzmöglichkeiten
• Architektur und Hauptkomponenten (Manager, Agent, Dashboard)
• Überblick über wichtige Module

Dashboard & erste Navigation

• Oberfläche kennenlernen
• Agentenstatus verstehen
• Erste Alerts analysieren
• Security Events interpretieren

Praxisübungen Tag 1

• Geführte Dashboard-Tour
• Alerts öffnen und bewerten
• Agenten deployen
• Erste Logs analysieren

Wie entsteht ein Alert?

• Ereignis → Regel → Alert
• Alert-Level & Priorisierung
• Typische Detection-Mechanismen

Wichtige Wazuh-Module

• File Integrity Monitoring (FIM)
• Vulnerability Monitoring
• Erste Detection-Use-Cases

Grundlagen der Alert-Analyse

• Alerts filtern und kategorisieren
• Fehlalarm oder echte Bedrohung?
• Eskalation und Incident Handling

Praxisübungen Tag 2

• SSH-Bruteforce-Szenario analysieren
• conf anpassen
• Benutzerdefinierte Logs integrieren
• Alerts vergleichen und priorisieren
• Einfachen Incident-/Mini-Report erstellen

Grundlegende Linux-/Infrastruktur-Kenntnisse. Fundamentals-Teilnahme empfohlen, aber nicht zwingend — andere Lernrichtung als das Analyst-Training (Betrieb statt Analyse).

• produktive Wazuh-Umgebungen eigenständig planen, installieren und administrieren
• Single-Node- sowie Cluster-Architekturen bedarfsgerecht dimensionieren und betreiben
• Wazuh-Agents automatisiert ausrollen und zentral verwalten
• eigene Rules, Decoder und CDB-Listen entwickeln und bestehende Detection-Logik optimieren
• zusätzliche Logquellen, Cloud-Dienste und externe Systeme sicher integrieren
• die Wazuh-API für Automatisierungs- und Integrationsaufgaben einsetzen
• Performance, Datenhaltung und Indexverwaltung produktiver Umgebungen optimieren
• Health-Checks, Wartungsarbeiten und Upgrades sicher planen und durchführen
• typische Fehler systematisch analysieren und produktive Wazuh-Installationen effizient beheben

Deployment Strategies

• Planung von Single-Node-Installationen sowie Cluster-Architekturen (Manager/Indexer)
• On-Premise- vs. Cloud-Umgebungen
• Ressourcen-Sizing (CPU, RAM, Storage)

Installation & Initial Setup

• Installation und Grundkonfiguration der Wazuh-Manager-Komponenten
• Setup von OpenSearch Indexer und Dashboard

Automated Agent Deployment

• Strategien für den Massen-Rollout von Agents, z. B. via Ansible

User Management

• Konfiguration von Rollen (RBAC)
• Anbindung an Identity Provider (LDAP / Active Directory)

Praxisübungen Tag 1

• Single-Node-Installation von Grund auf
• Cluster-Sizing für ein vorgegebenes Lastszenario kalkulieren
• Automatisierten Agent-Rollout mit Ansible durchführen

Log Data Collection

• Konfiguration von Agent-Capabilities
• Remote-Log-Collection (z. B. Syslog, Cloud-Services wie AWS CloudWatch)

Rule & Decoder Engineering

• Erstellung und Anpassung eigener Regeln und Decoder (XML-basiert)
• Verbesserung der Detection-Qualität und Reduzierung von False Positives

CDB-Listen & Threat Intel

• Nutzung von CDB-Listen für Whitelisting/Blacklisting
• Integration externer Threat-Intelligence-Feeds (z. B. MISP)

API-Interaktion

• Nutzung der Wazuh-API für Automatisierung, Statusabfragen und Workflow-Integration

Praxisübungen Tag 2

• Eigene Detection-Regel von Grund auf schreiben und testen
• CDB-Liste anlegen und in eine Regel einbinden
• API-Abfrage zur Automatisierung eines Standardvorgangs umsetzen

Performance Tuning

• Optimierung von OpenSearch-Index-Settings
• Shard- und Replica-Strategien
• Log-Rotation zur Stabilisierung größerer Installationen

Data Retention & Archiving

• Konfiguration von Index Lifecycle Policies (ILM)
• Retention-Strategien gemäß betrieblichen und Compliance-Anforderungen

Health-Checks & Monitoring

• Regelmäßige Systemprüfungen
• Monitoring von Manager-Status, Agent-Connectivity und Cluster-Gesundheit

Upgrade-Prozesse

• Wartung & Betriebssicherheit – Sicherer Upgrade-Pfad, Snapshot-Strategien und Disaster-Recovery für produktive Umgebungen

Praxisübungen Tag 3

• ILM-Policy für ein realistisches Retention-Szenario konfigurieren
• Health-Check-Routine für eine bestehende Installation aufbauen
• Geführtes Upgrade-Szenario in einer Testumgebung durchführen