Wazuh łatwo uruchomić na potrzeby demonstracji. Trudniej uznać pilotaż za udany: zielony status agenta nie mówi jeszcze, czy organizacja widzi potrzebne zdarzenia. Zacznijmy od jednego serwera i jednego komputera testowego. Zapiszmy wynik, który ma potwierdzić działanie całego łańcucha.
Co uruchamiamy
Instalacja opisana w oficjalnym Quickstart obejmuje trzy komponenty centralne na jednym hoście Linux: Wazuh server, Wazuh indexer i Wazuh dashboard. Agent na urządzeniu końcowym przesyła dane do serwera, który je analizuje; indexer przechowuje dane przeznaczone do wyszukiwania, a dashboard pozwala je przeglądać. To dobry układ do małego pilotażu. W większym środowisku rozkład komponentów i zasobów trzeba policzyć ponownie.
Dokumentacja Quickstart podaje orientacyjne zasoby dla wspólnej instalacji. Dla 1–25 agentów wskazuje 4 vCPU, 8 GiB RAM i 50 GB na 90 dni danych alertowych. To punkt wyjścia, nie gwarancja retencji: rzeczywiste zużycie zależy od liczby i rodzaju zdarzeń. Przed instalacją wybierz wersję 4.x zgodną z własnym planem aktualizacji i korzystaj z instrukcji tej samej wersji dla komponentów i agentów.
Pięć kroków pilotażu
- Określ zakres. Wybierz jeden komputer Windows i jedną osobę odpowiedzialną za przegląd wyników. Zapisz nazwę hosta, wersję systemu i adres serwera Wazuh.
- Przygotuj serwer. Sprawdź wymagania sprzętowe i systemowe w Quickstart, dostęp sieciowy z agenta oraz bezpieczny dostęp administratora do dashboardu. Zainstaluj komponenty centralne metodą opisaną dla wybranej wersji.
- Zabezpiecz dostęp. Hasło administracyjne wygenerowane podczas instalacji przechowuj w zatwierdzonym miejscu. Ogranicz dostęp do interfejsu i nie używaj konta administratora do codziennego przeglądu zdarzeń, jeśli wdrożysz dalszych użytkowników.
- Dołącz agenta. Na testowym Windows zainstaluj pakiet agenta, podaj adres managera zgodnie z instrukcją wdrożenia, uruchom usługę i sprawdź, czy urządzenie pojawia się w panelu. Zanotuj identyfikator agenta i przypisaną nazwę hosta.
- Wywołaj nieszkodliwe zdarzenie. Wykonaj wcześniej uzgodnioną czynność administracyjną na komputerze testowym i sprawdź jej obecność w odpowiednim kanale Windows oraz w danych Wazuh. Zapisz czas zdarzenia wraz ze strefą czasową, nazwą hosta i identyfikatorem reguły, jeżeli powstał alert.
Kiedy etap jest ukończony
Za wynik pilotażu uznajemy komplet czterech dowodów: agent jest połączony, źródło logu działa na hoście, wskazane zdarzenie jest widoczne w Wazuh, a operator potrafi je ponownie znaleźć. Jeżeli zdarzenia nie ma, rozdziel problem: źródło Windows → konfiguracja zbierania → połączenie agenta → dekodowanie i reguły → wyszukiwanie w dashboardzie. Po każdej korekcie powtórz ten sam test.
Rekomendacja praktyczna: przed podłączeniem kolejnych urządzeń ustal sposób przechowywania kopii konfiguracji, plan aktualizacji oraz odpowiedzialność za codzienny przegląd alertów. Są to decyzje organizacyjne pilotażu.
Ogólną architekturę i kryteria pilotażu opisuje też wcześniejszy tekst Wazuh — architektura, pilotaż i sprawdzenie skuteczności monitoringu.