Gotowe polityki Security Configuration Assessment (SCA) pomagają wykrywać błędy konfiguracji, ale nie zawsze odpowiadają standardowi przyjętemu w konkretnej organizacji. W Wazuh 4.x można przygotować własną politykę i sprawdzać nią wybrane ustawienia stacji lub serwerów. Poniżej opisuję, jak zacząć od małej, weryfikowalnej checklisty.
Najpierw określ stan, który chcesz sprawdzić
Nie zaczynaj od kilkudziesięciu kontroli. Wybierz jedną rolę urządzeń, na przykład stacje administracyjne albo serwery Linux, i 3–5 ustawień, których oczekiwany stan potrafisz jednoznacznie opisać. Przy każdej kontroli zapisz: cel, sposób sprawdzenia, dopuszczalne wyjątki i osobę odpowiedzialną za ocenę wyniku. Wynik SCA jest punktem wyjścia do weryfikacji, a nie samodzielną decyzją o ryzyku.
Z czego składa się własna polityka?
Plik polityki ma format YAML. Dokumentacja Wazuh opisuje cztery sekcje: policy i checks są wymagane, a requirements i variables są opcjonalne. Sekcja policy zawiera identyfikator i opis, natomiast checks określa kontrole. Identyfikatory polityki i kontroli muszą być unikalne wśród plików polityk. Sekcja requirements pozwala określić, kiedy skan ma zastosowanie; jeśli warunki nie są spełnione, dany plik nie zostanie uruchomiony.
Przykładowa kontrola może dotyczyć obecności pliku konfiguracji, wartości ustawienia rejestru Windows albo wyniku polecenia. Każda z tych metod wymaga osobnego sprawdzenia na systemie testowym: składnia poprawna dla Linux nie oznacza automatycznie poprawnego wyniku na Windows.
Pilotaż przed wdrożeniem na grupę agentów
- Przygotuj politykę dla jednego typu urządzenia i sprawdź składnię YAML oraz identyfikatory.
- Włącz ją na jednym agencie testowym zgodnie z dokumentacją konfiguracji SCA.
- Porównaj wynik każdej kontroli z rzeczywistym ustawieniem hosta.
- Przetestuj stan poprawny i niepoprawny, jeśli możesz to zrobić bez wpływu na usługę.
- Po poprawkach rozszerz wdrożenie na niewielką grupę agentów i zachowaj numer wersji polityki.
Centralne przekazywanie polityk i używanie poleceń w kontrolach wymaga dodatkowej konfiguracji opisanej w dokumentacji. Nie kopiuj takiej konfiguracji bez przeglądu uprawnień i wpływu na hosty.
Jak czytać wynik?
Kontrola niezaliczona wskazuje rozbieżność między warunkiem zapisanym w polityce a stanem wykrytym na hoście. Sprawdź lokalnie ustawienie, zakres zastosowania kontroli oraz datę skanu. Następnie zdecyduj, czy poprawić konfigurację, zmienić błędny warunek, czy udokumentować uzasadniony wyjątek. Po zmianie wykonaj ponowny skan i zapisz wynik przed oraz po.
Krótka checklista odbioru
- Polityka ma właściciela, wersję i opis zakresu.
- Każda kontrola ma jednoznaczny oczekiwany wynik.
- Sprawdzono co najmniej jeden host zgodny i jeden przypadek rozbieżności.
- Administrator potwierdził wynik na hoście, a nie tylko w panelu.
- Jest ustalony sposób obsługi wyjątków i ponownego sprawdzenia.
Powiązany temat: po wdrożeniu własnych kontroli warto uporządkować grupy agentów, aby różne role urządzeń otrzymywały właściwe polityki. Zobacz pozostałe poradniki Wazuh.
Źródła: oficjalna dokumentacja Wazuh 4.x, sprawdzona 19 października 2026 r.: Creating custom SCA policies oraz How to configure SCA.