Osquery nie zastępuje agenta Wazuh. To osobne narzędzie, które odpytuje system o jego bieżący stan. Integracja pozwala przesłać wyniki wybranych zapytań do Wazuh i zestawić je z pozostałą telemetrią. Dla małego zespołu IT najważniejsze jest zacząć od kilku pytań, na które wyniki rzeczywiście pomogą odpowiedzieć.
Co warto sprawdzać?
Praktyczny punkt wyjścia to konta lokalne i członkostwo w grupach uprzywilejowanych, uruchomione procesy, usługi oraz nasłuchujące porty. Wynik zapytania jest obserwacją z konkretnego momentu, nie pełnym dziennikiem wszystkich zmian. Trzeba znać częstotliwość odpytywania i zakres wdrożenia, zanim uzna się brak wyniku za brak problemu.
Jak zaplanować pilotaż
- Wybierz pytanie operacyjne. Przykład: „Czy na stacjach administracyjnych pojawiło się nieoczekiwane konto lokalne?”.
- Sprawdź instalację osquery. Osquery instaluje się i konfiguruje oddzielnie na monitorowanym systemie. Sama obecność agenta Wazuh nie uruchamia tej funkcji.
- Skonfiguruj integrację w agencie Wazuh. Zgodnie z dokumentacją włącza się moduł osquery i wskazuje jego konfigurację. Najpierw przetestuj to na jednej stacji lub małej grupie.
- Ogranicz zestaw zapytań. Ustal interwały i oceniaj koszt odpytywania. Nie zbieraj danych „na wszelki wypadek”, jeżeli nikt nie będzie ich analizował.
- Zweryfikuj wynik. Porównaj go z rzeczywistym stanem urządzenia, sprawdź opóźnienie i sposób prezentacji w Wazuh.
Jak interpretować dane
Zapytanie o port nasłuchujący może wskazać usługę do sprawdzenia, ale samo nie dowodzi incydentu. Podobnie nowe konto lokalne wymaga porównania z zatwierdzoną zmianą. Dobrą praktyką jest zapisanie właściciela każdego zapytania, oczekiwanej reakcji i terminu przeglądu.
Rekomendacja praktyczna: zacznij od 2–3 zapytań odpowiadających na rzeczywiste ryzyka organizacji. Po tygodniu sprawdź liczbę użytecznych ustaleń i obciążenie stacji, a dopiero potem rozszerz zakres.
Lista odbioru
- Osquery działa na wskazanych hostach i ma znaną wersję.
- Wazuh odbiera wyniki testowych zapytań.
- Administrator zna interwał i ograniczenia danych.
- Dla odstępstw istnieje osoba odpowiedzialna za weryfikację.
Źródło: oficjalna dokumentacja Wazuh 4.x — osquery. Przed wdrożeniem sprawdź instrukcję dla używanej wersji Wazuh i osquery.