Come ridurre il rumore nei log Wazuh: guida all’ottimizzazione del SOC

Uno dei problemi principali che i team di sicurezza affrontano dopo aver implementato Wazuh è l’eccessivo volume di notifiche. Ricevere migliaia di alert al giorno rende impossibile identificare le minacce reali, portando a quella che definiamo alert fatigue. Ridurre il rumore nei log non è solo una questione di pulizia, ma è fondamentale per garantire che il tuo SOC sia reattivo ed efficace.

Perché è fondamentale filtrare i log?

In un’infrastruttura aziendale standard, i sistemi generano costantemente eventi di routine: aggiornamenti software, processi di sistema ricorrenti o backup pianificati. Se Wazuh non è correttamente calibrato, tratterà questi eventi innocui come potenziali minacce. Ottimizzare significa:

• Migliorare i tempi di risposta: Gli analisti si concentrano solo su eventi critici.
• Ridurre i costi di storage: Meno log inutili salvati sul Wazuh Indexer.
• Aumentare la precisione: Riduzione drastica dei falsi positivi.

1. Identificare le regole più rumorose

Il primo passo è l’analisi dei dati. Utilizza la dashboard di Wazuh per identificare quali ID di regola (Rule ID) stanno generando il maggior numero di alert. Vai nella sezione “Security Events” e raggruppa i risultati per rule.id o rule.description. Una volta individuate le regole ridondanti, puoi decidere come agire.

2. Utilizzare le “CDB Lists” per i falsi positivi

Le CDB Lists sono uno strumento potente di Wazuh per gestire eccezioni in modo granulare. Se, ad esempio, un software di monitoraggio interno genera costantemente alert di login, puoi inserire il suo indirizzo IP o il nome utente in una “white list” dedicata. Questo evita di disabilitare l’intera regola, mantenendo attiva la protezione per il resto della rete.

3. Sovrascrittura delle regole (Rule Overwriting)

Invece di disabilitare una regola predefinita, è preferibile sovrascriverla nel file local_rules.xml. Puoi aumentare il livello di severità (level) o aggiungere condizioni specifiche tramite il tag <if_sid>.

<rule id="100001" level="0">
  <if_sid>5715</if_sid>
  <srcip>192.168.1.50</srcip>
  <description>Ignora SSH dall'IP di gestione locale</description>
</rule>

Impostando il livello a 0, Wazuh smetterà di generare alert per quella specifica condizione, pur continuando a monitorare l’evento nel background.

4. Ottimizzazione degli agenti (ossec.conf)

A volte il rumore può essere ridotto alla fonte. Nel file ossec.conf degli agenti installati sugli endpoint, puoi escludere specifiche cartelle dal monitoraggio dell’integrità dei file (Syscheck) o evitare di raccogliere log da canali EventChannel di Windows che non sono rilevanti per la sicurezza.

5. Tuning continuo

L’ottimizzazione del SOC non è un evento singolo, ma un processo continuo. Ogni volta che viene introdotto un nuovo software in azienda, le regole di Wazuh devono essere calibrate per accogliere i nuovi pattern di comportamento legittimo.

Il tuo sistema Wazuh sta generando troppi falsi positivi? Contatta gli esperti di Cyberdef.it: analizziamo i tuoi log e ottimizziamo la tua architettura per garantirti una difesa silenziosa ma implacabile.