Come creare regole personalizzate su Wazuh: guida pratica al tuning del SOC

Wazuh viene fornito con migliaia di regole predefinite capaci di rilevare un’ampia gamma di minacce. Tuttavia, ogni infrastruttura aziendale ha le proprie particolarità: software custom, flussi di lavoro specifici o policy interne uniche. Per trasformare Wazuh in un sistema di difesa d’élite, è fondamentale imparare a creare regole personalizzate.

In questa guida vedremo come scrivere le tue prime regole custom per ridurre i falsi positivi e intercettare minacce specifiche per il tuo perimetro.

Perché le regole custom sono necessarie?

Affidarsi solo alle regole standard espone a due rischi: l’alert fatigue (troppe notifiche irrilevanti) e i blind spot (minacce specifiche non tracciate). La personalizzazione permette di:

• Filtrare eventi legittimi: Evitare che processi noti e sicuri attivino allarmi critici.
• Rilevare attacchi mirati: Creare alert per tentativi di accesso a file sensibili o esecuzione di script particolari.
• Mappare la compliance interna: Verificare il rispetto di procedure operative standard dell’azienda.

Fase 1: Dove si trovano le regole?

In Wazuh, le regole predefinite si trovano in /var/ossec/ruleset/rules/. Non modificare mai questi file, poiché verrebbero sovrascritti durante ogni aggiornamento. Il luogo corretto per le tue personalizzazioni è il file:

/var/ossec/etc/rules/local_rules.xml

Fase 2: Struttura di una regola personalizzata

Ogni regola è racchiusa in un blocco XML. Gli elementi fondamentali sono l’ID (deve essere superiore a 100.000 per le regole locali), il livello di severità (da 0 a 15) e la condizione.

Esempio: Rilevare l’accesso a un file sensibile

Immaginiamo di voler ricevere un alert critico ogni volta che un file specifico (es. elenco_clienti.xlsx) viene modificato:

<group name="monitoraggio_file,">
  <rule id="100002" level="10">
    <if_sid>550</if_sid>
    <field name="file">C:\\Dati\\elenco_clienti.xlsx</field>
    <description>ATTENZIONE: Modifica non autorizzata al file elenco clienti</description>
    <mitre>
      <id>T1565</id>
    </mitre>
  </rule>
</group>

Fase 3: Testare le nuove regole

Prima di rendere operative le modifiche, è essenziale testarle per assicurarsi che la sintassi sia corretta e che la logica funzioni come previsto. Wazuh mette a disposizione uno strumento formidabile: wazuh-logtest.

1. Esegui il comando: /var/ossec/bin/wazuh-logtest
2. Incolla il log grezzo che vuoi analizzare.
3. Verifica quale regola viene attivata e se il livello di severità è quello desiderato.

Fase 4: Applicare le modifiche

Una volta verificata la regola nel logtest, salva il file local_rules.xml e riavvia il manager per applicare i cambiamenti:

systemctl restart wazuh-manager

Conclusione

La creazione di regole custom è ciò che distingue un’installazione amatoriale di Wazuh da un Security Operations Center professionale. Inizia identificando i processi più rumorosi e silenziali, poi passa a definire i comportamenti che rappresentano un vero rischio per il tuo business.

Non hai tempo per gestire la complessità delle regole custom? Affidati al SOC gestito di Cyberdef.it: ci occupiamo noi del tuning e del monitoraggio H24 per la tua azienda.