Guida all’installazione di Wazuh: Indexer, server, dashboard

Guida Dettagliata: Installazione del Cluster Wazuh Indexer

Il Wazuh Indexer è il cuore pulsante del sistema: un motore di ricerca basato su OpenSearch che memorizza e analizza i log. Questa guida copre l’installazione tramite lo script assistito, il metodo più rapido e sicuro per configurare nodi singoli o cluster complessi.

Requisiti Preliminari

• Accesso come utente root.
• Architettura: Sistema a 64 bit (x86_64 o ARM64).
• Connettività: Le porte 9200/TCP (API) e 9300-9400/TCP (comunicazione tra nodi) devono essere aperte nel firewall tra i nodi dell’indexer.

Preparazione dell’Ambiente

Scegli un server (può essere lo stesso dove installerai l’indexer) per generare i file di configurazione globali.

Scarica lo script di installazione ufficiale: curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh

Scarica il template di configurazione del cluster: curl -sO https://packages.wazuh.com/4.14/config.yml

Configurazione del Cluster (config.yml)

Modifica il file config.yml per mappare la tua infrastruttura. Se hai un solo nodo, lascia una sola voce per sezione; se ne hai molti, aggiungili rispettando l’indentazione.

Comando da eseguire: nano config.yml

Generazione dei certificati e credenziali

Esegui questo comando per creare l’architettura di sicurezza (SSL/TLS e password casuali).

Comando da eseguire: bash wazuh-install.sh –generate-config-files

Questo genererà un file chiamato wazuh-install-files.tar. Importante: Questo archivio contiene le chiavi private. Proteggilo e copialo su tutti i server della tua infrastruttura usando scp.

Comando da eseguire: scp wazuh-install-files.tar root@IL-TUO-IP:/root/

Installazione dei Nodi Indexer

Esegui queste operazioni su ogni macchina destinata a diventare un Indexer.

• Assicurati di avere i file: Nella cartella corrente devono esserci sia wazuh-install.sh che wazuh-install-files.tar.
• Lancio del setup: Esegui lo script specificando il nome del nodo che hai definito prima nel file YAML.

Comando da eseguire: bash wazuh-install.sh –wazuh-indexer node-1

Lo script installerà i pacchetti necessari, configurerà i certificati SSL specifici per quel nodo e ottimizzerà i parametri del kernel (come vm.max_map_count).

Inizializzazione del Cluster

Dopo aver installato tutti i nodi dell’indexer, devi “unirli” e attivare le policy di sicurezza.

Scegli un solo nodo Indexer (qualsiasi) ed esegui il comando.

Comando da eseguire: bash wazuh-install.sh –start-cluster

Cosa fa questo comando? Invia le configurazioni di sicurezza alle API dell’indexer e inizializza l’indice di sistema. Attendi il messaggio di conferma “Cluster initialized successfully”.

Test di Verifica e Sicurezza

• Recupero della password: Le password sono generate casualmente. Per vedere quella dell’utente admin.

Comando da eseguire: tar -axf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt -O | grep -P “\’admin\'” -A 1

• Test di connessione: Interroga l’API locale per verificare che il servizio risponda.

Comando da eseguire: curl -k -u admin https://IL-TUO-IP:9200

• Verifica dello stato del cluster: Per vedere se tutti i nodi sono visibili tra loro.

Comando da eseguire: curl -k -u admin “https://IL-TUO-IP:9200/_cat/nodes?v&pretty”

Guida dettagliata all’installazione di wazuh server

Passiamo ora al “cervello” del sistema: il Wazuh Server. Questa componente riceve i dati dagli agenti sparsi nella rete, li analizza in tempo reale e genera gli avvisi di sicurezza. Include il Wazuh Manager e Filebeat. Questa fase trasforma la tua macchina nel centro di controllo che analizza le minacce.

Requisiti Importanti

• Assicurati che il file wazuh-install-files.tar (generato nella fase iniziale) sia presente nella cartella in cui ti trovi.

• Devi operare come utente root.

Preparazione dello Script

Se hai già installato l’Indexer su questa stessa macchina, lo script è già lì. In caso contrario, scaricalo di nuovo.

Comando da eseguire: curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh

Installazione del Nodo Server

Lancia l’installazione assistita usando il nome del nodo che hai definito nel file config.yml (ad esempio wazuh-1).

Comando da eseguire: bash wazuh-install.sh –wazuh-server wazuh-1

Cosa fa lo script in questa fase?

• Installa il pacchetto Wazuh Manager.
• Installa Filebeat, che serve a spedire i log analizzati dal Manager verso l’Indexer.
• Configura i certificati SSL per permettere al Manager di comunicare in modo sicuro con il cluster Indexer che abbiamo creato prima.

Una volta che il server è installato e funzionante, è fondamentale “congelare” la versione per evitare aggiornamenti automatici che potrebbero rompere la compatibilità tra i vari pezzi di Wazuh.

Primo comando da eseguire: sed -i “s/^deb /#deb /” /etc/apt/sources.list.d/wazuh.list

Secondo comando da eseguire: apt update

Verifica della connessione

È una buona idea verificare che il Manager riesca a parlare con l’Indexer. Puoi controllare se il servizio Filebeat è attivo.

Comando da eseguire: systemctl status filebeat

Se vedi la scritta active (running), significa che il Manager sta già inviando i dati verso il database.

Prossimo Passo: L’Interfaccia Grafica

Il motore (Indexer) è pronto, il cervello (Server) è attivo. Ora ti serve l’interfaccia per vedere i dati: la Wazuh Dashboard.

Guida all’Installazione della Wazuh Dashboard

Questa è l’interfaccia web visiva che userai ogni giorno per monitorare gli eventi, filtrare gli attacchi e gestire i tuoi agenti. La Dashboard trasforma i dati grezzi dell’Indexer in grafici, mappe e tabelle intuitive.

Requisiti finali

• Privilegi: Devi essere utente root.
• File necessari: Assicurati che wazuh-install-files.tar sia nella cartella di lavoro (di solito /root/).
• Porte: La Dashboard usa di default la porta 443 (HTTPS). Assicurati che sia libera o apri il firewall.

Installazione della Dashboard

Lancia l’installazione usando il nome nodo che avevi scelto nel file config.yml (solitamente dashboard).

Comando da eseguire: bash wazuh-install.sh –wazuh-dashboard dashboard

Sostituisci ‘dashboard’ con il nome configurato all’inizio

Nota sulla porta: Se la porta 443 è già occupata da un altro servizio, puoi cambiarla durante l’installazione aggiungendo -p <PORTA> (es. -p 8443).

Conclusione e Credenziali di Accesso

Una volta terminato lo script, vedrai un messaggio di conferma simile a questo:

INFO: — Summary —
INFO: Puoi accedere all’interfaccia web: https://IP-DELLA-DASHBOARD
User: admin
Password:

INFO: Installation finished.

Come recuperare tutte le password generatarie

Se hai perso la password mostrata a video, puoi estrarre l’elenco completo dall’archivio dei certificati.

Comando da eseguire: tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

Primo Accesso al Web

• Apri il browser e vai su https://<IP_DASHBOARD>.
• Avviso di sicurezza: Vedrai un avviso sul certificato SSL (perché è auto-generato). Clicca su “Avanzate” e poi su “Procedi comunque”.
• Inserisci l’utente admin e la password recuperata sopra.

Blindatura Finale dei Repository

Come per gli altri componenti, disabilita gli aggiornamenti automatici per mantenere il sistema stabile.

Primo comando da eseguire: sed -i “s/^deb /#deb /” /etc/apt/sources.list.d/wazuh.list

Secondo comando da eseguire: apt update

Così facendo hai completato l’installazione dell’intera infrastruttura centrale di Wazuh. Tutti i componenti (Indexer, Server e Dashboard) sono ora operativi e comunicanti.

Guida all’Installazione del Wazuh Agent su Windows

Eccoci all’ultimo miglio: l’installazione del Wazuh Agent. Questo è il software che “vive” sui computer che vuoi proteggere (i tuoi endpoint) e invia i dati al Manager che abbiamo appena configurato.

Ecco la guida pratica per installare l’agente su Windows, il sistema più comune da monitorare.

L’agente lavora silenziosamente in background, cripta i dati e li spedisce in tempo reale al server.

Requisiti

• Privilegi: Devi avere i diritti di Amministratore sul PC Windows.
• IP del Manager: Devi conoscere l’indirizzo IP del server Wazuh che hai appena installato (es. 192.168.10.x).
• Installer: Scarica il file .msi dal sito ufficiale di Wazuh.

Installazione usando il Prompt dei Comandi (CMD):

Apri il CMD come amministratore, spostati nella cartella dove si trova il file (ad esempio in download o desktop) e digita: wazuh-agent-4.14.4-1.msi /q WAZUH_MANAGER=”IL_TUO_IP_MANAGER”

Oltre all’IP del Manager, puoi definire il nome dell’agente e il gruppo di appartenenza (utile per applicare policy di sicurezza diverse).

Attivazione e Gestione del Servizio

Una volta installato, l’agente è presente ma non ancora “vivo”. Devi avviare il servizio WazuhSvc.

Comando: NET START WazuhSvc

Configurazione Post-Installazione (Manuale)

Se hai dimenticato di inserire l’IP o devi cambiarlo, non serve reinstallare. Il file di configurazione principale si trova in: C:\Program Files (x86)\ossec-agent\ossec.conf

• Apri il Blocco Note (Notepad) come Amministratore.

comando: notepad "C:\Program Files (x86)\ossec-agent\ossec.conf"

• Apri il file ossec.conf
• Cerca la sezione <client> e modifica il tag <address>:

• Salva e riavvia il servizio per rendere effettive le modifiche.

Verifica Finale

• Apri la tua Wazuh Dashboard nel browser.
• Vai nella sezione “Agents”.
• Dovresti vedere il nome del tuo computer Windows nella lista con un pallino verde (Active).

Guida alla Rimozione di Wazuh (Uninstallation)

Hai bisogno di fare spazio o di ricominciare da zero? Nessun problema. Disinstallare i componenti di Wazuh è un’operazione drastica ma semplice, specialmente se usi lo script assistito.

Queste operazioni sono irreversibili. Tutti i dati, i log indicizzati e le configurazioni verranno eliminati definitivamente. Assicurati di avere un backup se necessario.

Rimozione Totale (Tutti i componenti)

Se vuoi ripulire completamente il server da Wazuh Indexer, Server e Dashboard in un colpo solo, lo script di installazione è lo strumento più veloce.

Se non hai già lo script, recuperalo con questo comando: curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh

Ora esegui la disinstallazione completa con l’opzione -u (uninstall)

Comando: bash wazuh-install.sh –uninstall

Questo comando identificherà tutti i servizi Wazuh attivi sulla macchina e li rimuoverà in sequenza corretta.

Rimozione Selettiva dei Componenti

Se vuoi rimuovere solo un pezzo specifico (ad esempio solo la Dashboard o solo il Manager), puoi usare il gestore pacchetti del tuo sistema operativo (es. apt per Ubuntu/Debian).

• Rimuovere la Wazuh Dashboard: apt-get remove –purge wazuh-dashboard -y
• Rimuovere il Wazuh Server, Il server è composto da due parti: il Manager (che analizza i dati) e Filebeat (che li spedisce). Devi rimuoverli entrambi:

Comando per rimuovere il Manager: apt-get remove –purge wazuh-manager -y

Comando per rimuovere il Filebeat: apt-get remove –purge filebeat -y

• Rimuovere il Wazuh Indexer: apt-get remove –purge wazuh-indexer -y

Pulizia Finale (Opzionale)

• Directory principale del Manager/Agent: rm -rf /var/ossec
• Configurazioni Indexer: rm -rf /etc/wazuh-indexer
• Configurazioni Dashboard: rm -rf /etc/wazuh-dashboard

Guida alla Disinstallazione del Wazuh Agent su Windows

Per rimuovere l’agente in modo pulito e rapido, il metodo più efficace è utilizzare l’utility di sistema msiexec.

Requisiti Preliminari

• File Installer: Devi avere il file originale .msi (es. wazuh-agent-4.14.4-1.msi) nella cartella in cui eseguirai il comando. Se lo hai cancellato, riscarica la stessa versione dal sito Wazuh.
• Permessi: Il terminale (CMD o PowerShell) deve essere aperto come Amministratore.

Procedura di Disinstallazione via CLI

Apri il terminale, spostati nella cartella dove si trova il pacchetto .msi ed esegui: msiexec.exe /x wazuh-agent-4.14.4-1.msi /qn

Verifica della Rimozione

Dopo aver eseguito il comando, puoi verificare che l’agente sia stato rimosso correttamente controllando che la cartella di installazione sia sparita:

• Controlla il percorso: C:\Program Files (x86)\ossec-agent
• Verifica che il servizio non sia più presente digitando in cmd: sc query WazuhSvc

Una volta disinstallato l’agente dal PC, il server Wazuh smetterà di ricevere segnali. Sulla Dashboard, l’agente passerà prima allo stato Disconnected (rosso) e, dopo un periodo di inattività prolungata (configurabile), potrebbe sparire o restare come record storico.