Wazuh est ma couche SIEM/EDR. Il centralise et corrèle les événements de sécurité de toute l'infra. J'ai un LXC dédié (114) pour ça parce que ça bouffe pas mal de RAM avec OpenSearch.
Agents (chaque machine) Manager (LXC 114)
┌──────────────────┐ ┌─────────────────────────┐
│ wazuh-agent │──1514/UDP─►│ wazuh.manager │
│ collecte : │ │ corrèle les événements │
│ - logs système │ │ applique les règles │
│ - intégrité │ │ réponse active │
│ - processus │ └──────────┬──────────────┘
└──────────────────┘ │
┌───────────▼──────────────┐
│ wazuh.indexer │
│ (OpenSearch) │
└───────────┬──────────────┘
│
┌───────────▼──────────────┐
│ wazuh.dashboard │
│ wazuh.fabindustries.fr │
└──────────────────────────┘
| Hôte | Type | Agent |
|---|---|---|
| LXC 108 (services) | Linux | wazuh-agent 4.9.2 |
| LXC 114 (local) | Linux | wazuh-agent 4.9.2 |
| Hôte Proxmox | Linux | wazuh-agent 4.9.2 |
| PC gaming Windows | Windows | wazuh-agent 4.9.2 |
L'agent Windows sur mon PC gaming était chiant à connecter au début — le port 1514 UDP devait être ouvert dans le firewall Windows. Une fois réglé ça tourne nickel.
pct exec 114 -- bash
cd /opt/wazuh/single-node
docker compose ps
docker compose logs -f wazuh.manager
# vérifier la santé du cluster OpenSearch
curl -sk -u admin:@Makunouchi09 https://localhost:9200/_cluster/health | python3 -m json.tool