Wazuh kann die selbst gesammelten Ereignisse mit externen Reputationsdaten abgleichen. So wird aus einer gewöhnlichen fehlgeschlagenen Anmeldung ein priorisierter Alert, sobald die Quelle als bekannte Angriffsinfrastruktur erkannt ist. Diese Anleitung zeigt, wie Sie den IP-DB.com-Feed in eine CDB-Liste überführen, eine Match-Regel schreiben, Alerts anreichern und optional per Active Response blockieren.
1. Den Feed ins CDB-Format bringen
CDB-Listen bestehen aus Schlüssel-Wert-Zeilen; für IP-Abgleiche genügt ein Doppelpunkt am Zeilenende. Ein kleines Skript auf dem Manager:
Ein stündlicher Cron-Eintrag reicht aus — der Pool wird alle 30 Minuten erneuert, häufigeres Abrufen liefert nichts Neues:
2. Die Liste im Ruleset registrieren
Ergänzen Sie den ruleset-Block in /var/ossec/etc/ossec.conf:
3. Die Match-Regel schreiben
Fügen Sie in /var/ossec/etc/rules/local_rules.xml eine Regel hinzu, die Ereignisse mit gelisteter Quelladresse hochstuft. Die Suche address_match_key wertet auch CIDR-Einträge korrekt aus:
Die Eingrenzung über if_group (oder if_sid) ist wichtig. Bleibt die Liste die einzige Bedingung, wird die Regel bei jedem Ereignis ausgewertet — in belasteten Umgebungen unnötiger Aufwand.
4. Die Regel testen
Nach einem Neustart des Managers können Sie eine echte Logzeile direkt prüfen:
In der Ausgabe sollten Ihre Regel-ID und die erhöhte Stufe erscheinen. Löst die Regel nicht aus, prüfen Sie zuerst, ob die Liste kompiliert wurde (Ausgabe von wazuh-makelists) und wem die Datei gehört.
5. Blocken per Active Response
Um die getroffene Adresse befristet in der Firewall des Agenten zu verwerfen:
timeout ist entscheidend: Bei einem Fehlalarm löst sich die Sperre von selbst. Tragen Sie außerdem Management-Netz, Monitoring-Server und VPN-Ausgänge in die white_list-Einträge ein.
6. Erkenntnisse zurückspielen
Die von Wazuh erzeugten Brute-Force-Alerts können Sie an IP-DB.com melden und so die Qualität des Pools verbessern. Das fertige Integrationsskript steht auf der Integrationsseite; der Endpunkt POST /api/v1/report erwartet ip, categories und optional comment. Gültige Kategorien sind unter anderem brute_force, ssh_abuse, port_scan, web_attack, vuln_scan und credential_stuffing.
Häufige Fragen
Was ist der Unterschied zwischen CDB-Liste und Active Response?
Die CDB-Liste vergleicht nur: Steht die Adresse eines Ereignisses auf der Liste, hebt sie die Stufe des Alerts an. Active Response führt dagegen einen Befehl auf dem Agenten aus und sperrt die Adresse tatsächlich. Am sinnvollsten ist beides zusammen: erst Sichtbarkeit über den Abgleich, dann Blocken als bewusste zweite Entscheidung.
Wie oft sollte die Liste aktualisiert werden?
Der Pool wird alle 30 Minuten neu gebaut, ein stündlicher Cron-Job genügt daher völlig. Vergessen Sie nicht, die Liste nach jedem Download neu zu kompilieren und den Manager neu zu laden — sonst arbeiten die Regeln mit der alten Kopie.
Bremsen große Listen den Manager aus?
CDB-Listen werden in ein Binärformat kompiliert, die Suchkosten bleiben mit wachsender Liste praktisch konstant. Teuer ist eher, bei welchen Ereignissen die Regel überhaupt ausgewertet wird: Eine Regel mit der Liste als einziger Bedingung läuft bei jedem Ereignis. Eine Eingrenzung über if_sid oder if_group senkt die Last deutlich.
Was, wenn Active Response versehentlich eigene Adressen sperrt?
Genau dafür gehören Ihr Management-Netz, Monitoring-Server und VPN-Ausgänge in die white_list-Blöcke der ossec.conf. Lassen Sie Active Response außerdem befristet laufen; dauerhafte Sperren erfordern bei einem Fehlalarm Handarbeit.
Die Firewall-Gegenstücke finden Sie in den Leitfäden zu FortiGate und Palo Alto EDL, die Bewertungslogik im Beitrag zum Reputationswert.
Kommentare 0
Teile eine Frage, Erfahrung oder Korrektur — registriert oder anonym.
Noch keine Kommentare. Schreib den ersten.