Laboratório local de monitoramento de segurança com Wazuh, Sysmon e VirtualBox. Código e documentação: wazuh-soc-lab.
Simulei uma tentativa de login SSH usando um usuário inexistente no endpoint, repetida 4 vezes numa janela de cerca de 20 segundos.
O Wazuh disparou a regra 5710 (“sshd: Attempt to login using a non-existent user”) nas 4 tentativas, nível de severidade 5.
Na investigação, cheguei a:
agent.id:"001" AND rule.groups:"sshd") pra isolar os 4 eventos entre as dezenas de outros logs do períodoMicrosoft-Windows-Sysmon/Operational via eventchannelwazuh-agent.exe, com assinatura digital válidaParentImageDetalhes e evidências: investigação completa.
Além da detecção de log, rodei o módulo de Security Configuration Assessment do Wazuh contra o CIS Ubuntu Linux 24.04 LTS Benchmark no endpoint.
Resultado: pontuação 43/100 (102 checks aprovados, 135 reprovados, de 279 no total).
Entre os itens reprovados que investiguei:
sshd UsePAM desabilitadosshd PermitEmptyPasswords permitidosshd GSSAPIAuthentication habilitado (superfície de ataque desnecessária)sshd HostbasedAuthentication habilitadosshd LogLevel abaixo do recomendado (perda de visibilidade de auditoria)Cada achado já vem mapeado pra MITRE ATT&CK (táticas como TA0001 e TA0008, técnicas como T1078 e T1021), PCI DSS, HIPAA e NIST SP 800-53, com a remediação sugerida.
Com os agentes rodando, o painel Overview consolidou, em 24h: 92 alertas de severidade média (nível 7 a 11) e 41 de severidade baixa, cruzando eventos de SCA, autenticação e log de sistema.