CN116319482B - 网络靶场中基于Wazuh的自定义探针采集系统与方法 - Google Patents

Abstract

本发明公开了网络靶场中基于Wazuh的自定义探针采集系统与方法，在Wazuh客户端和服务端的基础上，改造业务端的探针采集管理模块，并增加基于python的活动响应脚本、统一执行脚本和采集调整脚本模块，以及文件服务模块。业务端上传自定义探针脚本，封装采集调整脚本命令和参数，调用服务端活动响应接口；服务端调用客户端活动响应脚本模块，根据采集调整参数调用对应采集调整脚本模块；采集调整脚本模块根据调用参数进行采集策略调整，构造由统一执行脚本模块驱动自定义探针脚本的自定义探针执行命令注入客户端配置文件，重启客户端采集策略即可生效。本发明扩展了Wazuh组件采集能力，支持网络靶场的多种业务需求。

Description

网络靶场中基于Wazuh的自定义探针采集系统与方法

技术领域

本发明涉及一种网络靶场中基于Wazuh的自定义探针采集系统与方法，属于网络安全技术领域。

背景技术

网络靶场中对虚拟拓扑环境的数据采集能力常常使用Wazuh组件来集成实现，Wazuh作为比较流行的入侵检测组件，本身带有设备数据采集探针客户端，探针客户端运行在目标设备上采集数据上报到Wazuh服务端，服务端进行数据分析威胁告警。

但Wazuh作为入侵检测组件，采集能力也主要偏向入侵检测相关的数据信息，入侵检测的手段也比较有限，主要是依赖日志分析，而网络靶场中存在各种各样的仿真场景，数据采集需求也不仅仅局限于入侵检测，Wazuh对这些采集需求就无法方便扩展。

目前网络靶场数据采集能力使用Wazuh对虚拟拓扑环境进行数据采集存在以下几个问题：1、采集探针类型比较有限，主要是文件/注册表变更事件、系统和应用日志；2、Wazuh需要基于其规则要求自定义规则才能采集其它个性化的日志信息，Wazuh规则要求晦涩难懂，调试麻烦，扩展难度较高；3、Wazuh更新规则需要重启服务端程序，会丢失期间采集数据，这对于运行中的网络靶场环境是不允许的；4、随着技术的不断发展，网络靶场的定制化采集需求也多种多样，很多采集分析需求基于日志往往不能很精准，对于其它形式的采集能力扩展，Wazuh无法有效实现扩展。

发明内容

发明目的：针对上述现有技术存在的问题，本发明目的在于提供一种网络靶场中基于Wazuh的自定义探针采集系统与方法，对Wazuh采集组件进行增强改造，扩展其采集能力，并能避免更新规则带来的服务端重启丢失数据问题。

技术方案：为实现上述发明目的，本发明采用如下技术方案：

一种网络靶场中基于Wazuh的自定义探针采集系统，包括Wazuh客户端和Wazuh服务端；部署在网络靶场业务端的探针采集管理模块；与Wazuh客户端部署在一起的python解释器，以及基于python的活动响应脚本模块、统一执行脚本模块和采集调整脚本模块；以及与Wazuh服务端部署在一起的文件服务模块；

所述探针采集管理模块，用于管理自定义探针脚本及采集策略，将自定义探针脚本上传至文件服务模块，通过调用Wazuh服务端提供的活动响应接口发起采集策略调整；

所述活动响应脚本模块，用于Wazuh服务端向客户端发起活动响应调用时执行，根据采集调整参数调用采集调整脚本模块；

所述采集调整脚本模块，用于调整采集策略；在涉及到新增自定义探针时，从文件服务模块下载对应自定义探针脚本文件并进行配置，构造通过统一执行脚本模块调用的自定义探针执行命令注入Wazuh客户端的配置文件；

所述统一执行脚本模块，用于调用自定义探针脚本，并将自定义探针脚本的输出格式化成统一格式输出到日志。

作为优选，所述活动响应脚本模块，接收Wazuh服务端活动响应调用接口下发的指令，并驱动执行指令中对应的脚本命令。

作为优选，通过构造Http请求调用Wazuh服务端的active-response接口，并传入需要调整采集策略的Wazuh客户端标识列表；Http请求主体内容中设置采集调整脚本命令和参数；活动响应脚本模块根据接收到的采集调整脚本命令调用对应的采集调整脚本模块。

作为优选，所述采集调整脚本模块实现功能包括：对自定义探针的调整和对Wazuh原有功能的配置调整；所述对自定义探针的调整包括：新增并配置自定义探针及其执行间隔，修改自定义探针执行间隔，启用/禁用自定义探针和移除自定义探针。

作为优选，所述采集调整脚本模块在Wazuh客户端的ossec.conf配置文件中的wodle[command]组件配置自定义探针及其执行间隔。

作为优选，所述统一执行脚本模块将自定义探针脚本的执行结果统一格式化为json格式，包括执行标识、原始输入参数、执行时间、执行状态、执行返回码、执行错误信息、执行消耗的时间、执行结果。

基于所述自定义探针采集系统的采集策略调整方法，包括如下步骤：

探针采集管理模块上传自定义探针脚本，封装采集调整脚本命令和参数，发起采集策略调整，调用Wazuh服务端活动响应接口；

Wazuh服务端调用客户端活动响应脚本模块，活动响应脚本模块根据采集调整参数调用对应采集调整脚本模块；

采集调整脚本模块根据调用参数进行采集策略调整，如果涉及到新增自定义探针调整，从文件服务模块下载对应自定义探针脚本文件并进行配置，构造由统一执行脚本模块驱动自定义探针脚本的自定义探针执行命令注入Wazuh客户端配置文件；

采集策略调整执行完后重启Wazuh客户端使采集策略生效。

基于所述自定义探针采集系统的数据采集方法，包括如下步骤：

Wazuh客户端定期执行由统一执行脚本模块驱动自定义探针脚本的自定义探针命令；

统一执行脚本模块将自定义探针脚本的执行结果格式化成统一结果输出到结果日志文件；

Wazuh客户端监听到结果日志文件的变化将最新日志上报到Wazuh服务端；

Wazuh服务端将日志结果解析存储到采集存储集群。

有益效果：本发明提供的网络靶场中基于Wazuh技术改进的自定义探针采集方案，利用Wazuh服务端对客户端活动响应能力包含的隐藏控制通道来控制客户端进行采集策略更新，不用额外引入新控制通道，大大增强了Wazuh采集策略的动态调整能力；同时利用Wazuh日志采集能力来上报自定义探针的采集结果，采集数据格式和Wazuh保持一致，无需引入额外的数据解析处理流程。并且本发明引入功能强大、扩展灵活的python脚本，通过Wazuh来执行python自定义探针脚本，来增强Wazuh的数据采集能力。与现有技术相比，本发明具有如下优点：1、本发明通过对Wazuh的采集组件进行增强改造，使得Wazuh可以支持不限制的数据采集能力，用户可以根据自己的需求灵活定制；2、通过python来自定义探针脚本，可以直接针对目标数据定向采集，不需要使用Wazuh复杂的规则引擎，本领域人员大多都熟悉python语言，扩展探针更加方便简单；3、通过python来自定义探针脚本，不需要使用Wazuh复杂的规则引擎，直接避免了更新规则带来的服务端重启丢失数据问题。

附图说明

图1为Wazuh活动响应流程示意图。

图2为Wazuh日志上报流程示意图。

图3为本发明实施例中的自定义探针采集策略调整流程示意图。

图4为本发明实施例中的自定义探针采集数据流程示意图。

实施方式

下面将结合附图和具体实施例，对本发明的技术方案进行清楚、完整的描述。

为了克服Wazuh组件应用在网络靶场上的局限性，进行采集能力扩展，本发明实施例提供的网络靶场中基于Wazuh技术的自定义探针采集改进方案，设计基本要求是保留Wazuh强大的入侵检测能力的前提下基于Wazuh改造支持扩展不限形式的自定义探针来采集数据，核心思路是发掘并利用Wazuh服务端和客户端之间的控制通道，改造注入自定义的控制命令，通过自定义命令来配置、调整、启动扩展的探针，然后利用Wazuh日志上报通道，将探针采集的数据进行统一格式化上报。

Wazuh服务端和客户端之间的控制通道并不是直接提供的，而是基于Wazuh活动响应（active response）能力，Wazuh活动响应提供了对特殊告警事件采取对应措施的能力，其工作流程如图1所示。

活动响应工作流程主要有以下几步：

1、目标主机的Wazuh客户端会将采集到的主机事件（例如敏感文件变更）上报到服务端。

2、Wazuh服务端根据活动响应配置内容判断该事件是否属于活动响应事件。例如配置文件ossec.conf里面配置主动响应配置：

<active-response>

<command>host-deny</command>

<location>local</location>

<level>7</level>

</active-response>

表示当产生告警级别大于7的事件时，执行host-deny命令，拒绝主机访问。敏感文件变更事件等级大于7，将触发该活动响应。

3、如果是活动响应事件，Wazuh服务端向Wazuh客户端发起活动响应调用，参数为要执行的活动响应命令。

4、Wazuh客户端收到活动响应调用，进行对应的活动响应命令执行。

由步骤3、4可以看出，Wazuh服务端到客户端是存在主动调用的通道的，而且Wazuh也提供了活动响应调用的Http接口，通过该接口便可直接调用执行活动响应命令，活动响应命令可以是任意的，由此就有了对目标主机的任意脚本执行能力即主动控制能力。

Wazuh日志上报通道提供了对指定日志的采集上报能力，其工作流程如图2所示。

日志上报流程主要有以下几步：

1、Wazuh客户端监听日志文件的变化，当发生变化时获取最新的日志内容。

2、Wazuh客户端将最新的日志内容上报到服务端。

基于上述分析，本发明实施例公开的一种网络靶场中基于Wazuh的自定义探针采集系统，在原有Wazuh客户端和服务端的基础上，改造业务端的探针采集管理模块，并增加基于python开发的活动响应脚本模块、统一执行脚本模块和采集调整脚本模块，以及文件服务模块。其中探针采集管理模块用于管理自定义探针脚本及采集策略，将自定义探针脚本上传至文件服务模块，通过调用Wazuh服务端提供的活动响应接口发起采集策略调整；活动响应脚本模块用于Wazuh服务端向客户端发起活动响应调用时执行，根据采集调整参数调用采集调整脚本模块；采集调整脚本模块用于调整采集策略；在涉及到新增自定义探针时，从文件服务模块下载对应自定义探针脚本文件并进行配置，构造自定义探针执行命令注入Wazuh客户端的配置文件；统一执行脚本模块用于调用自定义探针脚本，并将自定义探针脚本的输出格式化成统一格式输出到日志。

扩展后的采集系统通过对目标主机的主动控制能力，可以实现对目标主机的采集策略的动态更新，包括增减探针、修改探针参数，修改采集策略只需重启目标主机的Wazuh客户端即可生效，而不影响Wazuh服务端的运行状态和整体采集集群的运行状态。

更具体地，为实现动态控制和自定义采集能力，需要对Wazuh客户端进行一定的改造。基于python强大的脚本和多平台兼容能力，本实施例采用python脚本扩展实现动态控制能力和运行自定义探针，Wazuh自身是没有python解释器的，改造的Wazuh客户端安装包，包含以下几个核心部分：

·Wazuh原始客户端：官方客户端安装包。

·内嵌python解释器：经过打包的免安装python解释器。

·活动响应脚本模块（py脚本）：接收活动响应接口下发指令并驱动执行对应命令。

·统一执行脚本模块（py脚本）：执行命令并将命令输出格式化成统一格式输出到日志。

·采集调整脚本模块（py脚本）：调整采集策略，包括增减探针、修改探针参数。具体地，采集调整脚本模块功能包括：1.对自定义探针的调整；包括新增并配置自定义探针及其执行间隔，修改自定义探针执行间隔，启用/禁用自定义探针，移除自定义探针等；2.对Wazuh原有功能的配置调整；包括系统信息采集配置调整，日志采集配置调整，文件变更采集配置调整，注册表变更采集配置调整等。

Wazuh客户端动态调整自定义探针的功能涉及到自定义探针脚本文件的传输问题，需要在服务端提供对应的文件下载服务，改造的Wazuh服务端安装包，包含以下几个核心部分：

·Wazuh原始服务端：官方服务端安装包。

·Http文件服务安装包：用于目标主机下载对应的自定义探针脚本和程序。

改造后一个典型的自定义探针采集策略调整流程如图3所示，包括如下步骤：

1、业务端探针采集管理模块上传自定义探针脚本，封装采集调整脚本命令和参数，发起采集策略调整，调用Wazuh服务端活动响应接口。例如，对于获取主机cpu信息的自定义探针`get_cpu_info.py`，上传后文件地址为：`http://Wazuh_server/file/get_cpu_info.py`；封装采集调整脚本命令和参数为：`采集调整脚本.py {动作：新增脚本 | 地址：http://Wazuh/file/get_cpu_info.py | 执行间隔： 10s} `；调用Wazuh服务端Http活动响应接口：

PUT http://Wazuh_server/active-response?agent_list=[客户端id]

BODY: {

command: 采集调整脚本.py

arguments: [{动作：新增脚本 | 地址：http://wazuh/file/get_cpu_info.py |执行间隔： 10s}]

}

2、Wazuh服务端调用客户端的活动响应脚本模块，活动响应脚本模块根据采集调整参数调用对应采集调整脚本模块（采集调整脚本.py）。

3、采集调整脚本模块执行，如果涉及到新增自定义探针调整，从服务端Http文件服务下载对应自定义探针脚本文件（如http://wazuh/file/get_cpu_info.py）并进行配置，构造自定义探针执行命令注入配置文件（统一执行脚本驱动自定义探针脚本），通过wodle[command]组件定期执行。

具体地，采集调整脚本直接操作修改Wazuh客户端的配置文件ossec.conf（xml格式配置文件）。对于自定义探针的调整，调整标签为<wodle name="command">的配置，一个典型的自定义探针配置格式为：

<wodle name="command" key="{自定义探针id } ">

<tag>{自定义探针id }</tag>

<disabled>no</disabled>

<command>{统一执行脚本} {自定义探针参数}</command>

<interval>{采集间隔}</interval>

</wodle>

示例配置：

<wodle name="command" key="100">

<tag>100</tag>

<disabled>no</disabled>

<command>统一执行脚本.py {get_cpu_info.py}</command>

<interval>10s</interval>

</wodle>

4、所有调整执行完后重启Wazuh客户端使采集策略生效，本方案禁用服务端配置主动同步功能。

改造后一个典型的自定义探针采集数据流程如图4所示，包括如下步骤：

1、目标主机上Wazuh客户端定期执行自定义探针命令（统一执行脚本驱动自定义探针脚本）。

2、统一执行脚本将自定义探针执行结果格式化成统一结果输出到结果日志文件。例如，不同的自定义探针输出结果通过统一执行脚本统一输出到同一个日志文件cmd-launcher.log。统一执行脚本接收自定义探针执行结果，可以统一格式化为如下几部分（json格式）：本次执行id；原始输入参数：执行命令、输出格式（json/plain/原始）；执行时间；执行状态；执行返回码；执行错误信息；执行消耗的时间；执行结果（根据输出格式解析结果）。输出格式为json格式的执行结果直接解析成json，plain格式的，可以基于原始输出格式，将执行结果解析成json，对于原始格式，可直接返回原始输出内容。

3、Wazuh客户端监听到结构日志文件的变化就将最新日志上报到Wazuh服务端。

4、Wazuh服务端将日志结果解析存储到采集存储集群，一般为elasticsearch集群。

5、业务端就可直接从采集存储集群获取对应的采集结果。

由以上流程可以看出，本发明对自定义探针的流程实现充分利用了Wazuh组件既有的控制和日志采集通道，利用python脚本可以灵活扩展自定义采集能力。

Claims (8)

1.一种网络靶场中基于Wazuh的自定义探针采集系统，包括Wazuh客户端和Wazuh服务端，其特征在于，还包括：部署在网络靶场业务端的探针采集管理模块；与Wazuh客户端部署在一起的python解释器，以及基于python的活动响应脚本模块、统一执行脚本模块和采集调整脚本模块；以及与Wazuh服务端部署在一起的文件服务模块；

所述探针采集管理模块，用于管理自定义探针脚本及采集策略，将自定义探针脚本上传至文件服务模块，通过调用Wazuh服务端提供的活动响应接口发起采集策略调整；

所述活动响应脚本模块，用于Wazuh服务端向客户端发起活动响应调用时执行，根据采集调整参数调用采集调整脚本模块；

所述采集调整脚本模块，用于调整采集策略；在涉及到新增自定义探针时，从文件服务模块下载对应自定义探针脚本文件并进行配置，构造通过统一执行脚本模块调用的自定义探针执行命令注入Wazuh客户端的配置文件；

所述统一执行脚本模块，用于调用自定义探针脚本，并将自定义探针脚本的输出格式化成统一格式输出到日志。

2.根据权利要求1所述的一种网络靶场中基于Wazuh的自定义探针采集系统，其特征在于，所述活动响应脚本模块，接收Wazuh服务端活动响应调用接口下发的指令，并驱动执行指令中对应的脚本命令。

3.根据权利要求1所述的一种网络靶场中基于Wazuh的自定义探针采集系统，其特征在于，通过构造Http请求调用Wazuh服务端的active-response接口，并传入需要调整采集策略的Wazuh客户端标识列表；Http请求主体内容中设置采集调整脚本命令和参数；活动响应脚本模块根据接收到的采集调整脚本命令调用对应的采集调整脚本模块。

4.根据权利要求1所述的一种网络靶场中基于Wazuh的自定义探针采集系统，其特征在于，所述采集调整脚本模块实现功能包括：对自定义探针的调整和对Wazuh原有功能的配置调整；所述对自定义探针的调整包括：新增并配置自定义探针及其执行间隔，修改自定义探针执行间隔，启用/禁用自定义探针和移除自定义探针。

5.根据权利要求1所述的一种网络靶场中基于Wazuh的自定义探针采集系统，其特征在于，所述采集调整脚本模块在Wazuh客户端的ossec.conf配置文件中的wodle[command]组件配置自定义探针及其执行间隔。

6.根据权利要求1所述的一种网络靶场中基于Wazuh的自定义探针采集系统，其特征在于，所述统一执行脚本模块将自定义探针脚本的执行结果统一格式化为json格式，包括执行标识、原始输入参数、执行时间、执行状态、执行返回码、执行错误信息、执行消耗的时间和执行结果。

7.基于根据权利要求1-6任一项所述的一种网络靶场中基于Wazuh的自定义探针采集系统的采集策略调整方法，其特征在于，包括如下步骤：

探针采集管理模块上传自定义探针脚本，封装采集调整脚本命令和参数，发起采集策略调整，调用Wazuh服务端活动响应接口；

Wazuh服务端调用客户端活动响应脚本模块，活动响应脚本模块根据采集调整参数调用对应采集调整脚本模块；

采集调整脚本模块根据调用参数进行采集策略调整，如果涉及到新增自定义探针调整，从文件服务模块下载对应自定义探针脚本文件并进行配置，构造由统一执行脚本模块驱动自定义探针脚本的自定义探针执行命令注入Wazuh客户端配置文件；

采集策略调整执行完后重启Wazuh客户端使采集策略生效。

8.基于根据权利要求1-6任一项所述的一种网络靶场中基于Wazuh的自定义探针采集系统的数据采集方法，其特征在于，包括如下步骤：

Wazuh客户端定期执行由统一执行脚本模块驱动自定义探针脚本的自定义探针命令；

统一执行脚本模块将自定义探针脚本的执行结果格式化成统一结果输出到结果日志文件；

Wazuh客户端监听到结果日志文件的变化将最新日志上报到Wazuh服务端；

Wazuh服务端将日志结果解析存储到采集存储集群。