SIEM/Log Management Hướng dẫn triển khai Wazuh quy mô lớn (Phần 1): Tự động cài đặt qua ADDS GPO & Quản lý cấu hình tập trung

1. Đặt vấn đề: Giới hạn của việc triển khai thủ công​

Ở bài viết trước, chúng ta đã làm quen với hệ thống Wazuh, nắm được cách cài đặt cơ bản và thu thập thành công một số log tiêu biểu từ hệ điều hành Windows và Linux.

Nếu chỉ triển khai ở mô hình thử nghiệm hoặc doanh nghiệp siêu nhỏ, phương pháp cài đặt thủ công từng máy như bài trước là hoàn toàn đáp ứng được. Tuy nhiên, trong thực tế tại các cơ quan, tập đoàn lớn, số lượng thiết bị cần giám sát thường lên tới hàng trăm, thậm chí hàng ngàn máy.

Bài toán đặt ra lúc này là:

• Làm thế nào để cài đặt Wazuh Agent lên hàng ngàn thiết bị một cách đồng loạt mà không phải truy cập vào từng máy một?
• Làm sao để quản lý, phân loại và cập nhật file cấu hình (config) cho hàng loạt Agent một cách tập trung mà không tốn nhiều công sức?

Trong bài viết này, chúng ta sẽ đi sâu vào các giải pháp công nghệ giúp giải quyết bài toán trên một cách triệt để và hiệu quả nhất.

2. Lý thuyết nền tảng​

Để giải quyết bài toán triển khai và quản lý quy mô lớn, chúng ta cần kết hợp hai khái niệm cốt lõi: Tính năng quản lý nhóm của Wazuh và Công cụ tự động hóa triển khai của hạ tầng mạng.

2.1. Quản lý tập trung với Wazuh Agent Groups​

Agent Group là tính năng mạnh mẽ được tích hợp sẵn trên Wazuh Manager. Tính năng này cho phép quản trị viên gom nhóm các Agent lại với nhau dựa trên chức năng, phòng ban hoặc hệ điều hành

• Ví dụ: nhóm máy chủ Web, nhóm máy trạm Windows phòng Kế toán...

Lợi ích nổi bật:

• Đồng bộ cấu hình (Centralized Configuration): Thay vì phải đi sửa file ossec.conf cục bộ trên từng máy Agent, bạn chỉ cần chỉnh sửa file cấu hình dùng chung (agent.conf) trên Wazuh Manager. Thay đổi này sẽ tự động được đẩy (push) xuống toàn bộ các Agent nằm trong Group đó.
• Phân mảnh chính sách: Giúp dễ dàng áp dụng các module giám sát riêng biệt (Ví dụ: nhóm máy chủ Database thì bật tính năng File Integrity Monitoring cường độ cao, nhóm máy trạm thì ưu tiên Vulnerability Detector).

2.2. Triển khai hàng loạt bằng ADDS và Ansible Server​

Wazuh Agent Group giải quyết khâu "quản lý cấu hình", nhưng để giải quyết khâu "cài đặt Agent ban đầu", chúng ta cần mượn lực từ các công cụ tự động hóa:

• Môi trường Windows (ADDS - Active Directory Domain Services): ADDS là trái tim của hệ thống mạng Windows Enterprise. Bằng cách sử dụng tính năng Group Policy Object (GPO) kết hợp với gói cài đặt MSI của Wazuh và mã kịch bản cài đặt ngầm (Silent Install), quản trị viên có thể "ép" hàng ngàn máy trạm Windows tự động tải và cài đặt Wazuh Agent ngay khi chúng vừa khởi động vào Domain.
• Môi trường Linux/Unix (Ansible Server): Ansible là công cụ Configuration Management (Quản lý cấu hình tự động) mã nguồn mở hàng đầu. Để triển khai trên hàng trăm máy chủ Linux, bạn chỉ cần viết một kịch bản cài đặt (Ansible Playbook). Ansible sẽ tự động mở kết nối SSH đồng loạt tới tất cả các node để tải gói cài đặt, trỏ IP về Wazuh Manager và khởi động dịch vụ mà không cần sự can thiệp của con người.

---

3. Hướng dẫn thực hành chi tiết: Triển khai Wazuh Agent qua ADDS GPO​

Bước 1: Khởi tạo Group trên Wazuh Manager​

Trước tiên, bạn phải tạo một Agent Group trên Wazuh Manager để chứa các máy Windows sẽ tự động đăng ký vào. Chạy lệnh sau trên terminal của Wazuh Manager để tạo group windows-domain:

Bước 2: Cấu hình IP tĩnh và Cài đặt Active Directory Domain Services (ADDS)​

Cấu hình IP tĩnh cho Windows Server: (Để Server làm Domain Controller, nó bắt buộc phải có một địa chỉ IP tĩnh)

1. Tại Server Manager -> chọn Local Server. Bấm vào dòng địa chỉ IP cấp bởi DHCP ở mục Ethernet0.

1. Chuột phải vào card mạng Ethernet0 -> Chọn Properties.

1. Chọn đúp vào mục Internet Protocol Version 4 (TCP/IPv4).

1. Tích chọn Use the following IP address và khai báo IP tĩnh (Ví dụ: IP 192.168.75.155, Subnet mask 255.255.255.0, Gateway 192.168.75.1). Ở mục DNS, khai báo chính IP của máy chủ này 192.168.75.155 làm Preferred DNS server. Bấm OK để lưu.

1. Mở CMD và gõ lệnh ipconfig /all để kiểm tra lại chắc chắn IP tĩnh và DNS đã được nhận đúng.

Cài đặt Role ADDS: 6. Trở lại màn hình Dashboard của Server Manager, chọn mục số 2: Add roles and features.

1. Bấm Next liên tục cho đến mục Server Roles, tích chọn Active Directory Domain Services và bấm Add Features đi kèm, sau đó bấm Next.

1. Ở màn hình cuối (Confirmation), tích chọn Restart the destination server automatically if required và bấm Install.

6. Sau khi cài xong, bấm Promote this server to a domain controller.

1. Chọn Add a new forest và nhập tên miền: wazuh.local.

1. Khai báo DSRM password và bấm Next.

Nếu gặp lỗi này thì fix như sau:

Lỗi này do local Administrator đang chưa có password hoặc password quá yếu. Khi bạn tạo domain mới, tài khoản local Administrator sẽ trở thành Domain Administrator, nên Windows bắt buộc password phải mạnh. Khắc phục bằng cách mở CMD chạy lệnh đổi pass (hoặc đổi trong Computer Management).

Nhấn để mở rộng...

1. Sau khi kiểm tra điều kiện thành công, bấm Install.

1. Mở Active Directory Users and Computers để kiểm tra domain wazuh.local đã được khởi tạo thành công.

1. Mở DNS Manager, chọn chuột phải vào server name -> Properties -> tab Forwarders, thêm DNS của Google (8.8.8.8) và Cloudflare (1.1.1.1) để server có thể ra internet.

Bước 3: Tạo Script Cài đặt và Chia sẻ thư mục (Share)​

1. Tạo một file install-wazuh-agent.cmd. Script này sẽ dùng PowerShell để tải file MSI của Wazuh Agent trực tiếp từ internet, sau đó tự động cài đặt ngầm ngầm, trỏ về IP của Wazuh Manager (192.168.75.150) và gán thẳng vào group windows-domain đã tạo ở Bước 1.

File : https://github.com/nhuthangl24/PopTech/blob/main/ScriptInstall.cmd

1. Đặt script vào một thư mục (Ví dụ C:\Deploy\Wazuh).
2. Chuột phải vào thư mục -> Properties -> tab Security. Bạn PHẢI cấp quyền cho group Domain Computers (ví dụ WAZUH\Domain Computers) để các máy trạm có quyền đọc và chạy script lúc mới khởi động (khi chưa có user nào login).

Bước 4: Tạo Group Policy Object (GPO)​

1. Mở Group Policy Management, mở rộng cây thư mục đến phần Group Policy Objects. Chuột phải vào đây và chọn New để tạo GPO mới với tên Deploy Wazuh Agent.

1. Chuột phải vào GPO vừa tạo -> Edit. Điều hướng tới Computer Configuration > Policies > Windows Settings > Scripts (Startup/Shutdown). Click đúp vào Startup. Bấm Add... và trỏ đường dẫn tới file script trên thư mục Share.

1. Quay lại màn hình Group Policy Management, chuột phải vào tên domain wazuh.local -> Chọn Link an Existing GPO... và chọn GPO Deploy Wazuh Agent vừa tạo.

1. Chuyển sang tab Linked Group Policy Objects để kiểm tra, đảm bảo GPO đã được link thành công và trạng thái là Enabled.

Bước 5: Tạo User và Cấu hình Máy Client Join Domain​

• Đầu tiên, bạn cần tạo sẵn một user trên Active Directory (bỏ qua bước chụp ảnh phần tạo user).

Trên máy trạm Client (Ví dụ Windows 11):

1. Mở cài đặt IPv4 của card mạng, trỏ Preferred DNS server về IP của Domain Controller (Ví dụ: 192.168.75.155).

1. Đổi tên máy tính và chọn Join Domain wazuh.local.

1. Nhập tài khoản và mật khẩu của user đã tạo trên AD để xác thực việc Join Domain.

1. Mở PowerShell và gõ lệnh dir \\WIN-QVNF2KMTK4L\Wazuh để kiểm tra chắc chắn rằng máy trạm (Client) có thể nhìn thấy và truy cập được vào thư mục Share chứa script trên máy chủ. Bước kiểm tra này cực kỳ quan trọng để đảm bảo GPO chạy không bị lỗi phân quyền.

1. Khởi động lại máy. Lúc này GPO sẽ tự động tải script và cài đặt Wazuh ngầm.

Bước 6: Kiểm tra kết quả​

Sau khi máy Client khởi động lên, kiểm tra trên giao diện Wazuh Manager, bạn sẽ thấy máy Client đã tự động kết nối và được gán vào group windows-domain (như danh sách 2 máy trạm dưới đây).

Bước 7: Quản lý cấu hình tập trung bằng Agent Group (Centralized Configuration)​

Một trong những sức mạnh lớn nhất của việc dùng Agent Group là bạn không cần truy cập từng máy để sửa cấu hình ossec.conf. Theo mặc định, file cấu hình dùng chung agent.conf ở phía máy Client gần như trống rỗng:



Thay vì sửa thủ công, chúng ta sẽ "Push" cấu hình từ máy chủ Wazuh xuống tất cả Client trong nhóm:

1. Tại giao diện nhóm windows-domain trên Wazuh Manager, chuyển sang tab Files.

1. Bấm vào biểu tượng chỉnh sửa (Edit) nằm cạnh file agent.conf.

1. Thêm các cấu hình thu thập log (Ví dụ: System, Security, Application) vào giữa thẻ <agent_config> và bấm Save. Cấu hình này sẽ tự động được Wazuh Manager đẩy xuống ghi đè vào file agent.conf của toàn bộ máy trạm Windows trong nhóm này. Rất tiện lợi và đồng bộ!

1. Để kiểm chứng tính năng này đã hoạt động, bạn chỉ cần mở lại file agent.conf trên máy Client (đường dẫn mặc định C:\Program Files (x86)\ossec-agent\shared\agent.conf). Bạn sẽ thấy toàn bộ đoạn cấu hình Event Log vừa viết trên Wazuh Manager đã ngay lập tức xuất hiện tại đây mà không cần đụng tay vào máy Client. Quá trình đồng bộ đã thành công mỹ mãn!

Vì bài viết này đã khá dài và tập trung chuyên sâu vào môi trường Windows (ADDS), nên phần hướng dẫn triển khai hàng loạt trên môi trường Linux bằng Ansible Server sẽ được mình trình bày chi tiết ở bài viết tiếp theo.